Cartographie réseau : pourquoi c'est le point de départ de toute démarche NIS2 (et comment SKube l'automatise)

Posez cette question dans n’importe quelle PME : « combien d’équipements sont connectés à votre réseau ? » Le dirigeant donnera un chiffre, le responsable informatique un autre, le prestataire un troisième. Nous posons cette question depuis des années, et nous branchons ensuite une sonde : la réalité dépasse la meilleure estimation de 20 à 40 %, systématiquement.

L’inventaire fantôme

D’où viennent ces machines que personne ne compte ? De partout : l’imprimante remplacée dont l’ancienne est restée branchée « au cas où », la caméra installée par le prestataire de sécurité physique, le NAS acheté par un service pour ses propres besoins, le Raspberry Pi d’un projet oublié, la box 4G de secours, les téléphones personnels sur le Wi-Fi, l’automate industriel que le fournisseur télémaintient. Chacune de ces machines est un point d’entrée potentiel — et aucune ne figure dans le dossier de sécurité.

C’est pourquoi toute démarche NIS2 sérieuse commence par la cartographie. L’article 21 le suppose partout sans jamais le dire : impossible d’analyser les risques, de gérer les vulnérabilités, de contrôler les accès ou de planifier la continuité sur un inventaire faux.

Le problème des scans classiques

L’outil traditionnel pour inventorier un réseau, c’est le scan actif : une machine qui interroge toutes les adresses et sonde les ports. Efficace, mais avec deux défauts sérieux. D’abord, il perturbe : certains équipements fragiles — automates industriels, matériel médical, vieux serveurs — supportent mal d’être sondés, et un scan mal calibré peut les faire redémarrer. Ensuite, il photographie : le réseau du mardi 14 h, pas celui de la semaine.

L’approche SKube : écouter au lieu d’interroger

La box SKube prend le problème à l’envers, avec une découverte passive brevetée : au lieu d’interroger les machines, elle écoute les signaux qu’elles émettent naturellement — annonces réseau, demandes d’adresses, protocoles de voisinage. De cette écoute, elle déduit l’inventaire : adresse, nom, type d’équipement, système d’exploitation, segment réseau. Sans émettre un seul paquet intrusif.

Les conséquences pratiques :

• Utilisable partout — y compris sur les réseaux de production et de santé où un scan actif est exclu ;
• Permanent — la carte se construit en continu : l’équipement branché un soir de week-end apparaît, celui qui disparaît est signalé ;
• Révélateur — la box observe aussi « qui parle à qui » : les dépendances réelles entre vos systèmes se dessinent, souvent très différentes du schéma théorique.

Les analyses actives restent possibles — SKube en orchestre toute une batterie — mais uniquement sur le périmètre que vous approuvez explicitement, en excluant les équipements marqués fragiles. L’écoute est la règle, le scan est l’exception maîtrisée.

De la carte au dossier

La cartographie n’est pas une fin : c’est le socle. Connectée à notre plateforme, elle devient l’inventaire du dossier NIS2, propose les dépendances à qualifier, alimente le bilan d’impact du PCA et donne aux incidents leur contexte immédiat. Tout le reste de la démarche s’appuie dessus — c’est bien pour cela qu’il faut commencer là.