Gestion des actifs sensibles

La politique de gestion des actifs sensibles vise à identifier, décrire et maintenir en état de sécurité les actifs du périmètre du SMSI.

Un actif sensible est tout élément physique, logique ou organisationnel dont la défaillance pourrait conduire à la survenue d'un ou plusieurs scénarios de risque.

Une classe d'actifs sensibles est un ensemble d'actifs sensibles dont le maintien en état de sécurité s'effectue de manière homogène.

Une fiche d'actif sensible est un document récapitulant, pour une classe d'actif sensible, toutes les informations nécessaires au maintien en état de sécurité des actifs concernés.

Un propriétaire d'actif sensible est une personne identifiée dans la fiche d'actif sensible, responsable du maintien en état de sécurité des actifs de la classe.

Un suppléant d'actif sensible est une personne identifiée dans la fiche d'actif sensible, pouvant se substituer au propriétaire en cas d'indisponibilité.

• Le dirigeant de l'Organisation assigne des périmètres d'attribution des actifs sensibles à ses collaborateurs.
• Le responsable administratif et financier établit l'inventaire des actifs organisationnels, notamment les personnels et sous-traitants.
• Le responsable technique établit l'inventaire des actifs techniques, notamment les systèmes et réseaux, logiciels, services souscrits.
• Le pilote du SMSI élabore et maintient, avec le soutien des propriétaires d'actifs sensibles et des personnels compétents, les fiches d'actifs sensibles.
• Les propriétaires d'actifs sensibles s'assurent de l'application des règles définies dans leurs fiches d'actifs sensibles.
• Tous les intervenants sur un actif sensible connaissent et respectent les règles définies dans la fiche d'actif sensible.

Les classes d'actifs sensibles sont identifiées à partir de la démarche d'analyse des risques. Pour chaque scénario identifié, l'ensemble des actifs dont la défaillance pourrait causer la survenue du scénario sont identifiés, et le cas échéant une nouvelle classe d'actifs est créée. A l'inverse, les responsables chargés des inventaires d'actifs sensibles évaluent pour chaque actif sous leur responsabilité si sa défaillance pourrait représenter un risque pour les informations à protéger, et dans ce cas si le scénario de risque correspondant est déjà identifié.

A chaque scénario de risque mettant en jeu un actif sensible sont associées une ou plusieurs exigences portant sur la classe d'actif.

Ces exigences peuvent porter:

• sur les procédures s'appliquant à la classe d'actif.
• sur la contractualisation avec un ou plusieurs fournisseurs.

Les exigences sont listées dans la fiche d'actif sensible en tant que données structurées.

Une fiche d'actif sensible comporte:

• Des données structurées,
• Des données calculées,
• Des sections documentaires

Portant sur la classe d'actif dans son ensemble:

• Intitulé de la classe
• Classes de données impactées
• Propriétaire et suppléant

Portant une exigence identifiée

• Intitulé de l'exigence
• Liste des scénarios impactés en cas de non-respect
• Section

• Fournisseurs et exigences applicables à chaque fournisseur

Ces sections peuvent comporter la mention “Non applicable” si elles n'ont pas de sens ou de pertinence pour la classe d'actif concernée.

• Objectifs
  • De disponibilité (RTO)
  • D'intégrité (RPO)
• Procédures spécifiques, comportant éventuellement des renvois à des procédures générales ou à des modes opératoires.
  • Mise en service: zones autorisées, redondance, points de contrôle.
  • Mise à jour: déclenchement, sources, méthode
  • Journalisation: méthode, contenu, durées de rétention
  • Sauvegarde: méthode, données sauvegardées, cycles et durées de rétention
  • Monitoring: méthode, points de contrôle
  • Audit de configuration: méthode, fréquence, points de contrôle
  • Fin de vie: actions à mener, points de contrôle
  • Mise au rebut: méthode
• Journaux
  • Lien aux rapports d'incidents portant sur l'actif
  • Lien aux actions du SMSI portant sur l'actif