Inventaire des actifs ISO 27001 : qu’est-ce que c’est et comment le réaliser

L’inventaire des actifs figure parmi les premiers contrôles qu’examine un auditeur ISO 27001, et c’est aussi l’un de ceux qui révèlent le plus d’incohérences. Beaucoup d’organisations se présentent à l’audit avec un tableur qui ne reflète plus la réalité : des équipements non enregistrés, des départs jamais traités et des propriétaires qui ont quitté l’entreprise depuis des mois. Sans une liste fiable de ce qu’il faut protéger, tout le reste du système de management repose sur des suppositions.

Dans cet article, nous verrons ce que la norme ISO 27001 entend par inventaire des actifs, ce qu’elle exige, quels actifs et quelles informations recenser, et comment le construire et le maintenir sans dépendre d’un travail manuel.

Qu’est-ce qu’un inventaire des actifs selon la norme ISO 27001 ?

Un inventaire des actifs est le registre complet et à jour de tout ce qui a de la valeur pour la sécurité de l’information au sein d’une organisation, avec un responsable désigné pour chaque élément. La norme ne se limite pas aux ordinateurs ou aux serveurs. Un actif, c’est tout ce que l’entreprise doit protéger, car sa perte, son vol ou son usage détourné porterait atteinte à la confidentialité, à l’intégrité ou à la disponibilité de l’information.

La norme ISO 27001 distingue deux grandes catégories :

• Les actifs informationnels : les données elles-mêmes, quel que soit leur support. Bases de données clients, contrats, code source, documentation technique, propriété intellectuelle.
• Les actifs associés : tout ce qui supporte, traite, stocke ou transmet cette information. Ordinateurs portables, mobiles, serveurs, applications, licences logicielles, services cloud et même les personnes qui y ont accès.

Pourquoi l’inventaire est-il le socle du SMSI ?

On ne peut pas protéger ce dont on ignore l’existence. Un appareil absent de l’inventaire ne reçoit pas de correctifs, n’est pas chiffré et n’est pas révoqué lorsque son utilisateur quitte l’entreprise. C’est précisément le type d’actif par lequel survient un incident.

L’inventaire conditionne directement tout le reste du système de management de la sécurité de l’information (SMSI) :

• Analyse des risques : évaluer les risques suppose de savoir d’abord sur quoi ils portent. Sans inventaire, l’évaluation est incomplète par définition.
• Classification de l’information : impossible de décider ce qu’il faut protéger en priorité tant que les actifs ne sont pas identifiés et catalogués.
• Contrôle des accès : savoir qui doit accéder à quoi suppose de connaître les actifs existants et leur responsable.
• Gestion des incidents : en cas d’incident, l’inventaire permet de circonscrire le périmètre touché et d’identifier les actifs concernés.

Que exige la norme ISO 27001 en matière d’inventaire des actifs ?

L’exigence figure au contrôle 5.9 de l’Annexe A de la norme ISO/IEC 27001:2022, « Inventaire des informations et autres actifs associés » (équivalent de l’ancien A.8.1.1 de la version 2013). La norme demande d’élaborer et de tenir à jour un inventaire des actifs informationnels et des actifs associés, en indiquant leurs propriétaires.

Ce contrôle ne va pas seul. Deux autres l’accompagnent et complètent le cycle de vie de l’actif :

• Contrôle 5.10 (utilisation correcte) : définir des règles pour l’usage et la manipulation de l’information et des actifs associés.
• Contrôle 5.11 (restitution des actifs) : garantir qu’au terme de la relation de travail ou du contrat, la personne restitue les actifs qui lui avaient été attribués.

De ces exigences découlent trois conditions que l’auditeur vérifiera. L’inventaire doit être complet, sans laisser de côté des actifs importants. Chaque actif doit avoir un propriétaire identifié. Et l’ensemble doit être à jour et cohérent avec ce qui est réellement en service. L’absence de l’une de ces trois conditions se traduit généralement par une non-conformité.

Il convient de garder à l’esprit que cette exigence n’est pas propre à l’ISO 27001. La gestion des actifs figure aussi parmi les mesures minimales de la directive NIS2 — transposée en France par la loi du 30 avril 2025, sous l’égide de l’ANSSI — et parmi les exigences du Référentiel général de sécurité (RGS) applicable aux administrations. Un inventaire bien construit couvre donc plusieurs cadres à la fois.

Quels actifs faut-il inclure dans l’inventaire ?

L’erreur la plus fréquente consiste à limiter l’inventaire au matériel. La norme ISO 27001 couvre un spectre bien plus large, car l’information repose sur des catégories d’actifs très différentes :

• Matériel : ordinateurs portables, postes fixes, mobiles, tablettes, serveurs, équipements réseau et dispositifs de stockage.
• Logiciels : systèmes d’exploitation, applications de bureau, outils internes et licences.
• Informations et données : bases de données, fichiers, documentation, sauvegardes et journaux, où qu’ils se trouvent.
• Services cloud et SaaS : messagerie, CRM, stockage, outils collaboratifs et tout service souscrit qui traite des informations de l’entreprise.
• Actifs immatériels : propriété intellectuelle, réputation, savoir-faire et données sans support physique unique.
• Personnes : collaborateurs, prestataires et fournisseurs ayant accès à des informations ou à d’autres actifs, dans la mesure où cet accès doit être maîtrisé.

Le SaaS et les services cloud méritent une attention particulière. Ils sont la source habituelle du shadow IT : des applications souscrites par une équipe sans passer par l’IT, qui n’atterrissent jamais dans l’inventaire et échappent à tout contrôle.

Quelles informations doit contenir chaque actif de l’inventaire ?

Enregistrer le seul nom de l’actif ne suffit ni pour réussir un audit ni pour gérer la sécurité. Chaque entrée de l’inventaire doit contenir les informations qui permettent d’identifier l’actif, de le localiser et de savoir qui en répond :

• Identifiant unique : un code ou une référence qui distingue l’actif sans ambiguïté.
• Description et type : ce qu’est l’actif et à quelle catégorie il appartient (matériel, logiciel, service, donnée).
• Propriétaire : la personne ou le rôle responsable de l’actif et des décisions relatives à sa protection.
• Emplacement : où l’actif se trouve physiquement ou, pour les actifs logiques, dans quel environnement il réside.
• État : actif, en réparation, en stock ou mis hors service.
• Classification : le niveau de sensibilité de l’information qu’il contient ou traite.
• Dates d’enregistrement et de dernière revue : depuis quand l’actif est répertorié et quand il a été vérifié pour la dernière fois.

Comment réaliser l’inventaire des actifs étape par étape ?

Construire l’inventaire de zéro est bien plus gérable en procédant par étapes plutôt qu’en tentant de tout cataloguer d’un coup. Ces six étapes structurent le travail et évitent de le laisser à moitié fait :

1. Définir le périmètre

Avant de lister quoi que ce soit, délimitez les domaines, processus et sites qui entrent dans le SMSI. À partir de là, la règle est simple : dans le périmètre, tout ; en dehors, rien.

Les difficultés commencent lorsque le périmètre est mal défini. Trop étroit, il laisse des actifs non enregistrés. Trop large, il vous oblige à maintenir des informations sans valeur, qui ne génèrent que du travail. Formalisez-le par écrit et servez-vous-en comme filtre chaque fois que vous hésitez sur l’inclusion d’un élément.

2. Identifier et découvrir les actifs

C’est ici que l’inventaire se gagne ou se perd. Passez en revue chaque catégorie — matériel, logiciels, données, services et personnes — et mettez au jour tout ce qui existe à l’intérieur du périmètre.

Le shadow IT et l’ordinateur portable oublié au fond d’un tiroir ne se signalent pas d’eux-mêmes : ne vous en remettez pas à la seule mémoire de chaque responsable. La découverte automatique est ici votre meilleur allié.

3. Attribuer un propriétaire à chaque actif

Aucun élément ne doit rester sans responsable. Le propriétaire décide de la protection de l’actif et en répond.

Lorsqu’il n’est pas évident de savoir à qui attribuer un actif, ce doute est précisément ce qu’il faut trancher, et non repousser à plus tard. Un inventaire avec des propriétaires laissés en blanc, c’est une non-conformité qui attend l’auditeur.

4. Classer chaque actif

Attribuez à chaque actif le niveau de sensibilité qui lui correspond selon l’information qu’il manipule. Pour cela, il vous faut une échelle propre à l’organisation ; si elle n’existe pas encore, la définir est le préalable, car sans elle chacun classe à sa manière et la cohérence se perd.

Une fois l’échelle en main, le classement est rapide et vous indique où il faut renforcer la protection et où ce n’est pas nécessaire.

5. Documenter dans un outil centralisé

Tout ce qui précède doit vivre à un seul endroit, à partir duquel vous pourrez produire des preuves. Un tableur isolé devient obsolète en quelques semaines, car il dépend de quelqu’un pour être mis à jour à la main. Une plateforme connectée aux sources réelles s’alimente toute seule. Cette différence ne se voit pas au quotidien, mais elle saute aux yeux le jour de l’audit, lorsqu’on vous demande l’état actuel et non une photographie vieille de six mois.

6. Réviser et maintenir l’inventaire

Nous arrivons à l’étape que presque tout le monde néglige. Un inventaire impeccable le jour de sa création perd vite toute valeur si personne ne le maintient vivant.

Il faut une périodicité de revue et, surtout, un processus qui répercute les arrivées, les départs et les changements de propriétaire dès qu’ils surviennent. Le moyen le plus fiable d’y parvenir est de relier l’inventaire aux arrivées et aux départs du personnel : ainsi, chaque mouvement dans les effectifs se reflète dans le catalogue sans que personne ait à y penser.

Comment construire et maintenir l’inventaire avec Factorial IT ?

Factorial IT s’attaque à la racine du problème de l’inventaire : l’écart entre ce qui est documenté et ce qui est réellement en service. Au lieu de tenir un tableur à la main, la plateforme découvre et catalogue automatiquement les appareils et les logiciels de l’organisation, et maintient un inventaire en temps réel de chaque actif.

Chaque élément du catalogue contient les informations exigées par la norme ISO 27001 et vérifiées par l’auditeur :

• Propriétaire, état et coût : qui répond de chaque appareil, dans quelle situation il se trouve et combien il coûte, disponible en quelques secondes.
• Traçabilité des arrivées et des départs : chaque changement est enregistré, de sorte que l’historique reflète l’évolution réelle du parc.
• Cycle de vie complet : de l’attribution de l’équipement à sa mise hors service maîtrisée, sans actifs hors support qui disparaissent des radars.
• Preuves exportables : rapports et registres générés automatiquement, directement utilisables comme preuve de conformité.

La différence de fond tient à la connexion avec les RH. En reliant l’inventaire aux arrivées et aux départs, un collaborateur qui rejoint l’entreprise voit son équipement enregistré dès le premier jour, et celui qui la quitte laisse un actif marqué pour restitution sans aucune manipulation. C’est ce lien qui empêche l’inventaire de se désynchroniser — la cause même de l’échec de la plupart des inventaires le jour de l’audit.