Modèles et enregistrements · ISO 27001 · Chapitre A.5.9
Modèle d’inventaire des actifs informationnels ISO 27001
La liste des informations et des systèmes qui les supportent, chacun avec son propriétaire et sa classification, qui donne son sens à l’appréciation des risques et au contrôle d’accès.
En une phrase
L’inventaire des actifs informationnels recense l’information et les actifs associés — applications, équipements, services cloud, personnes clés — avec leur propriétaire, leur emplacement et leur classification ; il est exigé par la mesure 5.9 de l’Annexe A de l’ISO/IEC 27001:2022, qui demande de l’élaborer et de le tenir à jour.
- Où la norme l’exige
- ISO 27001 · Chapitre A.5.9 Les chapitres suivent l’ISO/IEC 27001:2022 ; ceux qui commencent par « A. » sont des mesures de l’Annexe A, exigibles dans la mesure où la déclaration d’applicabilité les inclut.
- Type d’information
- Document obligatoire Mesure 5.9 de l’Annexe A : à tenir à jour si la déclaration d’applicabilité l’inclut
- Qui le renseigne
- Propriétaires des actifs L’informatique le consolide ; chaque propriétaire répond de la présence et de l’exactitude de ce qui le concerne
- Quand
- À chaque entrée, sortie ou modification Avec une revue complète au moins avant l’appréciation annuelle des risques
- Durée de conservation
- Toujours en vigueur Il est tenu à jour ; il est utile de conserver l’historique des entrées et sorties pour reconstituer ce qui existait à une date donnée
Ce que demande la norme
Ce qu’exige ISO 27001 et ce qui est laissé à votre appréciation
Le corps de la norme n’oblige pas à inventorier : c’est la mesure 5.9 qui le fait, en demandant un inventaire de l’information et des autres actifs associés, avec leurs propriétaires. Comme il est rare qu’un organisme puisse l’exclure de façon fondée, tous les auditeurs l’attendent en pratique.
L’ISO/IEC 27002 donne des repères sur le niveau de détail : suffisant pour gérer les risques, sans lister chaque câble. L’important est que chaque actif pertinent ait un propriétaire et que l’inventaire soit tenu à jour au fil des entrées et des sorties.
L’inventaire s’appuie sur d’autres mesures : la classification (5.12), l’utilisation correcte (5.10) et la restitution des actifs au départ de l’entreprise (5.11).
Structure
Les champs que doit comporter le modèle
- Identifiant et nom de l’actif
- Type : information, application, service cloud, équipement, support, personne clé
- Propriétaire
- Emplacement ou fournisseur qui l’héberge
- Classification de l’information (par exemple publique, interne, confidentielle)
- Processus ou services qui en dépendent
- Présence ou non de données personnelles
- Date d’entrée, de dernière revue et de sortie
Exemple
Exemple : quatre actifs d’un éditeur de logiciels
Entreprise, personnes et chiffres fictifs : l’exemple montre seulement à quoi ressemble un enregistrement correctement renseigné.
| Champ | Contenu |
|---|---|
| A-001 Base de données clients | Information · Propriétaire : directrice commerciale · Confidentielle · Données personnelles : oui |
| A-014 Plateforme SaaS | Application · Propriétaire : directrice des opérations · Hébergée chez un fournisseur cloud, région UE |
| A-022 Dépôt de code | Service cloud · Propriétaire : directeur technique · Confidentiel |
| A-040 Ordinateurs portables de l’équipe | 82 unités · Propriétaire : responsable informatique · Chiffrement du disque obligatoire |
| Dernière revue | 28 août 2026, avant l’appréciation annuelle des risques |
À l’audit
Les erreurs que relèvent souvent les auditeurs
- Un inventaire limité au matériel : l’information et les services cloud manquent.
- Un propriétaire générique (« service informatique ») au lieu d’une personne.
- Des départs de salariés sans restitution des équipements enregistrée.
- La classification de l’inventaire ne correspond pas à celle appliquée aux documents.
Dans Kimobox
Comment tenir cet enregistrement dans Kimobox
- 1L’inventaire des actifs informationnels est construit avec un propriétaire et une classification pour chaque actif.
- 2Le propriétaire de chaque actif et de chaque risque est attribué directement dans le système, et l’appréciation des risques est reliée aux actifs.
- 3L’inventaire est un enregistrement versionné : chaque entrée, sortie ou modification est conservée avec sa date et son auteur.
Questions fréquentes
Ce que l’on nous demande avant de commencer
Quel niveau de détail l’inventaire exige-t-il ?
Celui qui suffit à gérer les risques. Regrouper sur une ligne les ordinateurs portables d’un même modèle et d’une même configuration est raisonnable ; regrouper sur une seule ligne toutes les informations clients ne l’est pas.
Le même inventaire vaut-il pour l’ENS espagnol ?
Oui, avec des nuances : la mesure op.exp.1 de l’ENS exige elle aussi un inventaire à jour avec son responsable. Il est utile d’y indiquer à quel système catégorisé appartient chaque actif.
Tenez les enregistrements ISO 27001 sans modèles éparpillés
Nous vous montrons le module en fonctionnement avec des données proches des vôtres.
Poursuivez la visite
Pages associées
Contexte de l’organisme
Tout SMSI part de deux questions : quels actifs faut-il protéger, et qui attend quoi de cette protection ?
Modèle de déclaration d’applicabilité ISO 27001
Ce que doit contenir la déclaration d’applicabilité de l’ISO 27001 (6.1.3 d) : mesures nécessaires…
Modèle d’appréciation des risques de sécurité ISO 27001
Comment documenter l’appréciation des risques de sécurité exigée par l’ISO 27001 : critères d’acceptation…
Modèle de plan de traitement des risques ISO 27001
Ce que doit inclure le plan de traitement des risques de l’ISO 27001 (6.1.3 e) : option, mesures…
Sources
D’où vient chaque donnée
Références au texte officiel en vigueur. Si une norme est révisée, cette page est mise à jour et la date de révision en témoigne.
- ISO/IEC 27001:2022 — Systèmes de management de la sécurité de l’information. Exigences ISO/IEC · 25 octobre 2022
- ISO/IEC 27002:2022 — Mesures de sécurité de l’information ISO/IEC · Février 2022