Périmètre et inventaire des actifs
SMSI · 1 — voir aussi le contexte de la démarche.
Le périmètre
Dedans — un objet unique, borné à ce qui est réellement exposé :
- la VM Oracle
arm-free(Ubuntu 22.04) ; - le service portfolio (Node + nginx en reverse proxy, CSP/HSTS) ;
- le service EventMap (FastAPI, isolé du portfolio) ;
- les données de visite (logs anonymisés) ;
- les accès d'administration à la VM (clés SSH, protection anti-brute-force).
Dehors — avec justification écrite
| Exclu | Pourquoi |
|---|---|
| Poste de travail Windows personnel | N'héberge aucun service exposé à internet ; seul son usage comme poste d'admin (accès SSH/RDP sortant) le relie au périmètre, traité comme un accès, pas comme un actif du SMSI. |
| Comptes tiers (GitHub, console Oracle) | Comptes de gestion externes au système d'information exploité — leur sécurité relève de l'hygiène de compte (MFA, mots de passe), pas de la gouvernance du service. |
| Dépôt GitHub du code | Ce qui est dans le périmètre, c'est l'absence de secret dans ce dépôt (contrôle A.5.10), pas le dépôt lui-même comme actif à protéger en confidentialité. |
L'inventaire (A.5.9)
| Actif | Type | Propriétaire | C | I | D |
|---|---|---|---|---|---|
VM Oracle arm-free | Infrastructure (IaaS) | Hamdy Tabsissi | Moyen | Haut | Moyen |
| Compte Oracle Cloud (Pay As You Go) | Compte de gestion | Hamdy Tabsissi | Haut | Haut | Moyen |
| Application portfolio (Node) | Application | Hamdy Tabsissi | Bas | Moyen | Moyen |
| Service EventMap (FastAPI) | Application | Hamdy Tabsissi | Bas | Moyen | Bas |
Base portfolio.db (SQLite) | Donnée | Hamdy Tabsissi | Moyen | Haut | Bas |
Secrets applicatifs (/etc/*.env) | Secret | Hamdy Tabsissi | Haut | Haut | Moyen |
| Clés SSH (poste admin + VM) | Secret / accès | Hamdy Tabsissi | Haut | Haut | Moyen |
| Domaine et zone DNS | Infrastructure réseau | Hamdy Tabsissi | Moyen | Haut | Haut |
| Certificat TLS | Cryptographie | Hamdy Tabsissi | Bas | Haut | Moyen |
| Comptes GitHub | Compte de gestion | Hamdy Tabsissi | Moyen | Moyen | Bas |
| Logs applicatifs et d'accès | Donnée personnelle (RGPD) | Hamdy Tabsissi | Moyen | Moyen | Bas |
| Adresses de contact (formulaire, visites) | Donnée personnelle (RGPD) | Hamdy Tabsissi | Haut | Moyen | Bas |
Le détail de l'emplacement, des sauvegardes et des écarts identifiés pour chaque actif fait partie de l'analyse de risques et de la Déclaration d'Applicabilité. De la première, seuls les ateliers amont sont publiés ; de la seconde, un extrait.
L'exercice d'inventaire fait remonter des écarts par lui-même : c'est en le remplissant qu'on voit qu'un actif est en trop, mal sauvegardé, ou sans propriétaire clair. Ces écarts sont traités dans le plan d'actions interne, pas listés ici.