Cartographie du SI : quelles étapes pour un diagnostic réussi ?

Chapitre 2 sur la modernisation ou la refonte du SI

Avant d’engager toute transformation SI, il faut savoir précisément d’où on part ! Cartographier son système d’information existant est la première étape d’un projet de modernisation SI réussi. Cette première phase vous permet de dresser un SWOT assez classique en mettant en exergue les forces, les faiblesses, les risques et les opportunités du SI existant.

Nos experts Harington en modernisation des systèmes d’information vous partagent leur expérience pour auditer, analyser et fiabiliser votre système d’information pour une transformation durable et scalable.

Pourquoi cartographier votre SI est un prérequis à toute évolution ?

Avant d’engager toute transformation du système d’information, il faut en comprendre la structure, les flux et les interdépendances. Sans cartographie, il est impossible de prioriser les actions, d’anticiper les impacts ou d’évaluer les risques. Une cartographie SI précise permet de faire évoluer un SI vieillissant vers une architecture modernisable, scalable et alignée sur les besoins métier. D’ailleurs, L’ANSSI considère la cartographie du SI comme un outil essentiel pour la cybersécurité, la gouvernance et la résilience . Elle recommande une approche structurée pour identifier les actifs critiques, comprendre les interdépendances, anticiper les impacts d’un incident et piloter la sécurité de façon proactive.

Nos consultants préconisent d’effectuer un diagnostic structuré en trois axes : cartographie technique, analyse de l’obsolescence et évaluation des risques.

Cartographie du SI, quel est le périmètre ?

Tout d’abord, il faut recenser l’ensemble des applications et composants du patrimoine applicatif. Cela comprend les solutions métiers critiques, les outils bureautiques utilisés au quotidien, les applications SaaS déployées ainsi que les développements internes qui sont d’ailleurs souvent sur des technologies anciennes (voire non documentées). Cette cartographie permet de visualiser les dépendances entre les applications et d’évaluer leur rôle dans les processus métiers.

Vient ensuite l’analyse de l’infrastructure technique, socle du système d’information. Cela passe par la documentation des environnements (on-premise, cloud ou hybrides), les serveurs, bases de données, middleware et technologies de virtualisation utilisés. Cette vue d’ensemble est nécessaire pour comprendre, et anticiper, toutes les contraintes techniques qui vont invariablement entraver la modernisation de votre SI.

Enfin, la cartographie des flux de données complète le diagnostic. Il s’agit d’identifier tous les échanges d’informations entre systèmes internes et externes, en précisant leurs volumes, fréquences et niveaux de sensibilité. Cette étape va permettre d’identifié les risques de conformité règlementaires (RGPD, obligations sectorielles…) et surtout de fiabiliser les intégrations à venir avec de nouveaux outils.

Diagnostic d’obsolescence du SI, et si votre SI avait encore de beaux restes ?

Un système legacy ne se juge pas uniquement à son ancienneté. Certains environnements techniques d’un autre temps restent parfaitement opérationnels et adaptés aux besoins métiers. C’est d’ailleurs le cas de nombreux systèmes en Cobol encore utilisés dans les secteurs bancaires, assurantiels ou logistiques. Rappelons que ce langage est né dans les années 60 … mais il est toujours utilisé pour piloter des processus critiques à grande échelle !

Il ne faut pas jeter Mémé dans les orties : certains systèmes ont beau avoir connu le Minitel, ils tiennent encore la baraque !

Seif MEDDEB, Legacy System Refactoring Expert, HARINGTON

Chez Harington, on vous invite à ne pas céder aux sirènes de l’innovation ni de la fast fashion technologique si votre système d’information est techniquement maintenu, avec une documentation à jour, des dépendances bien identifiées et des technologies encore supportées.

Si votre SI legacy vous permet de vous adapter (à votre rythme, mais efficacement), de monter en charge sans refondre toute l’architecture et que tout cela reste gérable d’un point de vue budgétaire (part budget DSI), alors il a encore de belles années devant lui.

Ajoutez à cela une dette technique contenue, une résilience satisfaisante, pas de faille de sécurité majeure, et surtout des compétences disponibles pour le maintenir… et vous avez surement un trésor sous-estimé entre les mains ! Gardez-le.

En tant que spécialistes du décommissionnement d’applications Legacy, Harington utilise ces critères pour décider si l’on transforme, optimise ou conserve. Parce que parfois, le plus sage, c’est de continuer avec ce qui fonctionne (vraiment).

Quels sont les risques de la modernisation du SI ? Cybersécurité, conformité, résilience

Lors d’un projet de modernisation, il est essentiel d’intégrer dans le diagnostic une évaluation des risques afin d’anticiper les impacts négatifs potentiels.

Il est nécessaire de recenser les vulnérabilités connues et les failles non corrigées à date. Un audit complet du code et des composants permet de vérifier l’état des correctifs et des mises à jour et de détecter les éléments restés en version obsolète. Ignorer ce point critique, c’est s’exposer à des cyberattaques même si la migration ou la refonte du SI est en cours. Cette étape est assistée par des outils spécialisés (comme Tenable Nessus, OpenVAS ou Qualys par exemple) permettent de détecter automatiquement les composants obsolètes ou non patché.

La conformité réglementaire est un autre point critique. Avec la directive NIS 2 (qui s’appliquera dès octobre 2024 et couvrira environ 60 000 entreprises françaises) et le RGPD, les organisations doivent renforcer la gestion des risques, la déclaration d’incidents et la continuité des opérations. Une non-conformité peut entraîner des sanctions très lourdes mais c’est surtout l’occasion renforcer la cybersécurité et augmenter la résilience de l’entreprise .

Les points de défaillance uniques (Single Point of Failure ou SPOF) sont un autre sujet critique. Si un composant central (serveur, switch réseau, service cloud) tombe en panne pendant la modernisation ou la refonte du SI, cela peut entraîner une interruption totale de service voire une perte de données. Identifier ces SPOF et les rendre redondants est indispensable pour garantir la fiabilité.

Enfin, l’absence de plan de reprise d’activité (PRA) ou de continuité (PCA) constitue un risque majeur. Sans document clair et testé, un incident (cyberattaque, défaillance matérielle, sinistre naturel) peut immobiliser durablement le SI. La directive NIS 2 l’impose d’ailleurs comme exigence des plans de réponse formels aux cyberincidents.

Outils et méthodes pour cartographier le SI

Outils open source

• CMDBuild est une plateforme (Origine Italienne) qui permet de créer des bases de données d’actifs (serveurs, applications, infrastructures) personnalisées, avec workflows et interface web Ajax. Elle est très utilisée pour gérer les inventaires de parc informatique.
• iTop est une solution ITSM/CMDB orientée ITIL utilisée dans de nombreuses entreprises en France qui offre une vue centralisée sur les configurations et dépendances du SI.
• Archi, outil open source pour modéliser l’architecture SI selon la norme ArchiMate (TOGAF system) est largement adopté par les architectes SI notamment dans les banques, grands groupes et administrations .

Solutions éditeurs

Des outils comme MEGA HOPEX, ServiceNow, ou LeanIX sont à privilégier pour mettre en place des référentiels d’architecture et cartographier les flux : découverte automatisée, reporting et gestion EAM. Des solutions françaises comme EKIALIS Explore, Carto-SI ou myCarto sont aussi reconnues pour la cartographie SI notamment pour leur adaptabilité aux contextes complexes

Approches méthodologiques recommandées

Chez Harington, nous considérons que rien ne vaut le terrain ! Nous interviewons les responsables applicatifs et métiers et nous mettons en place une revue documentaire collaborative. Cela permet de nous assurer que la cartographie restitue une vision fidèle et actuelle du SI.

Sur le plan méthodologique, plusieurs méthodes :

Adopter une méthode EAM (Enterprise Architecture Management), comme celle de McKinsey ou le framework TOGAF avec ArchiMate, permet d’aligner stratégie, métier et infrastructure
Il est également intéressant d’adopter une approche cartographique orientée microservices et API, surtout lorsque l’objectif est de mettre en place une modernisation progressive du SI en en priorisant la modularité et l’évolutivité.

Cartographie SI, la première brique.

Cartographier son SI, c’est prendre une photo de son patrimoine informatique pour mieux le faire évoluer. C’est l’étape clé pour poser les bases d’une architecture cible réaliste, durable et agile.

Optimiser l’architecture SI commence par une vision claire de l’existant.