Comment améliorer la visibilité de son parc informatique

Vous connaissez vraiment tous les équipements de votre parc ?

Posez la question à une DSI : combien de postes et de serveurs gérez-vous ? La réponse arrive généralement assez vite. 800 postes, 150 serveurs, quelques dizaines de machines virtuelles dans le cloud... Les chiffres sont connus, documentés et souvent suivis dans un outil d'inventaire.

Mais une autre question mérite d'être posée : combien de ces équipements sont réellement visibles, joignables et administrables aujourd'hui ?

C'est là que les réponses deviennent parfois moins précises.

Un ordinateur qui n'a pas communiqué depuis trois mois, une machine virtuelle créée pour un projet puis oubliée, un serveur Linux absent de la console d'administration ou un logiciel installé sans validation de la DSI : autant de situations qui peuvent passer inaperçues.

Le problème n'est pas nécessairement l'absence d'outils. Entre les solutions d'inventaire, les annuaires, les consoles EDR, les outils de déploiement et les plateformes cloud, les entreprises disposent souvent de nombreuses sources d'information.

La difficulté consiste plutôt à les rapprocher pour obtenir une vision cohérente et exploitable du système d'information.

Car un équipement que l'on ne connaît pas, ou que l'on ne voit plus, est aussi un équipement que l'on risque de ne plus administrer correctement.

Un inventaire de 2 000 postes ne signifie pas que 2 000 postes sont maîtrisés

Prenons l'exemple d'une organisation qui dispose officiellement de 2 000 postes de travail.

Son annuaire Active Directory référence 2 150 objets ordinateurs. La console EDR remonte 1 920 équipements. L'outil de gestion des terminaux en affiche 1 870, tandis que la base de gestion des actifs indique 2 000 postes.

Quel chiffre est le bon ?

En réalité, aucun de ces chiffres ne suffit à lui seul pour décrire le parc.

L'annuaire peut conserver des objets correspondant à des machines retirées du service. L'EDR peut ne pas être installé sur certains équipements. L'outil de gestion des terminaux peut perdre le contact avec des postes nomades. Quant à l'inventaire administratif, il peut intégrer des équipements stockés, en réparation ou en attente de déploiement.

Ces écarts ne signifient pas forcément que les outils fonctionnent mal. Ils montrent surtout qu'ils ne mesurent pas tous la même chose.

Pour améliorer la visibilité du parc, la première étape consiste donc à comparer les sources, identifier les écarts et comprendre leur origine.

Un équipement absent d'une console n'est pas nécessairement inconnu. Mais tant que son statut n'a pas été vérifié, il représente un angle mort potentiel.

Les postes nomades ont changé la donne

La généralisation du télétravail et des environnements hybrides a profondément modifié la manière dont les DSI administrent leurs équipements.

Historiquement, une grande partie des opérations d'inventaire et d'administration reposait sur la présence des postes dans le réseau de l'entreprise.

Aujourd'hui, un collaborateur peut travailler plusieurs semaines depuis son domicile, se connecter uniquement à des applications SaaS et ne jamais établir de connexion VPN vers le système d'information interne.

Dans ce contexte, certaines solutions historiques peuvent rencontrer des difficultés pour maintenir une visibilité régulière sur les équipements.

Un poste peut continuer à être utilisé quotidiennement tout en ne remontant plus d'informations dans la console de gestion des correctifs. Ses mises à jour peuvent prendre du retard, son inventaire logiciel devenir obsolète et son niveau de conformité être difficile à vérifier.

Le sujet dépasse d'ailleurs les seuls ordinateurs portables. Les environnements cloud, les machines virtuelles temporaires et les équipements utilisés par des prestataires externes contribuent également à complexifier la connaissance du parc.

Une DSI doit donc être capable de distinguer les équipements réellement hors service de ceux qui sont simplement absents de ses outils d'administration.

Cela suppose des mécanismes de collecte adaptés aux usages actuels, mais aussi des règles claires concernant les équipements qui ne communiquent plus depuis une durée anormale.

Connaître les machines ne suffit plus : il faut aussi connaître les logiciels

La visibilité du parc informatique ne se limite pas à savoir combien d'ordinateurs et de serveurs sont en service.

Prenons un poste Windows parfaitement identifié, correctement intégré à l'annuaire et équipé d'un EDR. Sur le papier, il semble maîtrisé.

Mais quels logiciels sont réellement installés dessus ? Quelles versions sont utilisées ? Certaines applications présentent-elles des vulnérabilités connues ? Des outils non autorisés ont-ils été installés par l'utilisateur ?

Ces questions sont importantes, car une partie de l'exposition aux risques provient des applications et des composants logiciels, et pas uniquement du système d'exploitation.

Les navigateurs, lecteurs PDF, outils de compression, applications de collaboration et logiciels métiers évoluent régulièrement. Une version ancienne peut rester installée pendant plusieurs mois sans attirer l'attention.

La multiplication des applications SaaS ajoute une autre difficulté : une partie des usages logiciels ne repose plus sur des applications installées localement.

Un inventaire logiciel fiable doit donc permettre d'identifier les applications présentes sur les équipements administrés, leurs versions et, lorsque les données le permettent, leur exposition à des vulnérabilités connues.

Pour les services SaaS, cette visibilité nécessite généralement des sources complémentaires, comme les outils d'identité, les journaux d'accès ou les solutions de découverte des usages cloud.

L'objectif n'est pas de surveiller chaque action des collaborateurs, mais de disposer des informations nécessaires pour administrer, sécuriser et rationaliser l'environnement informatique.

Les angles morts ont des conséquences très concrètes

Un inventaire incomplet peut sembler être un problème essentiellement administratif. Dans les faits, ses conséquences touchent directement la sécurité et l'exploitation.

Prenons une campagne de correction d'une vulnérabilité critique. La DSI identifie les équipements concernés dans sa console et déploie le correctif. Le tableau de bord indique ensuite un taux de conformité satisfaisant.

Mais si certains équipements vulnérables ne figurent pas dans cette console, ils ne sont pas nécessairement inclus dans la campagne.

Le même problème se pose lors d'une réponse à incident. Lorsqu'une faille est annoncée sur un composant logiciel, les équipes de sécurité doivent pouvoir déterminer rapidement où ce composant est présent.

Si cette recherche nécessite de solliciter plusieurs administrateurs, de croiser des exports Excel et d'interroger manuellement différents environnements, le temps de réaction s'allonge.

La visibilité du parc joue également un rôle dans la maîtrise des coûts. Des logiciels installés mais inutilisés, des machines virtuelles oubliées ou des équipements conservés dans plusieurs référentiels peuvent compliquer le suivi des licences et des actifs.

Enfin, la conformité repose en partie sur la capacité à démontrer que les équipements concernés respectent les politiques définies par l'organisation.

Sans connaissance fiable du périmètre, il devient difficile d'affirmer que l'ensemble des équipements attendus bénéficie des mesures de sécurité appropriées.

Comment retrouver une vision fiable sans repartir de zéro ?

La bonne nouvelle, c'est qu'améliorer la visibilité de son parc ne nécessite pas systématiquement de remplacer tous ses outils.

Le premier travail consiste à définir ce que l'organisation souhaite réellement connaître : les équipements en service, les actifs administrés, les machines non conformes, les logiciels installés ou encore les équipements qui échappent aux politiques de sécurité.

Il faut ensuite rapprocher les sources existantes. Annuaire, EDR, outil de gestion des terminaux, inventaire réseau, hyperviseurs et plateformes cloud fournissent chacun une partie de l'information.

Comparer ces données permet de faire apparaître les écarts. Un poste présent dans l'annuaire mais absent de l'EDR doit être qualifié. Une machine virtuelle visible dans l'hyperviseur mais absente de l'inventaire doit être investiguée.

La découverte des équipements constitue un autre levier. Les mécanismes de découverte réseau peuvent aider à identifier des actifs qui ne sont pas encore intégrés aux outils d'administration, dans les limites des périmètres accessibles et des méthodes utilisées.

Mais découvrir un équipement ne suffit pas. Encore faut-il déterminer à qui il appartient, quel est son usage, s'il doit être administré et quelles politiques doivent lui être appliquées.

Enfin, la visibilité doit être entretenue dans la durée. Un inventaire parfaitement fiable aujourd'hui peut devenir obsolète en quelques semaines si les nouveaux équipements, les départs de collaborateurs et les changements d'infrastructure ne sont pas correctement pris en compte.

Le véritable objectif n'est donc pas de réaliser un inventaire ponctuel, mais de mettre en place un processus continu de découverte, de qualification et de suivi.

Tanium : interroger son parc plutôt que multiplier les exports

Pour les organisations disposant de plusieurs centaines ou milliers de terminaux, la centralisation des informations devient un enjeu opérationnel important.

C'est notamment l'une des approches proposées par Tanium, dont la plateforme permet d'interroger les endpoints administrés et de collecter des informations sur leur état.

Avec les fonctionnalités adaptées, les équipes peuvent obtenir des informations sur les systèmes d'exploitation, les logiciels installés, les caractéristiques des équipements et différents paramètres de configuration.

Le module Tanium Discover permet également d'étendre la visibilité en identifiant, selon les méthodes de découverte et le périmètre réseau accessibles, des équipements qui ne disposent pas nécessairement de l'agent Tanium.

L'intérêt est de pouvoir rapprocher la connaissance des actifs des opérations d'administration, de gestion des correctifs et de sécurité.

Par exemple, lorsqu'une vulnérabilité concerne une version particulière d'un logiciel, les équipes peuvent rechercher les équipements administrés qui utilisent cette version, sous réserve de disposer des données nécessaires.

Cette capacité peut réduire le temps nécessaire pour qualifier une exposition et préparer les actions correctives.

Tanium ne remplace pas pour autant tous les référentiels de l'entreprise. La gestion administrative des actifs, les informations contractuelles ou les usages SaaS peuvent nécessiter d'autres sources.

En revanche, disposer d'informations techniques actualisées sur les endpoints permet de fiabiliser les décisions prises par les équipes d'exploitation et de sécurité.

La visibilité n'a de valeur que si elle permet d'agir

Accumuler des données sur son parc informatique n'est pas une finalité. Une DSI n'a pas besoin d'un tableau de bord supplémentaire si celui-ci ne permet pas de prendre de meilleures décisions.

Les indicateurs les plus utiles sont souvent assez simples : combien d'équipements sont réellement administrés ? Combien n'ont pas communiqué depuis plusieurs jours ? Quels postes présentent des correctifs critiques manquants ? Quels logiciels obsolètes sont encore utilisés ?

Ces informations doivent permettre d'identifier les écarts, d'attribuer les actions correctives et de suivre leur résolution.

Il est également important de définir clairement les périmètres. Un taux de couverture de 98 % ne signifie pas grand-chose si personne ne sait précisément quels équipements constituent les 2 % restants.

Chez Nexpoint Services, nous accompagnons les DSI dans l'amélioration de cette visibilité, notamment à travers l'intégration, la configuration et l'exploitation de la plateforme Tanium.

Notre intervention peut couvrir l'analyse de la couverture du parc, l'identification des angles morts, la configuration des fonctionnalités d'inventaire et de découverte ainsi que la mise en place d'indicateurs de suivi.

Nous pouvons également accompagner les équipes dans la durée grâce à nos prestations d'administration déléguée et de maintien en conditions opérationnelles de la plateforme.

Vous souhaitez savoir si votre inventaire reflète réellement votre parc informatique ? Échangeons sur votre environnement et les moyens d'améliorer la visibilité de vos équipements.