La plupart des tableaux de bord sécurité rapportent une activité : combien d’alertes, combien de correctifs, combien de connexions signalées. L’activité n’est pas le risque. Une équipe peut traiter dix mille alertes et rester à un portable compromis d’un incident sérieux.

Les indicateurs qui méritent d’être suivis

Le délai de correction d’une vulnérabilité critique sur les systèmes exposés sur Internet. La part des actifs ayant un responsable identifié. Le délai pour révoquer un droit d’accès après un changement de poste ou un départ. Le fait qu’une nouvelle connexion depuis un lieu inhabituel déclenche un signal qu’un humain verra. Chacun est petit, et chacun est difficile à simuler.

Les indicateurs qui rassurent surtout

Le pourcentage de salariés ayant cliqué sur une simulation de hameçonnage. Le nombre d’outils achetés. Une certification obtenue par l’équipe. Ils corrélent faiblement avec les incidents et s’améliorent facilement sans rien changer de matériel.

L’exercice compte plus que le tableau de bord

Le test le plus utile et le moins cher est une restauration depuis sauvegarde, chronométrée, par quelqu’un qui n’a pas configuré la sauvegarde. Le second est la révocation d’un compte utilisateur, en vérifiant qu’elle prend vraiment effet partout. Les deux révèlent des trous qu’aucun tableau de bord ne montrera.

Pour une organisation qui ne sait pas par où commencer : prenez un indicateur, mesurez-le honnêtement, et laissez le nombre fixer la priorité du trimestre.