L'inventaire applicatif est bien plus qu'une simple liste de logiciels. C'est la cartographie de votre système d'information, la première étape essentielle pour aligner votre PME avec des normes comme ISO 27001. L'objectif n'est pas de dresser un catalogue technique froid, mais de comprendre comment les outils informatiques soutiennent concrètement l'activité de l'entreprise.

Pour commencer, il faut définir un périmètre clair. S'agit-il de recenser uniquement les logiciels installés sur les serveurs ? Ou d'inclure aussi les applications sur les postes de travail, les services cloud et les outils utilisés sur les appareils mobiles ? Un périmètre bien défini évite de se disperser. Pour une première passe, concentrez-vous sur les applications critiques qui soutiennent les processus métiers principaux.

Cette vision complète est l'objectif. La première étape pour y parvenir est de trouver les bonnes personnes à qui parler.

Chaque application doit avoir un propriétaire, ou « Asset Owner ». Ce n'est pas forcément un expert technique. C'est la personne au sein d'un département métier qui est responsable de l'application, qui en comprend l'utilité et qui gère son cycle de vie du point de vue de l'entreprise.

Identifier ces propriétaires est un travail d'enquête. Commencez par le management. Demandez aux directeurs de département : "Quels sont les outils indispensables au fonctionnement de votre équipe ? Qui est le référent pour chaque outil ?" Cette approche collaborative est fondamentale. Elle garantit que l'inventaire reflète la réalité du terrain et n'est pas juste une extraction de données techniques.

Une fois les propriétaires identifiés, organisez des entretiens. Le but n'est pas de faire un audit, mais d'avoir une conversation ouverte. Voici quelques questions à poser :

• Décrivez les principales missions de votre département.
• Quelles applications utilisez-vous au quotidien pour accomplir ces missions ?
• Comment avez-vous obtenu cet outil ? A-t-il été validé par le service informatique ?
• Qui d'autre utilise cette application et pour quoi faire ?

Ces entretiens révèlent souvent l'existence d'outils que le service informatique ignore complètement. C'est ce qu'on appelle le Shadow IT.

Le Shadow IT n'est pas forcément négatif. Il montre souvent que les employés sont proactifs pour trouver des solutions à leurs problèmes. Cependant, il représente un risque de sécurité majeur : données non contrôlées, failles de sécurité, non-conformité réglementaire. L'inventaire est l'occasion de le mettre en lumière pour mieux le maîtriser.

Les entretiens fournissent le contexte métier, mais ils ne sont pas infaillibles. Les gens oublient, ou ne connaissent pas tous les détails techniques. Il faut donc compléter cette approche humaine par une découverte automatisée. Des outils de scan réseau peuvent parcourir votre infrastructure pour détecter les logiciels installés et les services en cours d'exécution.

Open-AudIT est un exemple d'outil open-source qui peut réaliser cette tâche. Il scanne les appareils sur le réseau (ordinateurs, serveurs) et remonte des informations détaillées sur les logiciels installés, les versions, les configurations, etc. Cette découverte passive permet de corroborer les informations des entretiens et de repérer des logiciels oubliés ou non déclarés.

La confrontation des deux sources d'information est l'étape la plus riche. Le service marketing a mentionné un outil de gestion des réseaux sociaux ? Le scan réseau ne le voit pas, car c'est une application SaaS. Le scan détecte une vieille version de Java sur un serveur ? Personne ne se souvient à quoi elle sert. C'est en croisant ces informations que l'on construit une image fiable et complète.

Le résultat final doit être une base de données ou un simple tableur qui documente pour chaque application : son nom, sa fonction, son propriétaire, ses utilisateurs clés, son type (logiciel installé, SaaS, etc.) et son niveau de criticité pour l'entreprise. Cette base de référence solide est le socle sur lequel vous pourrez bâtir votre stratégie de sécurité et de conformité.

Maintenant que vous comprenez la méthodologie, il est temps de tester vos connaissances.

En suivant cette démarche structurée, vous transformez l'inventaire d'une simple corvée technique en un puissant outil stratégique pour votre PME.