Métriques de sécurité : KPI et KRI cyber | Securevalley
· Nouh Droussi · Cybersécurité · Maroc · 4 min de lecture · Mis à jour
Comment choisir, construire et présenter des KPI et KRI de cybersécurité fiables, en s'appuyant sur ISO/IEC 27004 et le guide NIST SP 800-55.
Les métriques de sécurité transforment l'activité cyber en informations utiles à la décision. Les KPI (indicateurs clés de performance) mesurent l'efficacité des processus et des mesures de sécurité ; les KRI (indicateurs clés de risque) signalent l'évolution de l'exposition. Un bon tableau de bord en contient peu, choisis en fonction des objectifs de l'organisation et de ses risques.
KPI, KRI : de quoi parle-t-on ?
Un KPI répond à la question « faisons-nous bien ce que nous avons décidé de faire ? ». Exemples : pourcentage de postes disposant d'un EDR actif, délai moyen de traitement d'un incident, taux de réalisation du plan de sensibilisation.
Un KRI répond à la question « notre exposition augmente-t-elle ? ». Il sert d'alerte précoce et s'accompagne d'un seuil de tolérance. Exemples : nombre de vulnérabilités critiques exposées sur Internet au-delà du délai de correction, nombre de comptes à privilèges sans MFA, part des fournisseurs critiques non évalués.
La même donnée peut servir les deux usages ; c'est l'objectif qui change la lecture.
Les repères normatifs
Vous n'avez pas à inventer une méthode. Plusieurs référentiels encadrent la démarche :
ISO/IEC 27001 exige, dans sa clause 9.1, de déterminer ce qui doit être surveillé et mesuré, avec quelles méthodes, à quelle fréquence et par qui les résultats sont analysés ; ISO/IEC 27004 fournit des lignes directrices détaillées pour y répondre ;
le NIST a publié en décembre 2024 les deux volumes de la SP 800-55 : le premier aide à identifier et sélectionner les mesures, le second à bâtir un programme de mesure ; il distingue notamment les mesures de mise en œuvre, d'efficacité, d'efficience et d'impact ;
le NIST Cybersecurity Framework 2.0 peut servir de grille pour vérifier que vos indicateurs couvrent les six fonctions : gouverner, identifier, protéger, détecter, répondre, rétablir.
Des indicateurs utiles par domaine
Voici des exemples à adapter à votre contexte, et non une liste à reprendre intégralement :
gestion des vulnérabilités : délai moyen de correction par niveau de criticité, part des actifs scannés, vulnérabilités critiques ouvertes au-delà du délai cible ;
détection et réponse : délai moyen de détection, délai moyen de résolution, proportion d'incidents détectés par vos outils plutôt que signalés par un tiers ;
identités : comptes à privilèges couverts par la MFA, comptes inactifs non désactivés, délai de révocation des accès au départ d'un collaborateur ;
sensibilisation : taux de signalement lors des exercices d'hameçonnage, et pas seulement le taux de clics ;
résilience : part des sauvegardes testées par une restauration réelle, respect des objectifs de reprise lors des exercices ;
tiers : fournisseurs critiques évalués dans l'année, clauses de sécurité intégrées aux contrats.
Construire un indicateur fiable
Chaque indicateur mérite une fiche descriptive, conformément aux recommandations d'ISO/IEC 27004 et de la SP 800-55 :
objectif : quelle décision l'indicateur doit-il éclairer ?
formule de calcul et unité ;
source des données et mode de collecte, de préférence automatisé ;
fréquence de mesure et de restitution ;
cible et seuils d'alerte ;
responsable de la mesure et destinataire.
Vérifiez la qualité des données : un inventaire d'actifs incomplet fausse tous les pourcentages qui en dépendent. Un indicateur dont la source n'est pas fiable doit être signalé comme tel, voire retiré.
Restituer aux bons publics
Un même programme de mesure alimente plusieurs niveaux de lecture. L'équipe opérationnelle suit des indicateurs détaillés, chaque semaine. Le RSSI consolide des tendances mensuelles et les compare aux cibles. La direction attend peu d'indicateurs, exprimés en termes de risque et d'impact métier, accompagnés d'une recommandation. Présentez des tendances plutôt que des valeurs isolées, et expliquez toujours ce qui a changé.
Les pièges à éviter
Mesurer ce qui est facile au lieu de ce qui compte : le nombre d'attaques bloquées par le pare-feu ne dit rien de votre niveau de protection.
Accumuler les indicateurs : au-delà d'une douzaine au niveau direction, plus personne ne les lit.
Créer des effets pervers : un objectif de clôture rapide des tickets peut inciter à clôturer sans traiter.
Ne jamais réviser : un indicateur qui atteint durablement sa cible peut être remplacé par un autre plus exigeant.
Compétences et formation
Piloter la sécurité par les indicateurs relève de la gouvernance et de la gestion des risques. Ces parcours y préparent :
ISC2 CISSP pour une vision de gouvernance globale, utile aux RSSI.
Conclusion
Un bon programme de métriques ne cherche pas l'exhaustivité : il sélectionne quelques indicateurs fiables, reliés aux objectifs et aux risques, et les fait vivre dans le temps. Appuyez-vous sur ISO/IEC 27004 et la SP 800-55 pour structurer la démarche, puis ajustez vos indicateurs à mesure que votre maturité progresse.