Gestion des actifs informationnels (ISO 27001)

Définition

La gestion des actifs informationnels, domaine de contrôle central de la norme ISO 27002 et prérequis structurant pour la mise en œuvre d'un système de management de la sécurité de l'information conforme à l'ISO 27001, désigne le processus permettant à une organisation d'identifier, d'inventorier et de classifier l'ensemble des ressources informationnelles qu'elle détient ou traite, qu'il s'agisse de données, de systèmes, d'équipements, de logiciels ou de documents, afin de pouvoir leur appliquer un niveau de protection proportionné à leur valeur et à leur sensibilité réelle. Cette démarche débute par l'établissement d'un inventaire des actifs, précisant pour chacun un propriétaire désigné responsable de sa protection, se poursuit par une classification de l'information selon des niveaux définis par l'organisation, généralement fondés sur les besoins de confidentialité, d'intégrité et de disponibilité, et se traduit par des règles d'utilisation acceptable et de manipulation des actifs adaptées à chaque niveau de classification retenu. Sans un inventaire fiable et à jour, l'ensemble de la démarche d'appréciation des risques de sécurité de l'information perd sa pertinence, une organisation ne pouvant raisonnablement évaluer les risques pesant sur des actifs qu'elle ignore posséder ou dont elle méconnaît la localisation exacte, situation fréquente dans les environnements informatiques complexes marqués par une informatique fantôme non recensée par les services informatiques officiels de l'organisation.