Les actifs numériques mal identifiés sont la première faille des organisations

Ce que l'on ne connaît pas, on ne peut pas le protéger

Le principe est élémentaire mais ses conséquences sont profondes : la sécurité d'un système présuppose la connaissance de ce système. Un serveur non inventorié ne recevra pas de patches. Une application non documentée ne sera pas incluse dans les scans de vulnérabilités. Un compte de service non répertorié ne sera pas inclus dans les revues d'accès. Un actif cloud provisionné hors des processus formels ne sera pas soumis aux politiques de configuration de sécurité. La qualité de l'inventaire des actifs détermine directement le périmètre réel de la protection — et l'écart entre l'inventaire et la réalité détermine la taille des angles morts exploitables.

Les actifs fantômes : une réalité universelle

Les actifs fantômes sont des ressources numériques présentes dans l'environnement de production mais absentes de l'inventaire officiel. Ils naissent de plusieurs façons : des ressources cloud provisionnées directement par des équipes métiers sans passer par les processus IT formels (shadow IT) ; des serveurs déployés pour des projets pilotes jamais officialisés ; des applications développées par des équipes métiers pour des besoins locaux ; des instances de test qui n'ont jamais été arrêtées ; des systèmes hérités d'acquisitions jamais intégrés dans l'inventaire. Quelle que soit leur origine, ces actifs fantômes représentent une surface d'attaque non gérée, non surveillée et non protégée.

La surface d'attaque réelle versus la surface d'attaque connue

L'écart entre la surface d'attaque réelle — l'ensemble des actifs exposables dans l'environnement de l'organisation — et la surface d'attaque connue — l'ensemble des actifs inclus dans les programmes de sécurité — est une métrique de risque fondamentale. Dans les organisations sans gestion rigoureuse des actifs, cet écart peut être considérable. Un scan de découverte réseau réalisé dans ces organisations révèle régulièrement des dizaines à des centaines d'actifs non répertoriés dans l'inventaire officiel. Chacun de ces actifs représente un risque non évalué, non traité et potentiellement exploitable par un attaquant qui n'a aucun mal à les découvrir.

L'inventaire comme prérequis à toute initiative de sécurité

Les initiatives de sécurité les plus ambitieuses — déploiement d'un SIEM, programme de gestion des vulnérabilités, projet zero trust — ont une efficacité limitée si elles sont appliquées à un inventaire incomplet. Un SIEM qui ne reçoit pas les logs d'un tiers des systèmes en production ne peut pas détecter les incidents qui s'y produisent. Un programme de gestion des vulnérabilités qui ne couvre pas les actifs fantômes laisse des vulnérabilités critiques non traitées. L'inventaire des actifs n'est pas un projet de gouvernance IT — c'est la fondation sur laquelle repose l'efficacité de l'ensemble du programme de sécurité.

Commencer par la découverte active

Pour les organisations dont l'inventaire est significativement incomplet, la première étape est la découverte active — un scan systématique de l'ensemble des adresses IP, plages réseau et espaces cloud pour identifier ce qui existe réellement dans l'environnement. Cette découverte produit une liste d'actifs qui peut ensuite être réconciliée avec l'inventaire officiel pour identifier les actifs fantômes. Ce processus révèle souvent des surprises — des systèmes que personne ne reconnaît immédiatement, des services exposés dont l'existence était inconnue, des instances cloud oubliées qui génèrent des coûts et des risques. La découverte active est le point de départ d'une gestion des actifs réaliste.