Inventaire des actifs logiciels

Définition

L'inventaire des actifs logiciels est le recensement exhaustif et à jour de l'ensemble des applications, systèmes d'exploitation, bibliothèques et composants logiciels déployés au sein d'un système d'information, incluant leurs versions, éditeurs et emplacements d'installation. Ce processus constitue le premier des contrôles fondamentaux des référentiels comme les CIS Controls, car il conditionne l'efficacité de toute démarche de gestion des vulnérabilités : il est impossible de patcher ou de sécuriser un composant dont l'existence est ignorée. L'inventaire moderne s'étend au-delà des logiciels installés localement pour couvrir les dépendances open source via des nomenclatures logicielles, ou SBOM, les conteneurs, les services cloud SaaS souscrits parfois hors du contrôle de la DSI dans le cadre du shadow IT, et les licences associées à des fins de conformité contractuelle. Des outils de découverte automatisée, agents installés sur les postes ou solutions de gestion de configuration, permettent de maintenir cet inventaire à jour face à l'évolution constante du parc applicatif. Un inventaire fiable est également indispensable pour évaluer rapidement l'exposition de l'organisation lorsqu'une vulnérabilité critique est publiée sur un composant largement utilisé, comme cela a pu être observé avec des bibliothèques open source massivement intégrées. Il constitue enfin un prérequis pour la gestion de la surface d'attaque et la cartographie complète du système d'information.