J'ai cartographié un SI que la direction croyait connaître — 7 étapes, et 4 catégories d'actifs systématiquement oubliées

La réunion de lancement avait duré vingt minutes. Le directeur des systèmes d'information nous avait remis un schéma d'architecture propre, à jour, et parfaitement inutile : il décrivait le réseau. Pas une ligne n'indiquait quel processus métier s'arrêtait si l'une de ces machines tombait, ni quelles données partaient chez quels prestataires.

C'est l'erreur la plus commune en matière de cartographie du système d'information, et elle coûte cher au moment de la mise en conformité NIS2 : on produit un inventaire technique là où le régulateur, l'assureur et l'auditeur attendent une carte des dépendances métier.

Pourquoi c'est le premier livrable, avant tout le reste

La directive NIS2 n'exige pas un document intitulé « cartographie ». Elle exige une analyse des risques, une politique de sécurité, une gestion des incidents, un plan de continuité et la maîtrise de la chaîne d'approvisionnement. Aucune de ces obligations n'est démontrable sans savoir ce que vous exploitez.

Le raisonnement est le même pour une certification : l'inventaire des actifs est le point d'entrée d'ISO 27001, et une analyse d'écart ISO 27001 / NIS2 menée sans cartographie préalable produit des conclusions qui ne valent rien, puisqu'elle évalue un périmètre partiel.

Dit autrement : on ne protège pas ce qu'on ne sait pas posséder, et on ne notifie pas un incident sur un système dont on ignore l'existence. En audit, l'absence de cartographie à jour est le premier élément qui fait basculer un dossier vers un constat d'écart majeur.

Étape 1 — Lister les processus métier avant de toucher au réseau

Asseyez-vous avec la direction et écrivez la liste des processus qui font vivre l'entreprise : vendre, produire, facturer, encaisser, payer les salaires, livrer, assurer le support. Une PME en compte généralement entre huit et quinze.

Pour chacun, posez deux questions et notez les réponses : « si ce processus s'arrête, au bout de combien de temps est-ce grave ? » et « qui, nommément, est responsable de ce processus ? ». Vous tenez là l'ossature de toute la cartographie. Tout ce qui suit s'y rattachera.

Ne sautez pas cette étape sous prétexte qu'elle n'est pas technique. C'est elle qui transforme un inventaire en outil de décision, et c'est la seule qui permettra plus tard de justifier vos priorités d'investissement.

Étape 2 — Rattacher les applications aux processus

Descendez d'un cran. Pour chaque processus, listez les applications qui le portent : l'ERP, le CRM, la paie, la messagerie, l'outil de facturation, la plateforme de commande.

Deux découvertes reviennent systématiquement à ce stade. D'abord, des applications critiques que la DSI ne gère pas — un tableur partagé qui pilote en réalité les approvisionnements, un outil souscrit par le service commercial. Ensuite, des applications gérées et payées que plus personne n'utilise.

Menez cette étape en entretien avec les métiers, jamais depuis la DSI seule. La question qui débloque tout est concrète : « montrez-moi comment vous faites, un lundi matin ».

Étape 3 — Descendre à l'infrastructure et aux données

Vient enfin la partie technique, et elle est la plus rapide. Pour chaque application, notez où elle s'exécute — serveur interne, cloud, SaaS —, où sont stockées ses données, et quelles interfaces la relient aux autres applications.

Ajoutez pour chaque jeu de données trois attributs qui serviront directement à vos obligations RGPD et NIS2 : la nature des données (personnelles, de santé, bancaires, industrielles), leur localisation, et leur durée de conservation.

C'est ici qu'un scan réseau interne devient utile — mais comme moyen de vérification, pas de découverte : comparez ce que le réseau révèle à ce que les entretiens ont produit. Les écarts entre les deux listes sont la partie la plus intéressante de l'exercice.

Étape 4 — Aller chercher les 4 catégories toujours oubliées

C'est l'étape qui distingue une cartographie utile d'un document de façade. Quatre familles d'actifs échappent presque systématiquement au recensement, et ce sont statistiquement celles qui posent le plus de problèmes.

1. Le SaaS souscrit hors DSI. Outils de signature électronique, de gestion de projet, de visioconférence, de transfert de fichiers, souscrits par carte bancaire d'un service. La méthode de découverte n'est pas technique : demandez à la comptabilité l'export des prélèvements récurrents des vingt-quatre derniers mois. C'est la source la plus fiable qui existe, et elle est immédiatement disponible.

2. Les accès des prestataires. Le mainteneur de l'ERP, l'infogéreur, l'agence web, l'expert-comptable, le prestataire de télémaintenance sur un équipement industriel. Ces accès sont souvent permanents, rarement inventoriés et presque jamais révoqués à la fin d'un contrat. NIS2 traite explicitement de la sécurité de la chaîne d'approvisionnement : cette liste est attendue.

3. Les traitements sous-traités. Vos données ne sont pas toutes chez vous. Paie externalisée, hébergement de sauvegardes, plateforme de recrutement, prestataire de facturation. Chacun de ces sous-traitants constitue un point d'entrée et une obligation contractuelle — c'est par un sous-traitant que transitent une part importante des incidents rendus publics ces derniers mois.

4. Les actifs dormants. Le serveur de l'ancien site web, l'environnement de test monté pour une migration terminée, le compte de service d'une application décommissionnée. Ils ne rendent plus aucun service, personne ne les surveille, plus personne ne les met à jour — et ils sont toujours joignables.

Étape 5 — Nommer un propriétaire pour chaque actif

Une cartographie sans propriétaire nommé est morte le jour de sa livraison. Chaque ligne doit porter un nom de personne, pas un nom de service. « La DSI » n'est pas un propriétaire ; c'est une façon polie de dire que personne ne l'est.

Distinguez deux rôles, car ils sont rarement tenus par la même personne. Le propriétaire métier décide de la criticité, des droits d'accès et de la durée de conservation. Le responsable technique applique les correctifs, gère les sauvegardes et intervient en cas de panne.

Cet exercice a un effet secondaire utile : il révèle immédiatement les actifs orphelins. Toute ligne pour laquelle personne n'accepte de mettre son nom est soit à décommissionner, soit à réattribuer formellement.

Étape 6 — Choisir le format le plus ennuyeux possible

C'est un conseil contre-intuitif, alors je le formule sans détour : le beau schéma d'architecture est un piège. Il impressionne en comité de direction, il coûte cher à produire, et il n'est jamais mis à jour parce que le modifier demande de rouvrir un outil de dessin que trois personnes maîtrisent.

Le format qui survit est un registre unique, tabulaire et versionné. Une ligne par actif, et les colonnes suivantes : identifiant, type, processus métier rattaché, propriétaire métier, responsable technique, hébergement, nature des données, criticité, durée d'interruption tolérée, fournisseur, date de dernière revue.

Un tableur versionné suffit parfaitement pour une PME. Ajoutez les schémas visuels ensuite, pour communiquer — mais faites du registre la source unique de vérité. Cette structure est directement réutilisable pour votre audit de périmètre NIS2 et pour l'inventaire des actifs ISO 27001.

Étape 7 — Rattacher la mise à jour à des événements, pas à une date

C'est ici que 90 % des cartographies meurent. Elles sont exactes le jour de leur livraison, approximatives six mois plus tard, et trompeuses au bout d'un an — ce qui est pire que de ne rien avoir, parce qu'on prend alors des décisions sur une carte fausse.

Une revue trimestrielle légère et une revue annuelle complète constituent une bonne base. Mais le vrai levier n'est pas le calendrier, c'est le déclencheur. Trois événements doivent imposer une mise à jour immédiate :

• Toute mise en production d'une nouvelle application ou d'un nouveau service.
• Toute signature de contrat fournisseur impliquant un accès ou un traitement de données.
• Toute fin de contrat — c'est le déclencheur le plus souvent oublié, et celui qui crée les accès fantômes.

Tant que personne n'a l'obligation formelle de mettre à jour le registre au moment où il signe un contrat, il ne sera pas mis à jour. Inscrivez-le dans le processus achats, pas dans une note de service.

Ce que cela coûte réellement

Pour une PME de 50 à 250 personnes, comptez trois à six semaines calendaires et une charge de dix à vingt jours-homme. La répartition surprend souvent : environ 70 % du temps part en entretiens métier et en collecte auprès des services non informatiques, contre 30 % de travail technique.

Cette proportion est le meilleur indicateur de qualité dont vous disposez. Une cartographie produite en une semaine, exclusivement depuis la DSI, est un inventaire technique déguisé — et il lui manquera très précisément les quatre catégories de l'étape 4, c'est-à-dire celles qui comptent.

Le retour sur investissement ne vient pas de la conformité, même si elle en dépend. Il vient du jour où un incident survient : avec un registre à jour, vous savez en quinze minutes quels processus sont touchés, qui prévenir, quelles données sont concernées et quel délai de notification s'applique. Sans registre, ces quinze minutes deviennent deux jours — et le délai réglementaire, lui, ne s'arrête pas pendant votre enquête.