Inventaire des actifs informatiques

L'inventaire des actifs informatiques est la liste tenue à jour de ce que l'entreprise possède et expose : postes, serveurs, équipements réseau, comptes dans le nuage, applications, versions logicielles et adresses visibles depuis Internet. Rien ne se corrige, ne se surveille ni ne se sauvegarde s'il n'est pas d'abord connu. Décembre 2021 : la faille Log4Shell (CVE-2021-44228) touche une bibliothèque Java embarquée dans un nombre considérable de produits. Dans les jours qui suivent, beaucoup d'équipes ne savent pas dire où elle tourne chez elles. Le questionnaire cyber courant demande si un inventaire existe, s'il est automatisé, s'il couvre le matériel, le logiciel et les actifs exposés, et à quelle fréquence il est rapproché de la réalité. Le souscripteur confronte la réponse au balayage externe de la surface d'attaque : un sous-domaine oublié, un ancien boîtier d'accès distant ou un serveur de test indexé révèlent ce que l'inventaire ignore. Chaque actif trouvé par le scan et absent de la déclaration ouvre une question de suivi. Les trous habituels sont connus : l'informatique fantôme, les filiales récemment acquises, les comptes de nuage ouverts sur une carte bancaire de service. Le lien avec le contrat passe par la gestion des correctifs. Une exclusion de vulnérabilité non corrigée, quand la police en porte une, suppose que l'assuré sache quels systèmes étaient concernés et depuis quand. Côté logiciel, la nomenclature logicielle (SBOM, software bill of materials) prolonge l'inventaire jusqu'aux composants d'un produit. Réserve de praticien : un inventaire complet n'existe pas dans une entreprise de plusieurs milliers de postes. Le souscripteur juge l'écart entre la liste et le scan, et la vitesse à laquelle l'entreprise le referme.