Un actif est tout ce qui a de la valeur pour votre organisation et qui pourrait être impacté en cas de problème. C'est le point de départ logique de votre gestion des risques : si vous ne savez pas ce que vous protégez, vous ne pouvez pas savoir ce qu'il faut protéger.
Logiciel métier (ERP, CRM, helpdesk, plateforme cliente).
Serveur, réseau, datacenter, postes de travail, VPN.
Bases clients, RH, code source, backups, logs.
Engagement avec un tiers : hébergeur, fournisseur, assurance.
Compétence-clé externalisée ou interne : DPO, CISO, dev senior.
Prestataire critique : AWS, Microsoft, sous-traitant.
Procédure métier essentielle : on/off-boarding, gestion des accès, mise en production, réponse aux incidents.
La criticité représente l'importance pour votre activité — pas une valeur monétaire. Posez-vous la question : "si cet actif disparaît demain, qu'est-ce qui se passe pour mon entreprise ?"
Ne cherchez pas à inventorier toute votre infrastructure. Concentrez-vous sur les 10 à 30 actifs critiques qui couvrent 80% de votre exposition. Les auditeurs préfèrent un inventaire court et juste à un listing exhaustif et flou.