Points clés
- Les schémas de classification trop complexes sont ignorés — trois ou quatre niveaux maximum sont applicables en pratique.
- La classification est souvent réalisée par les équipes IT sans implication des métiers qui connaissent la valeur réelle des données.
- Une classification non associée à des mesures de protection différenciées est un exercice documentaire sans effet.
- La classification doit être revue périodiquement — la criticité d'un actif évolue avec le contexte organisationnel.
La complexité comme obstacle à l'opérationnalisation
Les schémas de classification des actifs issus des référentiels théoriques — cinq à sept niveaux de sensibilité, des dizaines de critères d'évaluation, des matrices de décision complexes — sont rarement applicables en pratique. La complexité décourage l'adoption : les équipes qui doivent classifier des centaines d'actifs avec des critères multiples et subjectifs produisent des classifications incohérentes ou abandonnent l'exercice. Les schémas de classification opérationnels les plus efficaces sont ceux qui définissent trois à quatre niveaux maximum, avec des critères simples et objectifs qui permettent une classification cohérente par des personnes sans expertise particulière en gestion des risques.
La classification par les équipes IT sans les métiers
La classification des actifs par les équipes IT seules produit une classification technique — basée sur les caractéristiques des systèmes — qui ne reflète pas nécessairement la valeur métier des données traitées. Un serveur peut sembler peu critique d'un point de vue technique mais héberger des données commerciales stratégiques dont la compromission aurait des conséquences majeures. L'inverse est également vrai. La classification opérationnellement utile implique les directions métiers dans l'évaluation de la valeur des données et des processus que chaque actif supporte. Ce n'est que la combinaison de la perspective technique (impact sur la disponibilité) et métier (impact sur les activités) qui produit une classification réellement représentative de la criticité.
Une classification sans effets différenciés
La classification des actifs n'a de valeur que si elle détermine des mesures de protection différenciées. Un actif classifié "critique" doit recevoir des patches dans des délais plus courts qu'un actif "standard". Il doit bénéficier d'une surveillance plus granulaire. Son accès doit être soumis à des contrôles plus stricts. Ses sauvegardes doivent être testées plus fréquemment. Si la classification ne conduit pas à des différences concrètes dans les mesures de protection appliquées, elle est un exercice documentaire sans effet sur la posture sécuritaire. La vérification qu'une classification produit des comportements opérationnels différenciés est le test de son caractère opérationnel.
La révision périodique comme condition de pertinence
La criticité d'un actif n'est pas une propriété immuable — elle évolue avec le contexte. Un système qui traitait des données peu sensibles peut devenir critique si son rôle évolue. Un actif critique peut devenir secondaire si les données qu'il traitait ont été migrées vers un autre système. Une application peut devenir critique si elle est exposée sur Internet alors qu'elle était auparavant accessible uniquement en interne. Sans révision périodique de la classification — au moins annuellement, et à chaque changement significatif de contexte — les classifications deviennent progressivement décalées de la réalité et les mesures de protection associées inadaptées aux risques réels.
Rendre la classification actionnable
Pour qu'une classification soit opérationnelle, elle doit être directement consommable par les processus qui en dépendent. Le processus de gestion des patches doit pouvoir interroger l'inventaire et obtenir automatiquement la liste des systèmes critiques nécessitant un patch en priorité. Les outils de surveillance doivent appliquer automatiquement les règles d'alerte correspondant au niveau de criticité de chaque actif. Les processus de contrôle d'accès doivent adapter les exigences d'authentification au niveau de criticité des systèmes concernés. Cette consommation automatique de la classification par les processus opérationnels est ce qui transforme un attribut documentaire en levier de décision opérationnel.