Cartographie du système d'information : par où commencer
Cartographier son système d'information, c'est le rendre visible : quelles applications, quelles données, quels flux, quels propriétaires. Sans cette vue d'ensemble, chaque décision se prend à l'aveugle.
À retenir
- Une bonne cartographie répond à des questions précises (qui utilise quoi, où sont les données sensibles ?) ; elle n'est pas un schéma décoratif.
- Plusieurs points de vue sont nécessaires : métiers, applications, données, infrastructures.
- Commencez petit : les applications critiques et leurs flux principaux valent mieux qu'un inventaire exhaustif obsolète au bout d'un an.
- Une cartographie vit seulement si quelqu'un en est responsable et si elle sert à décider.
À quoi sert une cartographie du SI
Une cartographie n'a pas de valeur en soi. Elle en a quand elle permet de répondre vite à des questions que l'on se pose réellement :
- Quelles applications soutiennent tel processus métier, et que se passe-t-il s'il tombe en panne ?
- Où se trouvent les données personnelles ou sensibles, et qui y accède ?
- Quelles applications font la même chose et pourraient être regroupées ?
- Quels composants arrivent en fin de support dans les deux prochaines années ?
- Quel serait l'impact de la sortie d'un fournisseur ou d'un changement de réglementation ?
Choisir les questions avant de dessiner évite les cartographies trop détaillées, impossibles à maintenir, qui ne servent à personne.
Les points de vue à construire
Un SI est trop riche pour tenir sur un seul schéma. On le décrit par points de vue complémentaires, chacun adapté à un public :
- Le point de vue métier : les processus et les capacités de l'organisation, utile aux directions.
- Le point de vue applicatif : les applications, leurs responsables, leur cycle de vie et leurs interfaces.
- Le point de vue données : les objets d'information (client, produit, contrat...), leur propriétaire, leurs usages.
- Le point de vue technique : serveurs, réseaux, cloud, outils de sécurité, hébergement.
- Le point de vue des flux : qui échange quoi avec qui, en temps réel ou par lots.
La valeur apparaît dans les liens entre les vues : un processus relié à ses applications, elles-mêmes reliées à leurs données et à leur hébergement.
Les informations minimales à collecter
Pour chaque application, quelques attributs suffisent à démarrer :
- nom et description en une phrase ;
- propriétaire métier et responsable technique ;
- processus soutenus et nombre approximatif d'utilisateurs ;
- données principales manipulées, dont leur sensibilité ;
- hébergement, éditeur ou équipe de développement, version et date de fin de support ;
- niveau de criticité (que perd-on si elle est indisponible une journée ?).
Un simple tableau partagé peut être un excellent point de départ. Un outil dédié devient utile quand le volume ou les besoins d'analyse augmentent, pas avant.
Une démarche en cinq étapes
- Définir les questions auxquelles la cartographie doit répondre.
- Choisir le périmètre : les applications critiques ou un domaine métier, pas tout d'un coup.
- Collecter auprès des responsables métier et techniques, plutôt qu'en lisant uniquement des documents anciens.
- Relier les éléments (processus, applications, données, hébergement) et vérifier la cohérence avec deux ou trois personnes concernées.
- Publier et faire vivre : un responsable, une fréquence de revue, un lien avec le processus de gestion des changements.
Les pièges classiques
- Viser l'exhaustivité : un inventaire parfait mais périmé est plus dangereux qu'une cartographie partielle mais fiable.
- Dessiner sans responsable : sans propriétaire, la mise à jour s'arrête au premier gros projet.
- Oublier les données : cartographier les applications sans leurs données ne permet pas de traiter conformité ni sécurité.
- Ignorer l'informatique non déclarée (« shadow IT ») : les outils choisis directement par les métiers font aussi partie de votre SI.
Pour aller plus loin
La phase 3 du framework DYNAMAP SI est consacrée aux cartographies et aux points de vue. Pour situer votre niveau sur la gouvernance, la qualité, la modélisation et le cycle de vie des données, l'audit des données et de la cartographie couvre douze domaines.
Si vous voulez qu'une première cartographie soit cadrée et réalisée avec méthode, parlons-en.
Pour mesurer où vous en êtes sur ce sujet, lancez l'audit « Données et cartographie du SI » : quelques minutes suffisent, sans compte.