Ce que vous ne connaissez pas, vous ne pouvez pas le protéger.

Recenser plus que les certificats et les points de terminaison publiquement visibles

Outre les certificats TLS, nous examinons les bibliothèques, les procédés de signature, les dépôts de clés et les fonctions intégrées dans les produits. L'analyse du code source, le contrôle de configuration et le relevé technique peuvent se compléter. Aucun outil isolé ne voit toutes les dépendances ; nous documentons donc explicitement la couverture et les zones d'incertitude restantes.

Chaque occurrence est associée à un système et à une équipe responsable. Les éléments importants sont l'algorithme, l'usage, le composant support et les données protégées. Une liste d'algorithmes sans leur finalité d'utilisation n'est que d'une aide limitée pour la priorisation ultérieure.

Consigner dans l'inventaire les possibilités de modification et les dépendances

Nous distinguons les logiciels développés en interne des produits qui ne peuvent être modifiés que par des mises à jour du fabricant. Nous recensons également les équipements à cycle de vie long et les partenaires de communication externes. La question n'est pas seulement de savoir ce qui est utilisé aujourd'hui, mais aussi qui peut engager et valider une migration.

L'inventaire est doté d'un processus de mise à jour. Les nouveaux logiciels et les changements significatifs doivent être enregistrés, afin que l'état des lieux ne devienne pas obsolète après quelques mois seulement. Pour les systèmes inaccessibles, nous consignons les preuves en attente et des questions concrètes à adresser aux fournisseurs, plutôt que d'interpréter un manque de visibilité comme une absence de cryptographie.