Cartographie du SI : la construire pas à pas

La cartographie du SI est la représentation du système d'information d'une organisation et de ses liens avec l'extérieur : un inventaire de ses composants et une série de vues, du métier jusqu'aux équipements. L'ANSSI lui consacre un guide qui propose six vues et une démarche en cinq étapes. C'est le point de départ de toute analyse de risques sérieuse, et un outil précieux le jour d'un incident.

L'Agence nationale de la sécurité des systèmes d'information (ANSSI) a publié en novembre 2018 le guide « Cartographie du système d'information, guide d'élaboration en 5 étapes ». Écrit d'abord pour les opérateurs d'importance vitale, il se veut utilisable par toute organisation. Il définit la cartographie comme une représentation du SI et de ses connexions avec l'extérieur, qui associe deux choses :

• un inventaire, c'est-à-dire la liste détaillée des composants du système : applications, serveurs, réseaux, comptes, prestataires ;
• des vues, qui sont des représentations partielles du SI, chacune sous un angle précis.

Le guide rattache la cartographie à quatre enjeux. La maîtrise du SI : savoir ce qui existe et qui en est responsable. Sa protection : choisir les mesures là où elles comptent. Sa défense : comprendre rapidement le périmètre d'une attaque. Sa résilience : savoir dans quel ordre reconstruire. Une organisation qui découvre ses dépendances pendant une crise perd des heures précieuses, comme le rappelle notre article sur le plan de continuité d'activité.

Attention à la confusion fréquente : la cartographie du SI décrit l'existant, elle n'évalue pas les risques. C'est la cartographie des risques qui, en s'appuyant sur elle, cote ce qui peut mal tourner. La première est le socle de la seconde.

Le guide propose six vues, regroupées en trois visions, pour passer progressivement du métier à la technique.

• Vue de l'écosystème (vision métier) : les entités internes ou externes en relation avec le SI, comme les clients, les fournisseurs, les partenaires, avec leurs relations et leurs contacts sécurité.
• Vue métier du SI (vision métier) : les processus, activités et tâches de l'organisation, les acteurs qui les réalisent et les informations qu'ils manipulent.
• Vue des applications (vision applicative) : les blocs applicatifs, applications, services, bases de données et les flux qui les relient.
• Vue de l'administration (vision applicative) : les zones et moyens d'administration, les annuaires et domaines (Active Directory, LDAP) et les niveaux de privilège.
• Vue des infrastructures logiques (vision infrastructure) : réseaux, sous-réseaux, VLAN, plages d'adresses, passerelles, équipements de sécurité, serveurs DNS et DHCP.
• Vue des infrastructures physiques (vision infrastructure) : sites, bâtiments, salles, baies, serveurs, postes, stockage et liaisons physiques.

Ce qui fait la valeur de l'ensemble, ce sont les objets pivots : des éléments présents dans deux vues, qui permettent de passer de l'une à l'autre. Une application apparaît dans la vue métier, parce qu'elle soutient une activité, et dans la vue logique, parce qu'elle tourne dans une zone du réseau. En suivant ces objets, on remonte d'un serveur aux activités qu'il fait vivre, ou l'on descend d'un processus jusqu'à la salle où il est hébergé. Essayez dans le schéma ci-dessous : l'annuaire Active Directory, par exemple, porte à lui seul deux activités.

Le guide de l'ANSSI organise la démarche autour de cinq questions : comment l'initier, quel modèle adopter, quels outils utiliser, comment la construire et comment la faire durer.

Le guide distingue trois niveaux, ce qui évite de tout vouloir faire d'un coup.

• Niveau 1 : une cartographie orientée sécurité, limitée aux éléments indispensables et à quelques vues. C'est une étape intermédiaire.
• Niveau 2 : une cartographie orientée sécurité qui couvre toutes les vues. C'est le minimum attendu pour les systèmes d'information d'importance vitale.
• Niveau 3 : une cartographie exhaustive et détaillée, dans une démarche globale qui dépasse la seule sécurité.

Pour une PME ou une collectivité qui débute, viser le niveau 1 sur un périmètre restreint est réaliste : les vues écosystème et métier, plus les applications et l'administration des activités critiques. Les vues écosystème servent aussi de point de départ à la gestion des risques tiers, puisqu'elles recensent les prestataires dont vous dépendez.

Une cartographie du SI est aussi une carte au trésor pour un attaquant : elle montre où sont les serveurs, les comptes d'administration et les flux. Le guide de l'ANSSI en tire plusieurs règles.

• Lui donner une mention de protection, par exemple « confidentiel entreprise » ou « diffusion restreinte » ; pour les systèmes d'information d'importance vitale, elle porte au minimum la mention diffusion restreinte.
• Limiter les accès au besoin d'en connaître : la vue métier peut être largement partagée, les vues d'infrastructure restent à la DSI. Le RSSI et l'équipe de réponse aux incidents doivent toujours y avoir accès.
• Ne pas la stocker sur le SI qu'elle décrit, et prévoir des sauvegardes sécurisées, jusqu'à une copie papier, pour qu'elle reste consultable si le réseau est coupé.

Ce dernier point est souvent oublié : le jour où un rançongiciel chiffre le serveur de fichiers, la cartographie rangée dessus ne sert plus à rien.

La méthode EBIOS Risk Manager commence par un atelier de cadrage où l'on identifie les valeurs métier, ce qui compte vraiment pour l'organisation, et les biens supports sur lesquels elles reposent. Le guide de l'ANSSI sur la cartographie établit la correspondance : les objets de la vue métier correspondent aux valeurs métier, les objets techniques aux biens supports. De son côté, le guide EBIOS RM cite la cartographie du SI comme base pour identifier les biens supports.

Le premier atelier d'EBIOS RM recommande de s'en tenir à un nombre limité de valeurs métier, de l'ordre de cinq à dix, et à un à trois biens supports pour chacune au départ. Une cartographie de niveau 1 bien faite fournit exactement cela. Elle aide aussi à exprimer les besoins de sécurité de chaque valeur métier, par exemple avec les critères DICP, puis à mener l'analyse de risques et à suivre le risque résiduel une fois les mesures appliquées.

Le guide mentionne d'autres usages : le registre des traitements exigé par le règlement général sur la protection des données (RGPD), par exemple, gagne à s'appuyer sur la vue métier, qui décrit déjà quelles informations chaque activité manipule.

• Partir du métier. Une cartographie qui commence par le réseau finit souvent en schéma d'architecte que la direction ne lit pas.
• Nommer des propriétaires. Chaque processus a un responsable métier, chaque application un responsable technique : ce sont eux qui valident les mises à jour.
• Relier la mise à jour aux projets. Un nouveau prestataire, une migration vers le cloud ou une nouvelle application doivent modifier la cartographie avant la mise en production.
• Repérer les points de concentration. Un objet dont dépendent plusieurs activités critiques (un annuaire, un hébergeur, une liaison) est candidat à une protection renforcée.
• Tester sa disponibilité. Lors d'un exercice de crise, vérifiez que la cartographie est consultable sans le SI.

Les valeurs métier et les biens supports issus de la cartographie sont le point de départ des analyses EBIOS RM. Pour voir comment ils s'enchaînent avec les ateliers suivants, consultez notre page logiciel EBIOS RM.