Un indicateur ne vaut que par la décision qu'il permet de prendre. Ceux qui suivent sont classés par usage, et chacun est accompagné du piège de lecture qui le rend trompeur. C'est le second point qui compte : la plupart des tableaux de bord de sécurité affichent des chiffres justes que personne ne sait interpréter.
Détecter et répondre
1. Délai moyen de détection. Temps entre la compromission et sa détection. Piège : il ne se calcule que sur les incidents détectés. Une amélioration peut signifier qu'on détecte plus vite, ou qu'on ne détecte plus les cas lents.
2. Délai moyen de réponse. Temps entre détection et confinement. Le suivre séparément de la détection, sinon une bonne détection masque une réponse lente.
3. Part des alertes traitées dans le délai cible. Plus utile qu'un volume d'alertes : un volume élevé peut être bon signe.
4. Taux de faux positifs par règle. Sans ce chiffre par règle, on ne sait pas laquelle épuise l'équipe.
5. Nombre d'incidents avec impact métier avéré. La seule mesure d'incident qu'un comité de direction lit sans traduction.
Exposition et vulnérabilités
6. Délai de remédiation des vulnérabilités critiques. Piège majeur : mesuré en moyenne, il cache les cas anciens. Utiliser une médiane et le nombre de cas au-delà du seuil.
7. Part des vulnérabilités activement exploitées corrigées. Un score de gravité théorique élevé compte moins qu'une faille exploitée dans la nature. Croiser avec les catalogues d'exploitation connue change les priorités et réduit le volume à traiter.
8. Couverture de l'inventaire. Part des actifs connus sur les actifs réels, estimée par recoupement de sources indépendantes. Tous les autres indicateurs sont bornés par celui-ci : on ne mesure jamais que ce qu'on connaît.
9. Surface exposée sur Internet. Nombre de services accessibles publiquement, suivi dans le temps. Une hausse non expliquée est un signal avant d'être un incident.
Identités et accès
10. Part des accès à privilèges sous authentification renforcée. À décomposer par population, la moyenne masque toujours une exception.
11. Nombre de comptes à privilèges permanents. Doit tendre vers zéro au profit d'élévations temporaires.
12. Délai de révocation après départ. Se mesure sur les départs réels du trimestre, pas sur la procédure écrite.
Résilience
13. Délai de restauration éprouvé. Non pas l'objectif contractuel, mais le résultat du dernier test réel. L'écart entre les deux est l'indicateur véritable.
14. Ancienneté du dernier test de restauration. Une sauvegarde jamais restaurée est une hypothèse. Un dispositif de sauvegarde peut échouer sans bruit pendant des semaines : seule la date du dernier test le révèle.
Conformité
15. Part des contrôles dont la preuve est fraîche. Un contrôle documenté et jamais exécuté est un contrôle absent. Mesurer la fraîcheur des preuves, pas le nombre de politiques écrites.
Trois règles de présentation
Une tendance, jamais une valeur seule. Un délai de détection de 26 heures ne dit rien. En baisse de 40 heures sur deux trimestres, il dit quelque chose.
Un dénominateur explicite. « 92 % de conformité » sur quel périmètre, mesuré comment, à quelle date. Sans cela le chiffre n'est pas discutable, donc pas décidable.
Ce qui n'est pas mesuré doit être écrit. Un tableau de bord qui ne présente que ce qu'il sait mesurer se lit comme une couverture complète. La ligne la plus utile est souvent celle qui dit qu'un périmètre n'est pas instrumenté.
Ce que Zaxyr apporte
Zaxyr calcule ces indicateurs à partir des données déjà collectées pour la conformité, avec leur périmètre et leur date de mesure. Un indicateur dont la source est indisponible est présenté comme non mesuré plutôt que ramené à zéro, distinction qui évite de lire une absence de donnée comme une absence de problème.