Presque toutes les organisations ont une cartographie de leur système d’information. Presque aucune n’en a une vraie. Entre les deux, il y a un document livré en fin de projet, approuvé, archivé, et que plus personne n’a touché depuis la dernière migration.
Ce qu’une cartographie doit montrer
Le guide de l’ANSSI, qui reste la référence en français, organise la cartographie en trois visions et six vues :
| Vision | Vue | Ce qu’elle décrit |
|---|---|---|
| Métier | Écosystème | Les entités extérieures avec lesquelles le SI interagit |
| Métier | Métier | Les processus et les informations qu’ils manipulent |
| Applicative | Applications | Les applications, leurs flux, leurs données |
| Applicative | Administration | Les périmètres et les privilèges d’administration |
| Infrastructure | Infrastructures logiques | Réseaux, adressage, cloisonnement |
| Infrastructure | Infrastructures physiques | Équipements, salles, liens |
Le guide prévoit aussi des niveaux de maturité, pour commencer par les vues utiles à la sécurité avant de viser l’exhaustivité. Retenez l’idée directrice : une cartographie n’est pas un plan du réseau. C’est la réponse à une question simple, « si ceci tombe, qu’est-ce qui s’arrête, et qui s’en occupe ? »
Pourquoi elle est fausse six mois plus tard
Trois causes, toujours les mêmes.
Elle est produite par un projet, pas par l’exploitation. Un prestataire ou une équipe interne collecte, interroge, dessine, livre. Le jour de la livraison, la carte est exacte. Le lendemain, un administrateur ajoute une machine virtuelle. La carte ne le sait pas.
Elle n’a pas de source de vérité. Les informations vivent dans des fichiers tableurs, des schémas, des wikis et des têtes. Quand deux sources divergent, personne ne sait laquelle croire. Au bout de quelques mois, on ne les consulte plus. C’est le problème d’une CMDB qui n’est plus juste.
Les schémas sont des images. Un dessin n’est pas interrogeable. On ne peut pas lui demander « quels services passent par ce commutateur ? ». Donc on ne le lui demande pas, et il cesse de servir.
Le point commun : la cartographie est à côté de l’exploitation, alors qu’elle devrait en être un sous-produit.
Le principe : la carte est produite par le travail
Une cartographie reste vraie quand il est impossible de faire le travail quotidien sans la mettre à jour. Trois mécanismes y suffisent.
Les changements passent par l’inventaire. Toute mise en service, tout retrait, toute modification de dépendance s’enregistre dans l’inventaire avant d’être effective. Ce n’est pas une tâche de documentation ajoutée au travail ; c’est une étape du travail. Si le changement n’est pas dans l’inventaire, il n’est pas autorisé. Un outil comme NetBox peut porter cet inventaire, à condition de décider ce qui y fait foi.
Le guide de l’ANSSI le recommande aussi, dans sa partie « Maintenir la cartographie à jour » (page 28). Il range parmi les bonnes pratiques le fait d’« intégrer une étape de mise à jour de la cartographie dans les projets d’évolution du système d’information ».
Chaque alerte se rattache à un élément de l’inventaire. La supervision ne remonte pas « le serveur X est en défaut ». Elle remonte « le serveur X, qui porte les services A et B, dont l’équipe Y est responsable, est en défaut ». Si elle ne trouve pas l’élément, l’inventaire a un trou, et l’alerte elle-même le signale.
Chaque incident vérifie la carte. Au moment de qualifier un incident, l’équipe consulte les dépendances. Si elles sont fausses, elle le voit tout de suite et corrige. L’incident devient un contrôle de qualité gratuit.
Quand ces trois mécanismes tournent, la cartographie n’a plus besoin d’être « mise à jour ». Elle est à jour parce que l’exploitation l’a traversée aujourd’hui.
Comment montrer qu’elle est à jour ?
Par sa date et par son auteur. Une cartographie datée de deux ans ne convainc personne, ni un client hébergé ni un auditeur. Une cartographie dont on peut montrer la dernière modification de la veille, et le changement qui l’a provoquée, vaut une preuve.
Deux traces suffisent. La première est le journal des modifications de l’outil qui porte l’inventaire. La seconde est le lien entre chaque modification et le changement ou l’incident qui l’a provoquée. Personne ne demande une carte parfaite. On demande de voir qu’elle bouge au même rythme que l’exploitation.
Votre carte est-elle vivante ? Huit questions
- Pouvez-vous donner la date et l’auteur de la dernière modification ?
- Un changement en production peut-il avoir lieu sans passer par l’inventaire ?
- Une alerte de supervision affiche-t-elle les services et le responsable de l’élément touché ?
- Pouvez-vous lister en moins de cinq minutes tout ce qui dépend d’un équipement donné ?
- Chaque élément a-t-il un responsable nommé, et cette personne le sait-elle ?
- Les éléments hors support ou en fin de vie sont-ils identifiables d’un coup d’œil ?
- Le dernier incident a-t-il conduit à au moins une correction de la carte ?
- Un nouvel arrivant peut-il comprendre un service en lisant la carte, sans demander à un ancien ?
Cinq « non » ou plus : vous avez un document, pas une cartographie.
Par où commencer
Pas par un projet de cartographie complète. Par les cinq à dix services que l’organisation ne peut pas perdre. Pour chacun : les composants qui le portent, les dépendances entre eux, un responsable par composant, et la règle que tout changement passe par l’inventaire. Puis branchez la supervision sur ces éléments.
Vous aurez une carte partielle et vraie. On peut l’étendre. Une carte complète et fausse, on ne peut que la refaire.
C’est la base de ce que Hopwise Labs construit : un modèle de données où chaque attribut a un outil qui fait foi, et des écarts visibles et datés.
Questions fréquentes
Quelle différence entre cartographie du SI, inventaire et CMDB ?
L’inventaire liste ce qui existe. La cartographie ajoute les relations : quel service dépend de quel composant, qui en est responsable, par où passent les flux. La CMDB est l’outil qui stocke tout cela quand il est structuré. On peut avoir un inventaire sans cartographie ; on ne peut pas avoir de cartographie fiable sans inventaire tenu.
Par où commencer quand on n’a rien ?
Par les services que l’organisation ne peut pas perdre, pas par les équipements. Listez cinq à dix services critiques, remontez leurs dépendances techniques et nommez un responsable par élément. Vous aurez une carte partielle mais vraie, ce qui vaut mieux qu’une carte complète et fausse.
Combien de temps une cartographie reste-t-elle valable ?
Le temps qui sépare sa publication du premier changement non reporté. Dans une exploitation active, c’est une question de jours. La seule cartographie durable est celle que les changements traversent obligatoirement.
Que recommande l’ANSSI pour la maintenir à jour ?
Le guide de l’ANSSI demande des ressources suffisantes, une fonction chargée du contrôle des mises à jour, des revues régulières et une étape de mise à jour dans chaque projet d’évolution du SI. Il conseille de privilégier une information macroscopique et à jour plutôt qu’un détail entretenu de manière épisodique.