Gestion des actifs sensibles

La politique de gestion des actifs sensibles vise à identifier, décrire et maintenir en état de sécurité les actifs du périmètre du SMSI.

Un actif sensible est tout élément physique, logique ou organisationnel dont la défaillance pourrait conduire à la survenue d'un ou plusieurs scénarios de risque.

Une classe d'actifs sensibles est un ensemble d'actifs sensibles dont le maintien en état de sécurité s'effectue de manière homogène.

Une fiche d'actif sensible est un document récapitulant, pour une classe d'actif sensible, toutes les informations nécessaires au maintien en état de sécurité des actifs concernés.

Un propriétaire d'actif sensible est une personne identifiée dans la fiche d'actif sensible, responsable du maintien en état de sécurité des actifs de la classe.

Un suppléant d'actif sensible est une personne identifiée dans la fiche d'actif sensible, pouvant se substituer au propriétaire en cas d'indisponibilité.

• Le dirigeant de l'Organisation assigne des périmètres d'attribution des actifs sensibles à ses collaborateurs.
• Le responsable administratif et financier établit l'inventaire des actifs organisationnels, notamment les personnels et sous-traitants.
• Le responsable technique établit l'inventaire des actifs techniques, notamment les systèmes et réseaux, logiciels, services souscrits.
• Le pilote du SMSI élabore et maintient, avec le soutien des propriétaires d'actifs sensibles et des personnels compétents, les fiches d'actifs sensibles.
• Les propriétaires d'actifs sensibles s'assurent de l'application des règles définies dans leurs fiches d'actifs sensibles.
• Tous les intervenants sur un actif sensible connaissent et respectent les règles définies dans la fiche d'actif sensible.

Les classes d'actifs sensibles sont identifiées à partir de la démarche d'analyse des risques. Pour chaque scénario identifié, l'ensemble des actifs dont la défaillance pourrait causer la survenue du scénario sont identifiés, et le cas échéant une nouvelle classe d'actifs est créée. A l'inverse, les responsables chargés des inventaires d'actifs sensibles évaluent pour chaque actif sous leur responsabilité si sa défaillance pourrait représenter un risque pour les informations à protéger, et dans ce cas si le scénario de risque correspondant est déjà identifié.

Une fiche d'actif sensible comporte:

• Des données structurées,
• Des données calculées,
• Des sections documentaires

• Intitulé de la classe
• Classes de données impactées
• Propriétaire et suppléant

• Impact potentiel sur le critères de sécurité, en fonction des scénarios liés et des classes de données
• Fournisseurs participant à la gestion de l'actif (acquisition, maintenance, réparation, mise au rebut, etc.)
• Actions du SMSI portant sur l'actif
• Rapports d'incidents portant sur l'actif

Ces sections peuvent comporter la mention “Non applicable” si elles n'ont pas de sens ou de pertinence pour la classe d'actif concernée.

• Objectifs
  • De disponibilité (RTO)
  • D'intégrité (RPO)
• Procédures spécifiques, comportant éventuellement des renvois à des procédures générales ou à des modes opératoires, ainsi qu'aux enregistrements liés.
  • Mise en service: zones autorisées, redondance, points de contrôle.
  • Mise à jour: déclenchement, sources, méthode
  • Journalisation: méthode, contenu, durées de rétention
  • Sauvegarde: méthode, données sauvegardées, cycles et durées de rétention
  • Monitoring: méthode, points de contrôle
  • Maintenance préventive: méthode, fréquence, actions, points de contrôle
  • Audit: méthode, fréquence, points de contrôle
  • Fin de vie: actions à mener, points de contrôle
  • Mise au rebut: méthode
• Clauses contractuelles s'appliquant aux fournisseurs

La fiche d'actif sensible est une procédure du SMSI. Elle peut être mise à jour dans le cadre d'une action du SMSI, quelle qu'en soit la cause de déclenchement.