Pourquoi cet article ?
Dans beaucoup d’organisations, la visibilité sécurité repose sur une hypothèse simple : le parc informatique est connu, inventorié et suivi.
En pratique, cette hypothèse est rarement totalement vraie. La CMDB décrit une partie du système d’information, le scanner de vulnérabilités en voit une autre, l’EDR remonte les machines protégées, le DHCP observe les équipements connectés, et le cloud ajoute des ressources parfois éphémères.
Le problème ne vient pas nécessairement d’un manque d’outils. Il vient plutôt d’un manque de consolidation entre les sources d’inventaire.
NOTE TERRAIN
Sur le terrain, le premier angle mort d’un programme de sécurité n’est pas toujours la vulnérabilité critique. C’est souvent l’actif qui n’apparaît dans aucun référentiel fiable.
Le faux sentiment de maîtrise
Une entreprise peut disposer d’une CMDB, d’un EDR, d’un scanner de vulnérabilités, d’un annuaire Active Directory, d’un MDM et d’outils cloud… tout en ayant encore des angles morts.
Chaque outil observe une réalité différente. La CMDB décrit les actifs déclarés. L’EDR voit les machines protégées. Le scanner voit ce qu’il parvient à atteindre. Le DHCP observe les équipements connectés. Le cloud expose des ressources qui peuvent apparaître et disparaître rapidement.
Le risque apparaît lorsque ces visions restent séparées. L’organisation pense connaître son parc, mais aucune source ne permet réellement de répondre seule à la question : qu’est-ce qui existe vraiment ?
Le vrai problème : ce qui n’est pas vu n’est pas traité
Une vulnérabilité détectée peut être analysée, priorisée et corrigée. Un actif inconnu, lui, ne rentre dans aucun processus.
Il ne sera pas scanné, pas supervisé, pas patché, pas rattaché à un propriétaire et parfois même jamais identifié comme faisant partie du système d’information.
C’est précisément pour cette raison que les assets inconnus peuvent représenter un risque supérieur à une vulnérabilité critique correctement détectée.
Retour terrain
Découverte sécurité • Plusieurs milliers d’actifs
Lors d’un projet de consolidation d’inventaire, le rapprochement entre la CMDB, le scanner de vulnérabilités et l’EDR a mis en évidence plusieurs centaines d’actifs absents de tout inventaire officiel.
Certaines machines existaient depuis plusieurs années. D’autres étaient encore utilisées quotidiennement, mais sans propriétaire clairement identifié.
Le premier bénéfice du projet n’a pas été la réduction immédiate des vulnérabilités. Le premier bénéfice a été la découverte du patrimoine réel.
- Actifs oubliés identifiés
- Vision consolidée du parc
- Ownership clarifié
Consolidation de la visibilité
TABLEAU DE DÉCISION
Qualifier les écarts d'inventaire
| Situation | Risque | Priorité | Action |
|---|---|---|---|
| Actif vu uniquement par le DHCP | 🔴 Élevé | Immédiate | Identifier et qualifier |
| Vu par le scanner mais absent de la CMDB | 🟠 Moyen | Rapide | Créer ou corriger l'inventaire |
| Vu uniquement par l'EDR | 🟡 À vérifier | Normale | Contrôler l'enrôlement |
| Présent dans toutes les sources | 🟢 Maîtrisé | Standard | Superviser normalement |
Construire une visibilité fiable
Aucun outil ne possède une vision complète du système d'information. Un scanner de vulnérabilités découvre les systèmes qu'il peut atteindre. Un EDR protège les machines sur lesquelles il est déployé. Une CMDB décrit les actifs qui ont été déclarés.
Le DHCP observe les équipements qui se connectent au réseau. Les plateformes cloud créent et suppriment des ressources parfois en quelques minutes. Chaque source apporte une partie de la réalité.
La véritable valeur apparaît lorsque ces sources sont rapprochées. C'est cette consolidation qui permet d'identifier les écarts, de qualifier les actifs inconnus et d'améliorer progressivement la qualité de l'inventaire.
La qualité d'un programme de cybersécurité dépend d'abord de la qualité de sa visibilité.
Bonnes pratiques
BONNE PRATIQUE
L'objectif n'est pas de construire un inventaire parfait. L'objectif est de réduire progressivement les angles morts en consolidant plusieurs sources d'information plutôt qu'en faisant confiance à un seul outil.
ERREUR FRÉQUENTE
L'erreur la plus fréquente consiste à considérer la CMDB ou le scanner de vulnérabilités comme une source unique de vérité. Chaque référentiel possède ses propres limites.
Checklist opérationnelle
Checklist de visibilité sécurité
- Identifier les sources d’inventaire disponibles : CMDB, EDR, scanner, DHCP, cloud, MDM.
- Comparer régulièrement les écarts entre les référentiels.
- Qualifier les actifs présents dans une source mais absents des autres.
- Identifier un propriétaire pour chaque actif découvert.
- Distinguer les actifs temporaires, obsolètes, oubliés ou réellement inconnus.
- Intégrer les actifs qualifiés dans les processus de scan, supervision et remédiation.
- Mesurer régulièrement le taux de couverture de l’inventaire sécurité.
Conclusion
Une vulnérabilité détectée peut être analysée, priorisée et corrigée. Un actif inconnu, lui, reste en dehors des processus de sécurité.
C’est pour cette raison que la visibilité doit être considérée comme une brique fondamentale d’un programme de cybersécurité. Avant de vouloir réduire le risque, il faut d’abord savoir ce qui existe réellement.
On ne protège pas ce que l’on ignore. On pilote uniquement ce que l’on voit.
NOTE TERRAIN
Question pour votre organisation :si vous comparez aujourd’hui votre CMDB, votre scanner de vulnérabilités, votre EDR, vos services cloud et vos données réseau, combien d’actifs différents allez-vous réellement retrouver ?