Les indicateurs pour piloter la maîtrise des ressources IT

Taux de couverture de l'inventaire, taux d'actifs en fin de support et fraîcheur par zone sont les indicateurs fondamentaux pour piloter la maîtrise des actifs numériques et justifier les investissements sécuritaires associés.

M
Mehdi SARIAK
24 mai 2026 7 min de lecture 14 lectures

Points clés

  • Le taux de couverture de l'inventaire — actifs connus / actifs réels — est l'indicateur fondamental de la maîtrise des actifs.
  • Le taux d'actifs en fin de support non remplacés mesure l'accumulation de dette technique à risque sécuritaire direct.
  • La fraîcheur de l'inventaire — délai depuis la dernière mise à jour de chaque actif — révèle les zones de dérive.
  • Les indicateurs de maîtrise des actifs doivent être reliés aux indicateurs sécuritaires pour démontrer la corrélation entre qualité de l'inventaire et posture sécuritaire.
Cas US Equifax (2017) — Si Equifax avait disposé d'un indicateur de couverture de l'inventaire logiciel — incluant les frameworks et bibliothèques utilisés par chaque application — et d'un indicateur de délai de patching des composants vulnérables, la vulnérabilité Apache Struts aurait été visible comme un actif critique non patché dans les délais cibles.

Le taux de couverture de l'inventaire : l'indicateur fondamental

Le taux de couverture de l'inventaire mesure le pourcentage des actifs réels qui sont répertoriés dans l'inventaire officiel. Il se calcule en comparant les résultats d'un scan de découverte exhaustif à l'inventaire existant et en rapportant le nombre d'actifs connus sur le nombre d'actifs découverts. Un taux de couverture de 85 % signifie que 15 % des actifs réels opèrent hors de la gouvernance sécuritaire. Cet indicateur, mesuré régulièrement, révèle la tendance de la maîtrise des actifs et permet de justifier les investissements dans l'amélioration des processus de découverte et d'enregistrement. Il doit être segmenté par type d'actif et par environnement pour identifier les zones de dérive les plus importantes.

Le taux d'actifs en fin de support

Les actifs en fin de support constructeur accumulent des vulnérabilités non corrigées à mesure que les CVE sont publiées sans patch disponible. Le taux d'actifs en fin de support dans l'inventaire — exprimé en pourcentage du parc total, et idéalement pondéré par la criticité — est un indicateur direct de la dette sécuritaire accumulée. La tendance de cet indicateur révèle si l'organisation traite activement ses actifs en fin de support ou si la dette s'accumule. Un plan de remédiation chiffré — coûts de migration ou de remplacement, délais et dépendances — transforme cet indicateur en outil de décision d'investissement présentable aux instances dirigeantes.

La fraîcheur de l'inventaire par zone

La fraîcheur de l'inventaire mesure le délai depuis la dernière mise à jour de chaque actif répertorié. Un actif dont les métadonnées n'ont pas été mises à jour depuis 18 mois dans un environnement dynamique est probablement un actif dont l'état réel ne correspond plus à l'inventaire. Cet indicateur, agrégé par zone d'inventaire (par équipe responsable, par type d'actif, par environnement), révèle les zones où les processus de mise à jour fonctionnent mal. Les zones avec une faible fraîcheur sont les candidates prioritaires pour des campagnes de réconciliation entre l'inventaire et la réalité de l'environnement.

Cas EU Renault (2017) — Un indicateur de fraîcheur de l'inventaire pour les systèmes industriels aurait révélé que de nombreuses machines de production n'avaient pas été mises à jour dans l'inventaire depuis leur déploiement initial, plusieurs années avant l'incident. Cette dérive aurait pu déclencher une campagne de réconciliation qui aurait identifié les systèmes non patchés avant que WannaCry ne les exploite.

Relier les indicateurs d'inventaire aux indicateurs sécuritaires

Les indicateurs de maîtrise des actifs n'ont leur pleine valeur que lorsqu'ils sont corrélés aux indicateurs de sécurité. La corrélation entre le taux de couverture de l'inventaire et le nombre d'actifs découverts lors des scans de vulnérabilités démontre l'impact de l'inventaire sur la surface d'exposition. La corrélation entre le taux d'actifs en fin de support et le nombre de vulnérabilités critiques non patchées quantifie la dette sécuritaire accumulée. Ces corrélations transforment les indicateurs d'inventaire de métriques de gouvernance IT en arguments économiques qui justifient les investissements dans l'amélioration de la maîtrise des actifs.

Tableau de bord de maîtrise des actifs : structure recommandée

Un tableau de bord opérationnel de maîtrise des actifs doit combiner quatre dimensions. La couverture : taux d'inventaire, nombre d'actifs fantômes découverts lors du dernier scan. La qualité : taux de complétude des métadonnées, fraîcheur par zone. Le risque : taux d'actifs en fin de support, nombre de vulnérabilités critiques sur des actifs non inventoriés. Et la tendance : évolution de chaque indicateur sur les 12 derniers mois. Ce tableau de bord, présenté mensuellement aux équipes de gouvernance IT et sécurité, fournit une base de pilotage objective et actionnable pour l'amélioration continue de la maîtrise des actifs.

Cas Asie Cathay Pacific (2018) — L'absence d'indicateurs de maîtrise des actifs avait rendu invisible la dérive progressive de l'inventaire, qui ne couvrait plus l'ensemble des systèmes de la compagnie au moment de la compromission. Des indicateurs de couverture et de fraîcheur auraient permis de détecter cette dérive avant qu'elle ne crée des angles morts exploités par les attaquants.
WhatsApp