Une certification ISO 27001 se gagne — ou se perd — sur des preuves. Parmi les plus matérielles : l'inventaire des actifs. Le contrôle A.5.9 de l'Annexe A en fait une exigence explicite, et c'est l'un des points que les auditeurs vérifient le plus volontiers, car il se teste en quelques minutes : il suffit de descendre en salle. Ce guide détaille ce que la norme demande, ce que l'auditeur regarde réellement, comment l'inventaire s'articule avec l'analyse de risque et la classification, et comment bâtir un inventaire qui tient — y compris au regard des exigences réglementaires (NIS2, ENS).
Une précision liminaire : CPCON n'est pas un organisme de certification et ne se prévaut d'aucune certification ISO 27001 propre. La certification relève exclusivement de votre certificateur accrédité. Le rôle de CPCON est en amont : fournir la preuve d'inventaire que cet audit exige. Ce guide est rédigé dans cette perspective.
ISO/IEC 27001:2022 : une Annexe A réorganisée
La version 2022 de la norme ISO/IEC 27001 a restructuré l'Annexe A en 93 contrôles répartis en quatre thèmes : organisationnels, personnes, physiques et technologiques. Le contrôle A.5.9 « Inventaire des informations et autres actifs associés » fusionne les anciens contrôles A.8.1.1 (inventaire des actifs) et A.8.1.2 (propriété des actifs) de la version 2013. Son périmètre est volontairement large : les informations elles-mêmes, mais aussi tous les « actifs associés » — matériels, logiciels, services, installations — qui les portent ou les traitent.
Ce qu'exige le contrôle A.5.9
La formulation tient en une phrase : un inventaire des informations et autres actifs associés, y compris leurs propriétaires, doit être élaboré et tenu à jour. Trois exigences en découlent :
- l'exhaustivité — l'inventaire couvre les actifs pertinents du périmètre du SMSI, pas seulement ceux que les outils voient ;
- l'exactitude dans le temps — l'inventaire est « tenu à jour », ce qui suppose des procédures d'entrée, de mouvement et de sortie, et des vérifications périodiques ;
- la propriété — chaque actif a un propriétaire désigné, responsable de sa classification et de sa protection.
Surtout, A.5.9 est un contrôle fondation : l'utilisation correcte des actifs (A.5.10), la restitution au départ d'un collaborateur (A.5.11), la classification (A.5.12) et la sécurité des terminaux utilisateurs (A.8.1) s'appuient tous sur lui — tout comme l'appréciation des risques elle-même : on n'analyse pas les risques d'un parc qu'on ne sait pas dénombrer. Un inventaire défaillant fragilise donc l'ensemble du système de management.
Définir le périmètre : quels actifs entrent à l'inventaire
La première difficulté pratique est le périmètre. « Actifs associés » ne se limite pas au matériel : la norme vise tout ce qui porte ou traite de l'information dans le champ du SMSI. En pratique, il est utile de raisonner par catégories, chacune avec sa source de vérité et son mode de recensement.
Deux erreurs de cadrage reviennent. La première est le périmètre trop étroit, qui réduit l'inventaire au matériel branché et oublie supports amovibles, services cloud, installations et données : l'auditeur le détecte dès qu'il croise une donnée sensible sans support inventorié. La seconde est le périmètre mal délimité par rapport au champ du SMSI : inventorier des actifs hors périmètre dilue l'effort, en oublier dans le périmètre crée des angles morts. Le bon cadrage suit la déclaration d'applicabilité : on inventorie ce que le SMSI couvre, ni plus, ni moins, mais exhaustivement.
| Catégorie d'actif | Exemples | Comment le recenser |
|---|---|---|
| Informations | Bases de données, dossiers, archives, contrats | Cartographie des traitements et des dépôts |
| Actifs matériels | Postes, serveurs, réseau, supports amovibles | Constat physique sur le terrain et étiquetage |
| Actifs logiciels | Systèmes, applications, bases, licences | Sources SAM/ITAM rattachées au matériel |
| Services et cloud | SaaS, IaaS, certificats, noms de domaine | Consoles, contrats et factures de souscription |
| Installations | Locaux techniques, salles serveurs, énergie | Inventaire des sites et des dépendances |
Pour les actifs matériels, la difficulté n'est pas conceptuelle mais opérationnelle : la découverte réseau ne voit que le connecté. Seul un inventaire physique des actifs informatiques capte les stocks, le matériel débranché, les supports amovibles et les périphériques — c'est précisément là que se logent les actifs non recensés qui font échouer un échantillonnage.
Classification et propriété : les deux exigences qui se tiennent
A.5.9 ne demande pas seulement de lister : il demande d'attribuer. Deux notions s'articulent. La propriété (ownership) désigne, pour chaque actif, une personne ou une fonction responsable de son cycle de vie : sa classification, sa protection, la mise à jour de l'inventaire, sa sortie. La classification (contrôle A.5.12) qualifie la sensibilité de l'information portée par l'actif — publique, interne, confidentielle, restreinte — et détermine le niveau de protection attendu.
Ces deux exigences ne tiennent que si l'inventaire est assez précis pour les porter. Un propriétaire générique (« la DSI ») pour dix mille lignes est un signal faible classique : la responsabilité doit être attribuable à une personne ou une fonction réelle. De même, une classification ne se défend que si l'on sait quel actif porte quelle information — ce qui suppose de relier le constat matériel à la cartographie des traitements. L'inventaire est le pivot qui rend ces deux contrôles opérables. Dans la pratique, la propriété se documente directement dans l'inventaire (une colonne « propriétaire » renseignée et tenue à jour), et la classification s'hérite de l'information portée : un serveur qui héberge une base classée « confidentiel » hérite des exigences de protection correspondantes. Sans inventaire reliant l'actif à l'information, ces deux attributs flottent sans ancrage — et l'auditeur le constate immédiatement.
A.5.9, pierre angulaire d'une chaîne de contrôles
L'inventaire n'est pas un contrôle isolé : il conditionne l'application d'une série d'autres exigences de l'Annexe A, qui toutes présupposent de savoir quels actifs existent et qui en répond. Mesurer cette dépendance aide à comprendre pourquoi un inventaire défaillant fragilise l'ensemble du système de management.
| Contrôle | Objet | Dépendance à l'inventaire |
|---|---|---|
| A.5.10 | Utilisation correcte des actifs | Suppose des actifs identifiés et attribués |
| A.5.11 | Restitution des actifs au départ | Exige de savoir quels biens détient l'agent |
| A.5.12 | Classification de l'information | S'applique aux actifs portant l'information |
| A.7.10 / A.7.14 | Supports de stockage, mise au rebut sécurisée | Suppose de tracer les supports et leur sortie |
| A.8.1 / A.8.8 | Terminaux, vulnérabilités techniques | On ne corrige que ce que l'on dénombre |
Cette dépendance en cascade explique la sévérité avec laquelle A.5.9 est traité : un défaut d'inventaire ne reste pas confiné à une ligne du rapport d'audit, il se propage à tous les contrôles qui s'appuient sur lui. Inversement, un inventaire solide fait gagner du terrain sur l'ensemble de l'Annexe A.
Les actifs informationnels : au-delà du matériel
Le titre même du contrôle — « inventaire des informations et autres actifs associés » — rappelle que l'information est l'actif primaire ; le matériel n'en est que le support. Un inventaire A.5.9 complet recense donc aussi les actifs informationnels : bases de données, dépôts documentaires, archives, jeux de données sensibles, ainsi que les durées de conservation qui s'y attachent. Le lien avec le matériel est direct : une donnée n'existe nulle part « en général », elle réside sur un serveur, un poste, un support amovible, un espace cloud — tous des actifs à inventorier et à rattacher à un propriétaire.
C'est cette continuité entre l'information et son support qui fait de l'inventaire un outil de conformité bien au-delà de la seule ISO 27001. Le même rattachement « information ↔ support » nourrit le registre des traitements imposé par le RGPD : savoir où réside une donnée personnelle, c'est savoir sur quel actif la protéger, la chiffrer ou l'effacer. La cohérence d'ensemble — sécurité de l'information, protection des données personnelles, fidélité comptable du parc — repose sur un seul socle : un inventaire qui relie chaque information à un support identifié, localisé et attribué.
Le lien avec l'analyse de risque
C'est sans doute l'articulation la plus structurante. L'appréciation des risques (clauses 6.1 et 8.2 de la norme) consiste à identifier les menaces et vulnérabilités pesant sur les actifs, puis à en estimer l'impact. Or on ne peut apprécier le risque que sur un périmètre connu : un actif absent de l'inventaire est un risque qui n'a jamais été examiné. La gestion des vulnérabilités techniques (A.8.8) en dépend directement : on ne corrige et on ne supervise que ce que l'on sait dénombrer. Un inventaire incomplet produit donc, mécaniquement, une analyse de risque incomplète — et c'est l'un des enchaînements que les auditeurs savent remonter en partant d'un simple écart de terrain.
Cet enchaînement éclaire un malentendu courant : on présente parfois l'inventaire comme une formalité administrative, alors qu'il est le point de départ de la démarche de sécurité. La logique de l'ISO 27001 est ascendante : on identifie d'abord les actifs, on en déduit les risques, puis on choisit les mesures de traitement et les contrôles de l'Annexe A. Inverser cet ordre — déployer des mesures sans avoir recensé ce qu'elles protègent — revient à sécuriser un périmètre qu'on ne connaît pas. C'est précisément pour cela qu'un inventaire exhaustif et constaté n'est pas négociable : il fixe le périmètre sur lequel tout le reste se construit.
Ce que l'auditeur vérifie réellement
Les audits de certification (initiaux comme de surveillance) suivent presque toujours le même rituel :
- l'échantillonnage bidirectionnel : l'auditeur tire quelques actifs de l'inventaire et demande à les voir ; puis il désigne des équipements dans un bureau ou une baie et vérifie qu'ils figurent à l'inventaire ;
- la fraîcheur : date de la dernière vérification physique, traçabilité des mises à jour, cohérence avec les mouvements récents (déménagements, renouvellements) ;
- les propriétaires : des personnes ou fonctions réelles, pas un service générique pour dix mille lignes ;
- la classification : cohérence entre la sensibilité déclarée et les mesures de protection effectivement appliquées ;
- le cycle de vie : où est passé le portable de tel collaborateur parti ? La mise au rebut de ce serveur est-elle documentée (effacement des supports compris) ? ;
- la cohérence entre référentiels : inventaire du SMSI, CMDB, fichier comptable — des écarts massifs entre les trois trahissent l'absence de processus.
Un écart isolé se discute ; des écarts systémiques débouchent sur une non-conformité — et la pire réponse possible reste le tableur daté de trois ans que personne ne sait expliquer. À l'inverse, un inventaire constaté sur le terrain, étiqueté, daté et réconcilié avec les outils se défend en quelques minutes. La nuance importe : une non-conformité mineure sur un écart ponctuel se solde par un plan d'action ; une non-conformité majeure sur un défaut systémique de tenue de l'inventaire peut suspendre la décision de certification jusqu'à correction.
La preuve physique : ce qui se voit et se vérifie
Tout l'enjeu d'A.5.9, au moment de l'audit, se résume à une question : votre inventaire est-il vérifiable ? Un fichier qui ne peut pas être confronté au réel n'est pas une preuve, c'est une déclaration. La preuve physique repose sur trois éléments concrets : un identifiant durable posé sur le bien (étiquette code-barres ou RFID, numéro de série) qui sert de clé de rapprochement ; un horodatage du constat, qui démontre la fraîcheur ; et une traçabilité des écarts, qui montre que les divergences ont été non seulement détectées mais qualifiées et soldées. Réunis, ces éléments transforment l'échantillonnage de l'auditeur d'une épreuve en une simple vérification.
La différence entre une preuve et une déclaration se mesure très concrètement le jour de l'audit. Face à un inventaire non vérifiable, l'auditeur multiplie les questions, creuse les incohérences, élargit son échantillon — et chaque écart non expliqué pèse. Face à un inventaire étiqueté et daté, le même auditeur tire un actif, lit l'étiquette, retrouve la ligne, constate la cohérence : l'exercice se clôt en quelques minutes. Cette économie de friction n'est pas un détail : elle conditionne la sérénité de tout l'audit et la confiance que l'auditeur accorde au reste du système de management. Un volet A.5.9 qui « passe » proprement crée un climat favorable ; un volet A.5.9 fragile invite à la suspicion sur l'ensemble.
NIS2, ANSSI et ENS : l'inventaire devient réglementaire
La directive (UE) 2022/2555, dite NIS2, est entrée en vigueur et sa transposition française est pilotée par l'ANSSI. À la différence d'ISO 27001, démarche volontaire, NIS2 est une obligation légale assortie de sanctions pour des milliers d'entités essentielles et importantes. Son article 21 impose des mesures de gestion des risques qui citent expressément « la gestion des actifs » (art. 21.2.i) — et le guide d'hygiène informatique de l'ANSSI place de longue date la connaissance et la cartographie du système d'information parmi les toutes premières mesures. D'autres référentiels procèdent de la même logique : le schéma espagnol ENS (Esquema Nacional de Seguridad), comme la plupart des cadres sectoriels, fait de l'inventaire des actifs une exigence de base. Quel que soit votre référentiel, la brique de départ est la même : un inventaire d'actifs exhaustif et démontrable.
Inventaire ISO 27001 et inventaire comptable : un seul terrain, deux finalités
Beaucoup d'organisations mènent en parallèle deux exercices qui pourraient n'en faire qu'un. L'inventaire A.5.9 vise la sécurité de l'information ; l'inventaire physique des immobilisations vise la fidélité du bilan (article L123-12 du Code de commerce). Les finalités diffèrent, mais pour le matériel, le constat de terrain est le même. Une campagne bien conçue — identifiants communs, étiquetage, numéros de série partagés — alimente les deux référentiels d'un seul passage. Les organisations soumises à des exigences sectorielles fortes, comme le secteur financier, trouveront dans notre page services financiers le détail de cette double lecture.
| Critère | Inventaire A.5.9 (ISO 27001) | Inventaire comptable |
|---|---|---|
| Finalité | Sécurité de l'information | Fidélité du bilan |
| Périmètre | Matériel, logiciel, services, données | Immobilisations corporelles |
| Exigence d'ownership | Propriétaire sécurité par actif | Affectation analytique / responsable |
| Constat matériel | Identique — un seul passage terrain | Identique — un seul passage terrain |
Construire un inventaire défendable : cinq piliers
- Un constat terrain exhaustif : la découverte réseau ne voit que ce qui est connecté ; seul un inventaire physique des actifs informatiques capte les stocks, le matériel débranché et les périphériques ;
- Un identifiant physique durable : l'étiquette code-barres ou RFID sert de clé de rapprochement entre le terrain, l'inventaire et la CMDB ;
- Un propriétaire nommé par actif, avec une granularité qui rend la responsabilité attribuable ;
- Une réconciliation périodique physique × logique × comptable, avec des écarts qualifiés et soldés — la méthode est détaillée dans notre guide ITAM et CMDB ;
- Des procédures de cycle de vie : entrées, mouvements, restitutions, mises au rebut documentées — y compris l'effacement des supports.
L'inventaire à chaque étape du cycle de certification
La certification ISO 27001 n'est pas un événement unique mais un cycle, généralement triennal, ponctué d'audits dont chacun examine l'inventaire sous un angle un peu différent. Comprendre cette temporalité évite l'erreur classique du « coup d'éclat » au premier audit suivi d'un relâchement.
| Étape | Ce qui est examiné côté A.5.9 |
|---|---|
| Audit initial — étape 1 | Existence d'une procédure d'inventaire, périmètre, documentation |
| Audit initial — étape 2 | Échantillonnage bidirectionnel sur le terrain, propriétaires, fraîcheur |
| Surveillance (annuelle) | Maintien dans le temps : mises à jour, traitement des écarts, dérive |
| Recertification (3 ans) | Revue d'ensemble du dispositif et de sa robustesse sur la durée |
La leçon est claire : ce que les audits de surveillance et de recertification vérifient, ce n'est pas tant l'inventaire à un instant que la preuve qu'un processus le maintient vrai. Un inventaire physique initial bien mené pose la base ; les procédures et les inventaires tournants la défendent année après année. C'est cette continuité qui distingue une organisation qui « passe » une fois d'une organisation qui reste certifiée sans stress.
Préparer l'audit : une checklist opérationnelle
En vue d'un audit initial ou de surveillance, quelques vérifications concentrent l'essentiel du risque sur le volet A.5.9 :
- la date du dernier constat physique est récente et documentée ;
- un échantillon tiré de l'inventaire se retrouve sur le terrain, et inversement ;
- chaque ligne porte un propriétaire identifiable et une classification cohérente ;
- les mouvements récents (arrivées, départs, déménagements) sont reflétés ;
- les sorties (rebut, cession) sont tracées, effacement des supports compris ;
- les écarts entre inventaire, CMDB et fichier comptable sont expliqués, pas subis.
Outil ou résultat : ce que la norme n'exige pas
Une confusion fréquente conduit des organisations à croire qu'acheter un outil ITAM ou déployer une CMDB suffit à satisfaire A.5.9. Ce n'est pas ce que dit la norme. A.5.9 exige un résultat — un inventaire exact, à jour, doté de propriétaires — pas un logiciel particulier. Un outil est un moyen utile ; il n'est jamais une preuve en soi. L'auditeur ne note pas la marque de votre solution : il évalue la fiabilité de son contenu. Et la fiabilité d'un référentiel ne se décrète pas, elle se constate : un outil nourri uniquement par de la découverte réseau et des imports d'achats hérite de tous leurs angles morts — stock invisible, sorties jamais soldées, doublons. Sans confrontation périodique au terrain, le plus coûteux des outils héberge un inventaire indéfendable.
C'est la raison pour laquelle la question pertinente n'est pas « quel outil ? » mais « quelle preuve ? ». Un tableur tenu rigoureusement, adossé à un constat physique récent et à des procédures claires, sera mieux noté qu'une CMDB sophistiquée jamais réconciliée. L'outil organise la donnée ; le terrain la rend vraie ; la procédure la maintient. C'est cette chaîne, et non la technologie, que l'auditeur vérifie.
Les non-conformités les plus fréquentes sur A.5.9
À force d'auditer le même contrôle, certains constats reviennent. Les anticiper, c'est l'essentiel du travail de préparation. Voici les écueils les plus courants — et ce qui les corrige.
| Constat d'audit | Cause profonde | Correction durable |
|---|---|---|
| Actif en salle absent de l'inventaire | Mise en service sans saisie ni étiquette | Constat physique + procédure d'entrée |
| Ligne d'inventaire introuvable au sol | Sortie jamais soldée (rebut, vol, départ) | Réconciliation + procédure de sortie tracée |
| Propriétaire générique « DSI » | Granularité insuffisante de l'inventaire | Attribution nominative par actif ou fonction |
| Inventaire daté de plusieurs années | Aucune vérification physique périodique | Inventaires tournants accélérés par le RFID |
| Classification incohérente | Actif non relié à l'information portée | Lien inventaire ↔ cartographie des traitements |
| Écarts massifs entre référentiels | Pas de clé de rapprochement commune | Identifiant durable partagé (étiquette, n° série) |
Le fil rouge de ce tableau est simple : presque toutes les non-conformités d'A.5.9 naissent d'un défaut de constat ou de maintien, jamais d'un défaut d'outil. C'est pourquoi un inventaire physique initial, suivi de procédures et de vérifications périodiques, traite la racine du problème plutôt que ses symptômes.
Au-delà de l'audit : pourquoi l'inventaire se rentabilise
Construire un inventaire pour « passer » l'audit serait le réduire à une corvée. En réalité, le référentiel que A.5.9 vous oblige à constituer sert bien au-delà de la conformité, et c'est ce qui en fait un investissement plutôt qu'une dépense. Sur le plan de la sécurité opérationnelle, un parc entièrement recensé, c'est une surface d'attaque connue : chaque actif peut être patché, supervisé et sauvegardé, là où un équipement fantôme reste une porte ouverte ignorée. Sur le plan de la réponse à incident, savoir instantanément quel actif porte quelle donnée et qui en répond fait gagner un temps décisif lorsque chaque minute compte.
Sur le plan financier, le même constat de terrain qui sert la sécurité fiabilise le fichier des immobilisations et met fin aux dépenses sur des actifs disparus — maintenance, licences, assurances. Sur le plan de la gouvernance, enfin, l'attribution d'un propriétaire à chaque actif clarifie les responsabilités bien au-delà du périmètre sécurité : qui décide du renouvellement, qui valide une sortie, qui répond d'un écart. L'inventaire exigé par la norme devient ainsi l'infrastructure de décision de toute la direction des systèmes d'information.
Maintenir l'inventaire entre deux audits
« Tenu à jour » est l'exigence la plus exigeante d'A.5.9, car elle porte sur la durée, pas sur un instant. Un inventaire parfait le jour de l'audit, mais reconstruit la veille dans la précipitation, ne démontre aucun processus : l'auditeur de surveillance, l'année suivante, retrouvera la dérive. La maîtrise dans le temps repose sur deux dispositifs complémentaires. D'une part, une mise à jour au fil de l'eau : chaque entrée, mouvement ou sortie passe par une procédure qui met à jour le référentiel — c'est ce qui empêche la dérive de s'installer. D'autre part, une vérification physique périodique, qui corrige les écarts résiduels et atteste la fraîcheur. L'étiquetage RFID change l'économie de cette vérification : une salle se relit en la traversant, ce qui rend les inventaires tournants assez légers pour être réellement tenus — sur les zones sensibles, à une fréquence supérieure à l'annuelle.
Le bon indicateur de pilotage n'est pas « avons-nous un inventaire ? » mais « à quelle date a-t-il été confronté au réel, et quel pourcentage de présence avons-nous constaté ? ». Un taux de présence suivi dans le temps, des biens « non vus depuis N jours » identifiés et traités : voilà la matière qui transforme un audit A.5.9 d'une épreuve en une formalité.
Ce que CPCON apporte concrètement
CPCON n'est pas un organisme de certification, et ce n'est pas son rôle : la certification relève de votre certificateur accrédité, qui audite votre système de management. Notre métier, depuis plus de 30 ans et plus de 4 500 projets, est de livrer la preuve d'inventaire que vos auditeurs exigent : recensement physique du parc, étiquetage, réconciliation avec vos outils de découverte, votre CMDB et votre fichier des immobilisations, rapport d'écarts opposable et procédures pour maintenir la fiabilité dans le temps. La distinction est essentielle et nous y tenons : la découverte voit le logique ; CPCON prouve le physique et rapproche les trois représentations. Vous arrivez à l'audit avec un référentiel constaté, daté et défendable — votre certificateur, lui, décide de la certification.
Sources officielles : ISO/IEC 27001 (iso.org) · La directive NIS2 (ANSSI — cyber.gouv.fr) · Directive (UE) 2022/2555 (EUR-Lex). Cet article d'information générale ne constitue pas un avis juridique ou de certification.