EN|FREN|FRLe risque post-quantique ne peut pas être évalué sans savoir où et comment la cryptographie est utilisée. Le crypto est souvent embarqué, implicite et rarement documenté centralement. Un inventaire cartographie les dépendances entre actifs métier, systèmes et mécanismes crypto. C'est un prérequis de gouvernance, pas seulement un exercice technique.
Le crypto apparaît dans le chiffrement au repos/transit, l'authentification, les signatures numériques, les communications sécurisées. Exemples : TLS, certificats, VPN, fournisseurs d'identité, signature de documents, sauvegardes. Beaucoup de mécanismes utilisent la cryptographie asymétrique. L'usage est souvent embarqué dans les produits ou hérité des fournisseurs ; le comprendre exige IT, sécurité, architecture et achats.
Directes : applications gérant les certificats, systèmes faisant du chiffrement/signature. Indirectes : SaaS, cloud, fournisseurs gérant le crypto en interne. Les dépendances indirectes sont souvent les plus critiques — plus difficiles à évaluer, peuvent limiter les options de migration. Un inventaire doit identifier les deux et documenter la propriété et le contrôle ; on ne peut pas migrer ce qu'on ne contrôle pas.
Garder les inventaires gérables et actionnables : nom du système, finalité métier, fonction crypto, symétrique/asymétrique, direct/indirect, propriétaire, sensibilité et rétention des données. Objectif : aide à la décision — priorisation, risques de confidentialité à long terme, alignement avec les discussions réglementaires. Maintenir périodiquement et intégrer à la gestion des risques.