Un outil de cartographie du SI recense vos actifs (serveurs, applications, données, flux) pour donner une vue à jour de votre système d’information — socle indispensable de la sécurité et de la conformité. Trois catégories d’outils existent : les outils d’inventaire et de découverte (CMDB, scanners réseau) qui recensent les actifs techniques, les outils de cartographie des flux et des risques (approche EBIOS, ANSSI) qui modélisent les dépendances, et les modules de cartographie des données intégrés aux plateformes RGPD, qui relient les traitements aux actifs. Le bon choix dépend de votre objectif : sécurité opérationnelle, gestion des risques, ou conformité RGPD.
Voici le comparatif des approches, les critères qui tranchent, et la façon de relier la cartographie du SI au registre des traitements.
Points clés
- La cartographie du SI est le préalable à toute démarche de sécurité : on ne protège pas ce qu’on ne connaît pas.
- Trois familles d’outils : inventaire/découverte, cartographie des flux et risques, cartographie des données RGPD.
- L’ANSSI publie un guide de cartographie du SI qui structure la démarche en couches (métier, applicative, infrastructure).
- Une bonne cartographie relie actifs techniques et traitements de données — c’est le pont entre sécurité et RGPD.
Pourquoi cartographier le SI, et pour quel objectif
La cartographie n’est pas une fin : c’est un moyen au service d’un objectif précis. Clarifiez-le avant de choisir un outil, car les catégories d’outils ne se recouvrent pas.
Objectif sécurité opérationnelle : connaître les actifs, leurs vulnérabilités et leur exposition. On vise l’inventaire exhaustif et la mise à jour automatique. Le guide d’hygiène informatique de l’ANSSI fait de l’inventaire à jour sa toute première mesure.
Objectif gestion des risques : modéliser les dépendances pour identifier les scénarios de menace. C’est l’approche de la méthode EBIOS Risk Manager, qui cartographie les valeurs métier et les biens supports.
Objectif conformité RGPD : relier chaque traitement aux données, aux applications et aux flux hors UE. C’est la cartographie des données RGPD, préalable à un registre fiable.
Le guide complet de la cartographie du SI détaille les couches (métier, applicative, données, infrastructure) que tout outil doit savoir représenter.
Comparatif des outils par famille
| Famille d’outil | Fonction principale | Objectif servi | Coût indicatif |
|---|---|---|---|
| Inventaire / CMDB | Recensement automatique des actifs | Sécurité opérationnelle | Variable, souvent inclus ITSM |
| Scanner de découverte réseau | Détection des équipements, vulnérabilités | Sécurité, hygiène | Selon périmètre |
| Outil EBIOS / risques | Modélisation biens supports et menaces | Gestion des risques | Sur devis / licence |
| Cartographie des données RGPD | Lien traitements ↔ données ↔ flux | Conformité RGPD | Inclus plateforme RGPD |
| Outil de schématisation | Représentation visuelle, documentation | Communication, audit | Faible |
Trois observations pour trancher.
Aucun outil ne couvre tout. Un scanner réseau ne connaît pas vos finalités de traitement ; un module RGPD ne détecte pas vos vulnérabilités techniques. Les organisations matures combinent un outil d’inventaire technique et une cartographie des données.
La mise à jour automatique fait la différence. Une cartographie manuelle est fausse dès sa livraison. Privilégiez les outils qui se synchronisent avec l’infrastructure ou qui déclenchent des revues périodiques.
Les critères qui tranchent le choix
Cinq critères départagent les outils une fois l’objectif fixé.
La profondeur de découverte. L’outil détecte-t-il automatiquement les actifs, ou faut-il tout saisir ? Pour un SI complexe, la découverte automatique est décisive.
La modélisation des flux. Représenter les échanges de données entre applications, et surtout les flux hors UE, est essentiel pour le RGPD et pour l’analyse de risque.
Le lien avec les référentiels. Un bon outil rattache les actifs aux mesures de sécurité (article 32 du RGPD, guide d’hygiène ANSSI) et aux traitements.
La tenue à jour. Synchronisation, alertes de dérive, revues planifiées : sans cela, la carte devient un document mort.
La restitution. Vues métier, applicative et infrastructure lisibles par des interlocuteurs différents (direction, RSSI, DPO).
Les quatre couches d’une cartographie complète
Le guide de l’ANSSI structure la cartographie en couches complémentaires. Un outil se juge à sa capacité à représenter chacune sans les confondre.
La couche métier décrit les processus et les valeurs métier de l’organisation : ce qui doit être protégé parce que sa compromission affecte l’activité. C’est le point de départ de l’analyse de risque EBIOS.
La couche applicative recense les applications, leurs interdépendances et les données qu’elles manipulent. C’est la couche la plus utile au DPO, car elle relie les traitements aux logiciels réels.
La couche données identifie où résident les données, leur sensibilité et leurs flux — notamment les transferts hors UE, qui déclenchent des obligations spécifiques au titre du RGPD.
La couche infrastructure cartographie les serveurs, réseaux et équipements. C’est le terrain du RSSI et des scanners d’inventaire.
Un outil qui ne couvre qu’une couche laisse des angles morts. Un scanner d’infrastructure ignore le sens métier ; un module RGPD ignore les vulnérabilités techniques. La valeur d’une cartographie tient à la cohérence entre ces couches : un actif compromis dans la couche infrastructure doit pouvoir être relié au traitement et à la valeur métier qu’il affecte. C’est cette traçabilité de bout en bout qui permet, en cas d’incident, d’évaluer immédiatement l’impact sur les données personnelles et de déclencher une éventuelle notification de violation dans les délais.
Quel outil selon la taille de l’organisation
La bonne combinaison d’outils dépend directement de la taille et de la maturité. Trois scénarios types se dégagent.
TPE et petite PME (moins de 50 salariés). Le besoin est modeste : quelques dizaines d’actifs, un SI souvent largement externalisé (SaaS, hébergeur, poste de travail). Un outil de schématisation simple, doublé d’un inventaire tenu à jour, suffit pour la sécurité. Côté conformité, la cartographie des données passe par le module intégré à la plateforme RGPD, qui relie directement les traitements aux applications. Investir dans une CMDB lourde serait disproportionné.
PME et ETI (50 à 500 salariés). La complexité grimpe : SI mixte, quelques dizaines d’applications, premiers enjeux de gestion des risques. Ici, l’inventaire automatique devient utile pour ne pas rater d’actifs, et la cartographie des données doit être reliée au registre pour rester cohérente. Une approche EBIOS allégée sur les traitements sensibles complète le dispositif sans l’alourdir.
Grand compte et entité régulée (NIS2, secteur financier). L’inventaire exhaustif et la modélisation des dépendances deviennent obligatoires de fait. La combinaison type associe une CMDB synchronisée, un outil d’analyse de risque EBIOS et une plateforme de conformité qui consolide le tout. C’est le seul niveau où l’empilement d’outils spécialisés se justifie pleinement, et encore, à la stricte condition qu’ils partagent une source d’actifs commune : sans cela, chaque outil produit sa propre carte, et les divergences entre ces cartes deviennent elles-mêmes un facteur de risque.
Cartographie du SI et RGPD : le pont à ne pas manquer
La cartographie du SI et la cartographie des données RGPD sont deux vues du même terrain. L’article 30 du RGPD impose de savoir où sont les données ; la sécurité de l’article 32 impose de savoir comment elles sont protégées. Une organisation qui tient ces deux cartes séparément multiplie les incohérences : un serveur déclassé côté SI mais toujours listé comme destinataire dans le registre, un flux hors UE identifié côté sécurité mais absent de l’analyse de transfert.
Relier les deux cartes supprime ces angles morts. C’est aussi ce qu’attend un contrôleur : une cartographie cohérente crédibilise la maîtrise de l’ensemble. L’ANSSI et la logique du RGPD convergent sur ce point — la connaissance de son SI est le socle commun de la sécurité et de la conformité.
FAQ
Qu’est-ce qu’un outil de cartographie du SI ?
C’est un logiciel qui recense et représente les composants d’un système d’information : actifs techniques, applications, données et flux. Selon l’objectif — sécurité, gestion des risques ou conformité RGPD — il prend la forme d’un outil d’inventaire, d’un outil d’analyse de risque type EBIOS, ou d’un module de cartographie des données intégré à une plateforme RGPD.
La cartographie du SI est-elle obligatoire ?
Il n’existe pas d’obligation autonome, mais elle est de fait imposée : le guide d’hygiène de l’ANSSI en fait sa première mesure, l’article 32 du RGPD suppose de connaître son SI pour le sécuriser, et NIS2 exige une gestion des risques qui commence par l’inventaire des actifs.
Quel outil pour relier la cartographie du SI au registre RGPD ?
Les modules de cartographie des données intégrés aux plateformes RGPD sont conçus pour cela : chaque traitement du registre pointe vers ses applications, ses données et ses flux. C’est la seule approche qui évite de maintenir un inventaire technique et un registre juridique qui divergent.
Faut-il un outil unique ou plusieurs ?
Rarement un seul. Un scanner d’inventaire technique et une cartographie des données RGPD répondent à des besoins distincts. Les organisations matures combinent les deux et veillent à ce qu’ils partagent une source d’actifs commune pour rester cohérents.