TL;DR
La cartographie du parc informatique est le prérequis de toute stratégie de sécurité offensive. Mais ce que votre CMDB documente et ce qu’un attaquant trouve sur votre réseau interne sont deux réalités différentes.
Un test d’intrusion interne comble cet écart : il explore le réseau comme un attaquant, cartographie ce que personne n’a pensé à inventorier, et produit un registre des actifs à risque que nul outil automatique ne peut générer seul.
65 %
des apps SaaS échappent au contrôle IT (Gartner, 2025)
72 h
temps moyen pour identifier une vulnérabilité critique en interne
6,58 Md$
marché mondial de la gestion des actifs IT en 2024
La cartographie du parc informatique est l’acte fondateur de toute démarche de cybersécurité sérieuse. On ne peut pas protéger ce qu’on ne voit pas. On ne peut pas auditer ce qu’on n’a pas documenté. Et on ne peut certainement pas simuler ce qu’un attaquant ferait sur un système d’information dont on ignore une partie des composants.
Pourtant, c’est précisément cette situation dans laquelle se trouvent la majorité des organisations. Non par négligence, mais parce que les parcs informatiques grandissent plus vite que les outils qui les documentent. Une fusion avec une autre structure, un changement de prestataire, des déploiements cloud rapides, du Shadow IT non validé par le service informatique : l’écart entre la cartographie officielle et la réalité du réseau s’élargit continuellement, souvent sans que personne ne s’en apercoive.
Ce gap, un attaquant qui obtient un premier accès interne, via un email de phishing, un accès VPN compromis ou un prestataire, va l’explorer systématiquement. Il cherchera les serveurs oubliés, les comptes orphelins, les partages de fichiers mal configurés, les chemins d’escalade de privilèges dans l’Active Directory que personne n’a documentés parce que personne ne savait qu’ils existaient.
Cet article explique ce que recouvre réellement une cartographie du parc informatique, comment la métodologie offensive d’un test d’intrusion interne la complète là où tout inventaire classique a des angles morts, et pourquoi la combinaison des deux constitue aujourd’hui le niveau minimal de due diligence que NIS 2, ISO 27001 et DORA imposent aux organisations concernées.
Définition
Qu’est-ce que la cartographie d’un parc informatique ?
Périmètre complet, couches et enjeux
La cartographie du parc informatique est une représentation structurée de l’ensemble des actifs numériques d’une organisation. Ce n’est pas un simple tableur de machines. C’est un référentiel vivant qui relie chaque actif à sa fonction métier, ses dépendances techniques, ses flux de données, et son niveau d’exposition aux risques. Une cartographie complète couvre quatre grandes catégories d’actifs.
🖥️ Actifs matériels
Postes de travail, ordinateurs portables, serveurs physiques, switches, routeurs, firewalls, bornes Wi-Fi, imprimantes réseau, caméras IP, équipements IoT.
💾 Actifs logiciels
Systèmes d’exploitation, applications métier, ERP, CRM, suites bureautiques, middleware, composants open source intégrés, licences SaaS.
🔑 Actifs immatériels
Certificats SSL/TLS, noms de domaine, clés API, contrats de prestation, droits d’accès, identités de service et comptes techniques.
🔄 Flux et dépendances
Connexions entre systèmes, flux réseau inter-segments, intégrations API avec SaaS tiers, accès distants VPN, relations de confiance entre domaines.
L’ANSSI formalise cette cartographie dans son guide de référence (cyber.gouv.fr) en quatre visions complémentaires : la vision métier (quels processus dépendent de quels systèmes), la vision applicative (quelles applications sont en production et comment elles interagissent), la vision infrastructure (quels serveurs, quels réseaux, quels flux physiques) et la vision données (où sont les données sensibles, qui y accède, par quels canaux). Ces quatre niveaux de lecture donnent une image complète du système d’information, mais exigent un effort de documentation et de mise à jour continu.
⚖️ La cartographie du SI est un prérequis formel de l’ANSSI, de NIS 2 (ordonnance du 30 avril 2024), d’ISO 27001 (Annexe A.5.9) et de DORA (applicable depuis le 17 janvier 2025). Ces référentiels n’imposent pas seulement d’avoir une cartographie : ils exigent qu’elle soit maintenue, vérifiée et que son exhaustivité soit démontrable.
Les 5 couches d’un parc informatique à cartographier
Ce que chaque couche contient et où se cachent les angles morts structurels
Un parc informatique ne se réduit pas aux postes de travail et aux serveurs que tout le monde voit. Il se compose de plusieurs couches superposées dont certaines sont bien documentées, et d’autres ne le sont presque jamais. C’est précisément dans les couches mal documentées qu’un attaquant cherche son chemin après avoir obtenu un premier accès.
Couche 1 : les postes de travail et les terminaux
C’est la couche la plus visible et généralement la mieux inventoriée. Les postes de travail, ordinateurs portables, stations graphiques sont en principe dans un CMDB ou une console MDM. Mais l’angle mort fréquent à ce niveau est celui des postes fantômes : machines physiques reliées au réseau mais n’appartenant plus à aucun utilisateur actif (matériel rendu lors d’un départ, terminal d’un prestataire jamais déconnecté), et terminaux personnels ou BYOD connectés au réseau d’entreprise sans enrôlement MDM formel.
Couche 2 : l’infrastructure réseau
Switches, routeurs, firewalls, bornes Wi-Fi, VPN concentrators : cette couche structure la communication entre tous les autres actifs. L’angle mort le plus classique est celui des équipements réseau oubliés dans des locaux secondaires ou des salles de réunion : une prise réseau active branchée sur un switch non géré, une borne Wi-Fi installée par un employé pour résoudre un problème de couverture, un routeur 4G laissé branché après un chantier. Ces équipements créent des points d’entrée ou des chemins de pivot que l’inventaire officiel ne répertorie pas. Un outil comme Nmap les détecte en quelques minutes depuis l’intérieur du réseau.
Couche 3 : les serveurs et les services internes
Serveurs physiques, machines virtuelles, conteneurs, bases de données, serveurs de fichiers, annuaires d’entreprise, serveurs de sauvegarde : cette couche héberge la majorité des données sensibles. L’angle mort structurel à ce niveau est celui des serveurs hérités non décommissionnés. Un serveur Windows Server 2008 ou 2012 encore actif sur le réseau n’est plus dans les systèmes supportés par Microsoft, ne reçoit plus de correctifs de sécurité, et héberge souvent une application métier dont personne ne sait plus exactement ce qu’elle fait. Il est pour autant bien présent sur le réseau, accessible depuis d’autres machines, et exploitable par un attaquant. Ces serveurs ne sont plus dans la cartographie officielle, mais ils sont dans le réseau, et c’est ce qui compte pour un attaquant.
Couche 4 : les identités et les droits d’accès
Dans la plupart des organisations Windows, l’Active Directory est le système central de gestion des identités et des droits. Cette couche est la plus difficile à cartographier correctement, parce qu’elle évolue en permanence et accumule au fil des années des configurations héritées que personne ne remet en question. Un audit de l’Active Directory révèle systématiquement des comptes d’anciens employés ou prestataires toujours actifs, des comptes de service avec des mots de passe inchangés depuis plusieurs années, des permissions ACL trop larges sur des objets critiques, et des chemins d’escalade de privilèges que l’outil BloodHound visualise en quelques secondes mais qu’aucun CMDB ne représente. Ces chemins existent parce que des délégations ont été créées pour résoudre des problèmes ponctuels, et n’ont jamais été nettoyées. Un attaquant les exploitera systématiquement pour une élévation de privilèges.
Couche 5 : le périmètre cloud, SaaS et les dépendances externes
C’est la couche qui croît le plus vite et qui est la moins bien cartographiée. Les applications SaaS, les espaces de stockage cloud, les outils de collaboration, les pipelines CI/CD, les intégrations API avec des services tiers se multiplient à un rythme que les procédures de gestion des actifs ne suivent pas. Gartner estimait en 2025 que 65 % des applications SaaS utilisées en entreprise échappaient au contrôle du service informatique. Chacune de ces applications est un actif numérique avec des droits d’accès, souvent connecté à d’autres systèmes via des intégrations OAuth ou des clés API. Sans cartographie, ces connexions restent invisibles jusqu’au jour où un outil périphérique est compromis et devient un vecteur d’attaque supply chain sur le SI principal.
Angle offensif
Ce que votre CMDB ignore et qu’un attaquant trouve en premier
La différence entre l’inventaire déclaré et la réalité du réseau
Un CMDB (Configuration Management Database) ou tout outil de gestion de parc documentent ce qu’on leur dit de documenter, au moment où on le leur dit. Ils sont par construction en retard sur la réalité du réseau. Ce retard n’est pas un échec opérationnel : c’est une propriété structurelle de tout inventaire. Il sera toujours instantané du passé dans un environnement qui change en permanence.
La vraie question n’est donc pas "est-ce que notre CMDB est à jour ?" mais "qu’est-ce que notre CMDB ne voit pas structurellement ?". En mission de test d’intrusion interne, nos pentesters trouvent régulièrement six catégories d’actifs à risque absents de tout inventaire fourni.
👤 Comptes orphelins Active Directory
Anciens employés, prestataires, comptes de service : chaque compte actif non utilisé est une porte potentielle. Un audit AD en identifie systématiquement plusieurs dizaines dans les organisations de taille moyenne. Ces comptes ont des mots de passe inchangés, parfois anciens, et aucun propriétaire pour réagir en cas d’alerte.
💻 Serveurs hérités non décommissionnés
Windows Server 2008, 2012, voire 2003 encore actifs sur le réseau, non patchés depuis des années parce qu’une application métier « tourne dessus ». Ces machines ne sont plus dans aucun inventaire officiel, mais elles répondent sur le réseau et sont exploitées en quelques minutes lors de nos missions.
☁️ Shadow IT et SaaS non validés
65 % des applications SaaS utilisées en entreprise échappent au contrôle IT (Gartner, 2025). Elles traitent des données métier, se connectent via OAuth aux comptes d’entreprise, et ne font l’objet d’aucune évaluation de sécurité. Le Shadow IT crée des surfaces d’attaque que personne ne surveille.
🔌 Accès distants de prestataires
VPN, RDP, TeamViewer laissés actifs après la fin d’une mission de sous-traitance. Ces accès permanents sont rarement inventoriés dans le CMDB. Ils représentent pourtant des portes d’entrée directes sur le réseau interne, avec des identifiants que personne ne change.
🕸️ Chemins d’escalade AD non cartographiés
Les relations de délégation, les attributs SPN mal configurés, les permissions ACL héritées non nécessaires : BloodHound cartographie ces chemins en quelques secondes. Aucun CMDB ne les représente parce que ces relations sont créées au niveau du domaine AD, invisibles sans outil spécifique.
📦 Dépendances logicielles vulnérables
Composants open source intégrés dans des développements internes, bibliothèques tierces non mises à jour, dépendances transitives non documentées. Sans SBOM, ces composants sont invisibles. Pourtant, si l’un d’eux contient une CVE critique, l’application qui l’intègre est vulnérable. C’est le vecteur des attaques supply chain.
🌐 L’outil Shodan permet de voir en quelques minutes ce qu’un attaquant externe voit de votre infrastructure : services exposés sur internet, versions logicielles, certificats expirés, ports ouverts inattendus. Ce que Shodan indexe, n’importe qui peut le voir. La question est de savoir si votre organisation le sait avant que quelqu’un d’autre ne le trouve.
Pourquoi c’est difficile
Pourquoi la cartographie du parc informatique est toujours incomplète
Les raisons structurelles de l’écart entre l’inventaire déclaré et la réalité
Beaucoup d’organisations ont tenté de maintenir une cartographie exhaustive de leur parc informatique. La plupart ont échoué à la tenir à jour. Pas par manque de moyens ou de volonté, mais parce que plusieurs forces agissent structurellement contre l’exhaustivité d’un inventaire.
La première est la vitesse des changements. Dans une organisation active, des dizaines de modifications d’infrastructure se produisent chaque semaine : nouveaux postes, nouvelles VM, nouveaux accès, nouvelles intégrations SaaS, modifications de permissions AD. Aucune procédure manuelle de mise à jour de l’inventaire ne peut suivre ce rythme. La cartographie accède à une précision maximale le jour où elle est établie, et se dégrade dès le lendemain.
La deuxième est le périmètre inconnu. Les inventaires sont biaisés par leur méthodologie : on inventorie ce qu’on cherche, dans les endroits où on cherche. Un actif déployé sans procédure formelle, une machine branchée dans un couloir, une application installée par un département métier sans passer par la DSI : aucun de ces actifs ne sera trouvé par un inventaire qui parcourt les données d’un système de gestion de parc. Seule une exploration active du réseau les détectera.
La troisième est l’héritage non documenté. Chaque organisation accumule au fil des années des serveurs qui « rendent service » sans que personne n’ose les éteindre, des comptes créés pour un usage ponctuel et jamais supprimés, des permissions attribuées pour résoudre un incident et jamais retirées. Cet héritage est invisible dans un CMDB parce qu’il n’a jamais été enregistré formellement. Mais il est présent sur le réseau, et un attaquant patient le trouvera.
🛡️ La surveillance Active Directory en continu permet de détecter les changements futurs dans l’annuaire : création de comptes, modifications de permissions, changements de configuration. Elle ne remplace pas l’audit : elle détecte ce qui change à partir du moment où elle est mise en place. Les failles antérieures restent invisibles jusqu’à un audit manuel.
Sécurité offensive
Pourquoi le test d’intrusion interne est la cartographie que votre CMDB ne peut pas faire
Ce qu’un audit systèmes et réseaux révèle que personne n’avait cherché
Un inventaire part de ce qui est connu et cherche à le documenter. Un test d’intrusion interne part de l’hypothèse qu’un attaquant a déjà obtenu un premier accès, et explore systématiquement ce qu’il peut atteindre depuis cette position. La différence est fondamentale : l’inventaire pense à partir de ce qui est connu, le pentester pense à partir de ce qui pourrait exister sans que personne ne l’ait prévu.
Concrètement, un test d’intrusion systèmes et réseaux mené par PIIRATES produit deux types de résultats. Le premier type est un rapport de vulnérabilités classique : les failles identifiées, leur niveau de criticité, les chemins d’exploitation démontrés, et les recommandations de correction priorisées. Le second type, souvent plus surprenant pour les équipes, est une cartographie des actifs découverts lors de la mission qui étaient absents de l’inventaire fourni. Ces deux types de résultats sont complémentaires : l’un traite les failles connues, l’autre révèle les failles inconnues.
Cette complémentarité explique pourquoi les organisations les plus matures en cybersécurité ne choisissent pas entre une cartographie soignée et des tests d’intrusion réguliers. Elles font les deux, parce que chaque cycle de test amène des corrections qui améliorent la cartographie, et une cartographie précise permet de cibler les tests sur les actifs les plus critiques et les plus exposés.
Méthodologie PIIRATES
Les 6 phases de notre audit interne orienté cartographie offensive
De la reconnaissance externe jusqu’au rapport livré
Lorsque PIIRATES conduit un test d’intrusion systèmes et réseaux, la mission débute toujours par une phase de cartographie indépendante. Avant de tester quoi que ce soit, nous cherchons à cartographier ce qui est réellement là, indépendamment de l’inventaire fourni par l’organisation. C’est cette indépendance du regard extérieur qui permet de trouver ce que l’inventaire officiel ne voit pas.
Reconnaissance externe et OSINT
Avant toute connexion au réseau interne, nous cartographions ce que l’organisation expose publiquement. Sous-domaines via les journaux de transparence des certificats SSL, services exposés indexés sur Shodan, fuites de credentials sur des bases de données compromises, informations exposées dans les DNS publics, répertoires GitHub publics. Cette phase définit le périmètre externe avant même d’accéder au réseau.
Découverte active du réseau interne
Depuis un poste positionné sur le réseau (en boite grise ou après obtention d’un accès initial), nous effectuons une découverte systématique des hôtes actifs, des ports ouverts et des services exposés en interne avec Nmap. Cette étape produit une cartographie réseau réelle, segment par segment, indépendante de l’inventaire fourni. Les écarts avec l’inventaire officiel sont documentés immédiatement.
Cartographie complète de l’Active Directory
L’audit Active Directory est la pièce centrale d’un parc Windows. Nous cartographions l’ensemble des objets du domaine (comptes, groupes, GPO, OU), des relations de délégation, des attributs SPN, des permissions ACL et des chemins d’escalade de privilèges via BloodHound. Cette cartographie AD est presque toujours plus riche que ce que l’organisation connaissait.
Identification des actifs critiques et des angles morts
Nous croisons la cartographie réseau et AD avec l’inventaire fourni par l’organisation. Les écarts sont documentés : équipements non listés, services non attendus, comptes orphelins, accès distants non répertoriés, dépendances non connues. Chaque écart est qualifié selon son niveau de risque et son exploitabilité réelle.
Test des chemins d’attaque réalistes
Une fois la cartographie établie, nous simulons les chemins d’attaque qu’un attaquant ayant obtenu un premier accès exploiterait prioritairement. Élévation de privilèges, pivots réseau inter-segments, accès aux données sensibles, compromission des actifs critiques : chaque chemin est testé manuellement, pas seulement détecté par scan. C’est cette validation manuelle qui distingue un finding exploitable d’un faux positif.
Rapport de mission et cartographie livrée
La cartographie produite est un livrable concret et actionnable : registre des actifs découverts (y compris ceux absents de l’inventaire fourni), schéma des flux réseau par segment, graphe des chemins AD identifiés, liste des comptes orphelins, et plan de remédiation priorisé selon l’impact métier. Ce document est directement utilisable pour mettre à jour le CMDB et prioriser le plan de sécurité.
Conformité
Cartographie et obligations réglementaires
Ce que NIS 2, ISO 27001 et DORA exigent concrètement
Les réglementations de cybersécurité applicables aux organisations françaises et européennes convergent toutes vers une exigence commune : l’organisation doit être en mesure de démontrer qu’elle connaît ses actifs et qu’elle maîtrise sa surface d’exposition. Trois textes ont particulièrement renforcé cette exigence ces dernières années.
NIS 2 (ordonnance du 30 avril 2024) impose aux entités essentielles et importantes une gestion des risques documenta incluant une identification et une cartographie des actifs critiques, une gestion des vulnérabilités, et une évaluation régulière de leur sécurité. L’ANSSI est l’autorité compétente et peut exiger une démonstration de conformité.
ISO 27001 (version 2022) exige dans son Annexe A.5.9 un inventaire formel de l’ensemble des actifs informationnels, avec leur classification, leurs propriétaires et les mesures de protection associées. La certification impose que cet inventaire soit maintenu et qu’il soit représentatif de la réalité du système d’information.
DORA (applicable depuis le 17 janvier 2025) impose aux entités financières un registre complet de leurs prestataires TIC et une cartographie de leurs dépendances technologiques, y compris la chaîne complète de sous-traitance. Les contrats avec les prestataires doivent inclure des droits d’audit permettant de vérifier les actifs qui supportent les fonctions critiques.
⚖️ Ces réglementations n’imposent pas seulement d’avoir une cartographie écrite. Elles imposent qu’elle soit vérifiable et qu’elle corresponde à la réalité. Un test d’intrusion interne réalisé par un tiers indépendant est la seule façon de démontrer objectivement que la cartographie déclarée est conforme à l’état réel du réseau.
La surveillance Active Directory continue apporte un premier niveau de détection des changements d’infrastructure en temps réel. Mais la surveillance ne remplace pas l’audit : elle détecte les changements futurs, pas les failles présentes. Elle doit être complétée par des tests d’intrusion périodiques pour évaluer la résistance réelle du système à un attaquant qui aurait obtenu un premier accès.
Passez à l’action
Ce que votre inventaire dit de votre réseau et ce qu’un pentester y trouve ne sont pas toujours identiques.
Un test d’intrusion interne est la seule façon de le savoir avec certitude, et de disposer d’une cartographie vérifiée par un tiers indépendant.
Demander un test d’intrusion interne PIIRATESLa cartographie du parc informatique est une représentation structurée de l’ensemble des actifs numériques d’une organisation : matériels (postes de travail, serveurs, réseau), logiciels et licences, comptes et droits d’accès, flux réseau et dépendances avec les services tiers. Elle constitue le référentiel de base de toute stratégie de cybersécurité et est exigée formellement par les référentiels ISO 27001, NIS 2 et DORA. L’ANSSI la définit en quatre visions complémentaires : métier, applicative, infrastructure et données.
Trois textes principaux imposent une cartographie des actifs en France et en Europe. NIS 2 (ordonnance du 30 avril 2024) l’exige pour les entités essentielles et importantes dans 18 secteurs d’activité. ISO 27001 (Annexe A.5.9) l’impose pour toute organisation souhaitant la certification. DORA (applicable depuis janvier 2025) l’impose aux entités financières sur l’ensemble de leur chaîne TIC. Ces textes n’imposent pas une cartographie écrite, mais une cartographie vérifiable et maintenue.
La fréquence dépend du contexte, de la taille du parc et du rythme des changements. Dans les organisations avec des évolutions d’infrastructure fréquentes, un test d’intrusion systèmes et réseaux annuel est un minimum. Une surveillance Active Directory continue entre les campagnes permet de détecter les dérives entre deux audits. Les organisations soumises à NIS 2 ou ISO 27001 doivent démontrer une évaluation régulière de leur sécurité, ce que les tests d’intrusion périodiques documentent formellement.
Quand les applications échappent au contrôle IT. Ce que votre inventaire ignore, un attaquant le trouve. Comment un pentest complète votre cartographie.
