Cybersécurité et NIS2 : on ne protège bien que ce que l’on connaît

Rares sont les entreprises qui n’ont aucun inventaire de leurs actifs. Mais entre fichiers éparpillés, données obsolètes et absence d’informations de sécurité, ces inventaires servent peu quand survient un incident ou un audit. Timly consacre un livre blanc à ce problème et propose une méthode pour bâtir, en 90 jours, un registre des actifs réellement utile à la sécurité.

Postes de travail, serveurs, équipements réseau… la liste des actifs à surveiller ne s’arrête plus là. S’y ajoutent les ressources cloud, les applications SaaS, les identités, les accès des prestataires, les objets connectés et les systèmes OT. Dans l’industrie, où machines, automates et capteurs sont de plus en plus souvent reliés au réseau, la surface d’attaque grossit plus vite que les équipes de sécurité ne peuvent la cartographier.

Plusieurs études récentes donnent la mesure du problème. Dans l’un des jeux de données analysés par Verizon pour son Data Breach Investigations Report 2025, 46 % des systèmes compromis susceptibles de contenir des identifiants d’entreprise n’étaient pas rattachés à la gestion centralisée de l’organisation. IBM, de son côté, estime à 283 jours en moyenne le temps nécessaire pour détecter et contenir une violation lorsque les données touchées sont réparties sur plusieurs environnements (Cost of a Data Breach 2025).

Trop d’outils, pas de vue d’ensemble

Pour Timly, la plateforme spécaliste de la gestion de parc (informatique, matériel…), le problème tient rarement à un manque d’informations. Dans son livre blanc « Cybersecurity Asset Management : Focus sur le registre des actifs pour réduire les risques et sécuriser les audits », elle observe que la plupart des entreprises en ont au contraire beaucoup, mais réparties entre la CMDB, les portails cloud et des tableurs, le tout géré séparément. Difficile, dans ces conditions, de savoir précisément quels actifs existent, qui en a la charge, lesquels sont critiques et où en est leur niveau de sécurité.

Ce sont pourtant ces réponses qu’attendent les référentiels. La norme ISO/IEC 27001 demande, dans son annexe A 5.9, de tenir un inventaire des actifs et d’en désigner les responsables. NIS2 ne prescrit pas d’outil particulier mais impose des « mesures techniques et organisationnelles appropriées ».

Sans vision fiable des systèmes, des services et de leurs responsables, on voit mal comment les mettre en œuvre, et encore moins comment le prouver.

Une méthode en cinq étapes

Ce livre blanc propose de construire le registre en onze semaines. Les deux premières servent à fixer le périmètre et les indicateurs de suivi. Viennent ensuite le recensement des sources de données (semaines 3 et 4), la définition d’un modèle de données réduit à l’essentiel (semaines 5 et 6), l’inventaire initial et le nettoyage des données (semaines 7 à 9), puis la répartition des responsabilités et la formalisation des processus (semaines 10 et 11). À partir de la douzième semaine, les équipes de sécurité s’appuient sur le registre au quotidien.

Les experts du logiciel de gestion de parc informatique Timly recommandent de commencer par ce qui expose le plus l’entreprise, par exemple les comptes à privilèges ou les systèmes OT proches de la production, plutôt que de chercher à tout recenser d’un coup.

« Au départ, l’exhaustivité ne prime pas : l’essentiel est de relier les informations. Une fiche indiquant le responsable, la localisation et le niveau de criticité suffit pour renforcer la sécurité dès les premiers jours », explique l’équipe Customer Success de Timly.

Gagner du temps en cas d’incident

Le registre est utile s’il est relié aux processus existants, comme la gestion des services informatiques, les achats ou encore la maintenance.

Quand une vulnérabilité critique est publiée ou qu’un accès suspect est détecté, les équipes savent tout de suite quels systèmes sont concernés, à qui s’adresser et par quoi commencer.

Ce document présente notamment le cas d’un industriel présent sur plusieurs sites. Avant le projet, il ne connaissait pas la version du firmware d’une bonne partie de ses équipements. C’est aujourd’hui moins de 5 %, et l’entreprise peut enfin prioriser ses analyses de vulnérabilités.

Retrouvez dans ce livre blanc le plan complet pour bâtir un inventaire des actifs orienté sécurité, accompagné d’un modèle de maturité, d’exemples d’indicateurs clés et de cas concrets dans plusieurs secteurs.

Par Célie Bacconnier, Senior Content Marketing Manager chez Timly