Cartographier les risques : par système, par donnée ou par activité ?

La cartographie par système : opérationnelle mais incomplète

La cartographie par système est l'approche la plus naturelle pour les équipes techniques : elle recense les serveurs, applications, bases de données, équipements réseau et services cloud, et associe à chacun une évaluation des risques. Cette approche a l'avantage d'être directement actionnable par les équipes opérationnelles — elle permet de prioriser les patches, les durcissements de configuration et les contrôles d'accès système par système. Sa principale limitation est de rester dans le registre technique : elle ne permet pas facilement d'évaluer l'impact métier d'une compromission d'un système donné, ni de voir comment plusieurs systèmes contribuent ensemble à un processus critique.

La cartographie par donnée : adaptée aux enjeux réglementaires

La cartographie par donnée part d'une autre logique : identifier les données les plus sensibles ou les plus réglementées, et cartographier les systèmes, processus et acteurs qui les traitent. Cette approche est particulièrement adaptée aux obligations RGPD — qui imposent une connaissance précise des données personnelles traitées, de leur localisation, de leurs flux et de leurs durées de conservation. Elle est également pertinente pour la gestion de la propriété intellectuelle et des informations confidentielles. Sa limitation est symétrique à celle de la cartographie par système : elle ne permet pas facilement de voir l'ensemble des risques qui pèsent sur un processus opérationnel donné.

La cartographie par activité : alignée sur les enjeux stratégiques

La cartographie par activité part des processus métiers critiques de l'organisation et remonte vers les dépendances numériques. C'est l'approche la plus directement utile pour la direction : elle permet de répondre à la question "si ce système est compromis, quel impact sur notre activité ?" et de prioriser les investissements de sécurité en fonction de la criticité des activités protégées. Elle est également la plus naturelle pour les plans de continuité d'activité. Sa complexité est sa principale limitation : elle requiert une collaboration plus intensive entre les équipes techniques et les directions métiers, et elle est plus difficile à maintenir à jour quand les processus évoluent.

Les approches hybrides : combiner les axes

Les organisations les plus matures en matière de cartographie des risques combinent plusieurs axes dans une approche multicouche. La couche "activités critiques" répond aux questions de gouvernance et de continuité. La couche "données sensibles" répond aux obligations réglementaires. La couche "systèmes" répond aux besoins opérationnels des équipes de sécurité. Ces couches ne sont pas indépendantes : elles sont reliées par des correspondances qui permettent de passer d'un axe à l'autre — de l'activité critique vers les systèmes qui la supportent et les données qu'elle traite. Cette architecture multicouche est plus complexe à construire et à maintenir, mais elle fournit une vision bien plus complète que n'importe lequel des axes pris isolément.

Choisir l'axe principal en fonction de l'usage visé

Le choix de l'axe principal de cartographie doit être guidé par l'usage prioritaire que l'organisation souhaite en faire. Si l'objectif principal est de satisfaire les auditeurs d'une certification ISO 27001, l'approche par actifs (systèmes) est la plus alignée avec le référentiel. Si l'objectif est de répondre aux obligations RGPD, l'approche par données est plus directement utile. Si l'objectif est d'éclairer les décisions de la direction sur les investissements en continuité et en sécurité, l'approche par activités critiques est la plus pertinente. Dans tous les cas, l'axe choisi doit être cohérent avec les ressources disponibles pour maintenir la cartographie dans la durée.