En cybersécurité, il est impossible de mettre en place une stratégie de protection efficace sans savoir précisément ce que l'on souhaite protéger. Les ressources possédant une valeur pour une personne, une entreprise ou une organisation sont appelées des actifs.

Les actifs ne se limitent pas aux ordinateurs et aux serveurs. Ils comprennent également les données, les logiciels, les équipements réseau, les services numériques, les comptes utilisateurs et de nombreuses autres ressources indispensables au fonctionnement d'un système d'information.

1. À propos d'un actif en cybersécurité

Un actif est une ressource possédant une valeur pour une personne, une entreprise ou une organisation et qui doit, à ce titre, être protégée.

Cette valeur peut être financière, commerciale, technique, juridique, stratégique ou simplement indispensable au fonctionnement d'une activité.

Un ordinateur utilisé par un employé constitue par exemple un actif. Il en est de même pour le système d'exploitation installé sur cet ordinateur, les documents qu'il contient et le compte permettant à l'utilisateur de s'authentifier.

Les éléments suivants constituent des exemples courants d'actifs :

• un ordinateur ;
• un serveur ;
• un smartphone ;
• une application ;
• une base de données ;
• un site web ;
• un compte utilisateur ;
• un nom de domaine ;
• un document confidentiel ;
• une sauvegarde.

La notion d'actif est donc très large. Elle désigne pratiquement toute ressource dont la perte, la destruction, la modification, la divulgation ou l'indisponibilité pourrait avoir des conséquences négatives.

2. Pourquoi les actifs doivent-ils être protégés ?

Un actif doit être protégé parce qu'il possède une valeur et qu'une atteinte portée à cet actif peut avoir des conséquences pour son propriétaire ou pour l'organisation qui l'utilise.

La compromission d'un actif peut notamment provoquer :

• une perte de données ;
• une interruption d'activité ;
• une perte financière ;
• une fuite d'informations confidentielles ;
• une atteinte à la réputation ;
• une perte de confiance des utilisateurs ou des clients ;
• des conséquences juridiques ;
• une prise de contrôle d'un système informatique.

La protection des actifs repose notamment sur trois propriétés fondamentales de la sécurité de l'information : la confidentialité, l'intégrité et la disponibilité.

2.1. Confidentialité

La confidentialité consiste à empêcher les personnes non autorisées d'accéder à une information ou à une ressource.

Par exemple, les informations personnelles enregistrées dans une base de données clients ne doivent pas pouvoir être consultées librement par n'importe quel utilisateur.

2.2. Intégrité

L'intégrité consiste à garantir qu'un actif ne soit pas modifié de manière non autorisée.

Par exemple, un attaquant ne doit pas pouvoir modifier les prix enregistrés dans la base de données d'une boutique en ligne.

2.3. Disponibilité

La disponibilité consiste à garantir qu'un actif reste accessible aux personnes autorisées lorsqu'elles en ont besoin.

Un serveur hébergeant un site de commerce électronique doit par exemple rester disponible afin que les clients puissent accéder au site et effectuer leurs achats.

3. Les actifs matériels

Les actifs matériels correspondent aux équipements physiques utilisés pour stocker, traiter, transmettre ou consulter des informations.

Parmi les actifs matériels, on peut notamment trouver :

• les ordinateurs de bureau ;
• les ordinateurs portables ;
• les serveurs ;
• les smartphones ;
• les tablettes ;
• les disques durs ;
• les clés USB ;
• les routeurs ;
• les commutateurs réseau ;
• les points d'accès Wi-Fi ;
• les imprimantes ;
• les équipements de sauvegarde.

Ces équipements peuvent être exposés à différentes menaces telles que le vol, la dégradation, la panne, l'accès physique non autorisé ou certaines attaques informatiques.

La protection des actifs matériels peut donc nécessiter des mesures physiques et informatiques : contrôle d'accès aux locaux, verrouillage des postes, chiffrement des supports de stockage, sauvegardes et maintenance régulière.

4. Les actifs logiciels

Les actifs logiciels correspondent aux programmes et systèmes permettant de réaliser des traitements informatiques.

Ils comprennent notamment :

• les systèmes d'exploitation ;
• les applications web ;
• les applications mobiles ;
• les logiciels métiers ;
• les systèmes de gestion de bases de données ;
• les CMS ;
• les logiciels de sécurité ;
• les outils d'administration ;
• les bibliothèques et dépendances logicielles.

Un site utilisant WordPress possède par exemple plusieurs actifs logiciels : WordPress lui-même, le thème utilisé, les extensions installées et éventuellement les applications supplémentaires présentes sur le serveur.

Les logiciels doivent être protégés notamment contre les vulnérabilités, les modifications non autorisées et les logiciels malveillants.

Les mises à jour de sécurité jouent ici un rôle essentiel. Un logiciel ancien ou non mis à jour peut contenir une vulnérabilité connue susceptible d'être exploitée par un attaquant.

5. Les actifs informationnels

Les actifs informationnels correspondent aux informations et aux données possédant une valeur pour une personne ou une organisation.

Ils peuvent notamment comprendre :

• les données personnelles ;
• les données des clients ;
• les bases de données ;
• les documents confidentiels ;
• les informations financières ;
• les contrats ;
• les courriers électroniques ;
• les codes sources ;
• les fichiers de configuration ;
• les sauvegardes.

Les données constituent souvent l'un des actifs les plus précieux d'une organisation. Un ordinateur endommagé peut généralement être remplacé, tandis que certaines données perdues définitivement peuvent être impossibles à reconstituer.

Les actifs informationnels doivent notamment être protégés contre la divulgation, la modification, la suppression et la perte.

Les sauvegardes, le chiffrement, les contrôles d'accès et la gestion des autorisations constituent des mesures importantes pour assurer leur protection.

6. Les actifs réseau et les services numériques

Les infrastructures permettant aux équipements de communiquer et aux utilisateurs d'accéder aux services constituent également des actifs importants.

6.1. Les actifs réseau

Les actifs réseau comprennent les ressources utilisées pour assurer les communications informatiques.

• routeurs ;
• commutateurs ;
• pare-feu ;
• points d'accès Wi-Fi ;
• VPN ;
• adresses IP ;
• infrastructures DNS.

La compromission d'un équipement réseau peut permettre à un attaquant d'intercepter des communications, de perturber le réseau ou d'accéder à d'autres systèmes.

6.2. Les services numériques

Un service numérique peut lui aussi constituer un actif lorsqu'il joue un rôle dans le fonctionnement d'une activité.

Il peut s'agir par exemple :

• d'un site web ;
• d'un service de messagerie ;
• d'un service DNS ;
• d'un espace de stockage cloud ;
• d'une plateforme de commerce électronique ;
• d'une API ;
• d'un service d'authentification.

Un nom de domaine utilisé par une entreprise constitue également un actif important. Sa compromission pourrait permettre à un attaquant de détourner les visiteurs vers une infrastructure frauduleuse.

7. Les identités numériques et les comptes utilisateurs

Les identités numériques constituent une autre catégorie d'actifs particulièrement importante en cybersécurité.

Une identité numérique permet généralement d'identifier un utilisateur et de déterminer les ressources auxquelles il peut accéder.

Parmi les actifs liés aux identités, on peut trouver :

• les comptes utilisateurs ;
• les comptes administrateurs ;
• les comptes de messagerie ;
• les comptes cloud ;
• les identifiants de connexion ;
• les clés API ;
• les certificats numériques ;
• les jetons d'authentification.

Les comptes administrateurs sont particulièrement sensibles car ils disposent généralement de privilèges élevés.

Si un attaquant obtient les identifiants d'un administrateur, il peut éventuellement accéder aux données, modifier les configurations, créer de nouveaux comptes ou prendre le contrôle d'une partie importante du système.

La protection des identités numériques repose notamment sur l'utilisation de mots de passe robustes, l'authentification multifacteur, la limitation des privilèges et la surveillance des connexions.

8. Identifier et inventorier les actifs

Une organisation ne peut pas protéger efficacement des ressources dont elle ignore l'existence. L'identification des actifs constitue donc une étape fondamentale d'une démarche de cybersécurité.

8.1. Identifier les actifs

L'identification consiste à déterminer les différentes ressources présentes dans le système d'information.

Pour un site web, on pourrait par exemple identifier les actifs suivants :

• le serveur web ;
• le système d'exploitation ;
• l'application web ;
• la base de données ;
• le nom de domaine ;
• le certificat TLS ;
• les comptes administrateurs ;
• les données des utilisateurs ;
• les sauvegardes.

8.2. Créer un inventaire des actifs

Une fois les ressources identifiées, elles peuvent être regroupées dans un inventaire des actifs.

Cet inventaire peut contenir différentes informations permettant de connaître et de gérer chaque actif.

L'inventaire doit être régulièrement mis à jour afin de tenir compte de l'ajout, du remplacement ou de la suppression de ressources.

9. Classification et criticité des actifs

Tous les actifs ne possèdent pas la même valeur et leur compromission n'entraîne pas les mêmes conséquences. Il est donc nécessaire d'évaluer leur criticité.

Une classification simple peut par exemple utiliser quatre niveaux :

• Faible : la compromission de l'actif aurait des conséquences limitées.
• Moyenne : la compromission pourrait perturber certaines activités.
• Élevée : la compromission pourrait fortement perturber l'organisation.
• Critique : la compromission pourrait provoquer des conséquences majeures ou empêcher une activité essentielle de fonctionner.

La criticité peut être déterminée en étudiant les conséquences d'une perte de confidentialité, d'intégrité ou de disponibilité.

Par exemple, la base de données contenant les comptes clients d'une plateforme peut être considérée comme un actif critique, tandis qu'un ordinateur de test ne contenant aucune donnée importante peut avoir une criticité plus faible.

Cette classification permet de définir des priorités de protection. Les ressources les plus critiques doivent généralement bénéficier des mesures de sécurité les plus importantes.

10. Actifs, menaces, vulnérabilités et risques

La notion d'actif est étroitement liée aux notions de menace, de vulnérabilité et de risque.

10.1. Actif et menace

Une menace correspond à un événement, une situation ou un acteur susceptible de porter atteinte à un actif.

Les menaces peuvent être d'origine humaine, technique ou environnementale. Il peut par exemple s'agir d'un attaquant, d'un malware, d'une erreur humaine, d'une panne ou d'un incendie.

10.2. Actif et vulnérabilité

Une vulnérabilité est une faiblesse susceptible d'être exploitée ou de favoriser la réalisation d'une menace.

Un mot de passe faible, un logiciel non mis à jour ou une mauvaise configuration peuvent constituer des vulnérabilités.

10.3. Actif et risque

Le risque correspond à la possibilité qu'un événement indésirable affecte un actif et provoque des conséquences négatives.

L'exemple suivant permet de distinguer les différentes notions :

Sortie :

Un deuxième exemple peut être donné avec une base de données :

Sortie :

Cette relation est fondamentale en cybersécurité. Avant de rechercher les vulnérabilités ou d'étudier les attaques, il faut commencer par déterminer quels sont les actifs à protéger.

11. À retenir !

• Un actif est une ressource possédant une valeur et qui doit être protégée.
• Un actif peut être matériel, logiciel, informationnel, lié au réseau, à un service numérique ou à une identité numérique.
• Un ordinateur, un serveur, une application, une base de données et un compte utilisateur sont des exemples d'actifs.
• La valeur d'un actif dépend notamment de son importance pour son propriétaire ou pour l'organisation.
• La sécurité cherche notamment à préserver la confidentialité, l'intégrité et la disponibilité des actifs.
• Les actifs doivent être identifiés et regroupés dans un inventaire des actifs.
• La classification permet de déterminer la criticité des différents actifs.
• Les actifs les plus critiques doivent bénéficier en priorité de mesures de sécurité adaptées.
• Une menace peut porter atteinte à un actif.
• Une vulnérabilité représente une faiblesse susceptible d'être exploitée.
• Un risque correspond à la possibilité qu'un événement indésirable affecte un actif et entraîne des conséquences négatives.
• L'identification des actifs constitue l'une des premières étapes d'une démarche de cybersécurité.

Auteur : Younes Derfoufi
Lieu de travail : CRMEF OUJDA
Site Web : www.tresfacile.net
Chaine YouTube : https://www.youtube.com/user/InformatiquesFacile
Me contacter : https://www.tresfacile.net/me-contacter/