Bien conçu, un tableau de bord peut changer les choses, en permettant au RSSI de se positionner non plus comme un technicien, mais bien comme un expert dont la mission principale est de supporter le business. Dans ce cas, le tableau de bord SSI devient ainsi un outil gagnant/gagnant (servir l'organisation et le RSSI): le top management apprécie de comprendre rapidement la situation de la sécurité dans l'organisation et se sent aidé dans la prise de décision, tandis que le RSSI augmente ses chances d'obtenir la validation des actions qu'il propose, et le budget qui en découle. La même remarque vaut aussi pour l'opérationnel. Très souvent perçu comme une contrainte supplémentaire, le tableau de bord peut devenir un outil pour visualiser leur contribution au maintien de la sécurité. A la clé, cela signifie une collecte des données « mieux vécue » par les collaborateurs, et plus d'informations remontées pour le RSSI. Le tout, sous réserve, bien évidemment, d'en finir avec les tableaux de bord complexes et rébarbatifs!
Pour ce faire ils doivent être adaptés au profil du lecteur et aux décisions qui sont attendues de lui. En ce sens, les tableaux de bord sont à rapprocher des principes de communication dont la finalité est d'obtenir une action de la cible de cette communication. Un tableau de bord pertinent se doit également d'être réaliste, ce qui implique que son coût soit maitrisé et en rapport avec les enjeux qu'il permet d'arbitrer. L'objectif étant, non pas de construire des indicateurs trop complexes et coûteux à produire, ce qui contribuerait à consommer de la valeur plutôt qu'à sécuriser celle-ci. L'objectif, pour un RSSI, est donc de définir et de produire des indicateurs qui soient pertinents et donc directement utiles au pilotage de son activité, et qui soient également réalistes, c'est-à-dire réalisables à un coût, technologique et humain, compatible avec les capacités de l'équipe.
Ce groupe de travail a été piloté par Alain Bouillé, RSSI, Groupe Caisse des Dépôts. Dans le cadre de ses travaux sur le pilotage des SI, le CIGREF a décidé d'élaborer une série d'indicateurs. Le CIGREF a déjà ainsi mis en place des indicateurs RH. La démarche a été étendue aux indicateurs sécurité. Le CIGREF a mis en place un tableau de bord composé de plusieurs indicateurs sécurité des SI, à la fois d'ordre stratégique et opérationnel. Ces indicateurs sont destinés aux directeurs sécurité des systèmes d'information, risk manager de grandes entreprises. Ces indicateurs ont vocation à alimenter des tableaux de bords destinés à plusieurs cibles: directions générales pour les indicateurs stratégiques (cf graphique), directions métiers fonctionnelles et supports pour les indicateurs opérationnels. Ce nouvel outil répond à plusieurs objectifs: sensibiliser les métiers; communiquer vers les directions générales; mesurer le niveau de maturité de leur politique et pratiques de sécurité; faire progresser et améliorer leur politique de sécurité; s'appuyer sur les bonnes pratiques de la communauté CIGREF; se comparer au sein de leur entreprise dans le temps; se comparer au sein de leur entreprise, entre filiales; se comparer entre entreprises, de taille, secteur et organisation similaires.
Sur ce plan, le Club informatique français des grandes entreprises françaises conseille de ne pas excéder un ratio de 20%. Comment mesurer le degré de sensibilisation des collaborateurs aux problématiques de sécurité informatiques? Difficile de trouver un indicateur objectif sur ce terrain. Il pourra s'agir par exemple de mesurer la part des collaborateurs accédant au SI qui ont suivi une formation sur la sécurité informatique, au cours des trois dernières années par exemple. Il est recommandé à cet effet de réaliser un état annuel de ce chiffre. L'objectif étant d'atteindre sur un an un ratio proche de 100% pour les salariés intervenant sur des systèmes critiques. Plusieurs indicateurs permettent de piloter la gestion des accès au système d'information. Le premier d'entre: le pourcentage d? applications dotées d'une politique de gestion d'accès. Mais, le Cigref insiste sur trois autres points de contrôles annuels: Le pourcentage d'accès non-autorisés à des systèmes sensibles; Les pertes de mots de passe, en réalisant un comptage des mots de passe réinitialisés; L'évolution du nombre d'identifiants génériques, avec comme objectif de le réduire à moins de 5%.
- Suppression de tous éléments externes à l'API dans le développement d'un plugin: fonctions PHP (require_once, error_log), variables externes ou globales ($version_ext, $log_file, $rep_donnees), fonction de connexion (tdb_connec). Toutes ces données ou services sont désormais directement gérés par les classes de l'API (de manière apparente ou pas). Correction de comportements anormaux: - Correction d'un bug important dans l'algorithme de suppression d'une procédures PRA. La demande de suppression pouvait entrainer la suppression d'un autre fichier PDF que celui de la PRA supprimée en base. - Il n'est plus possible de supprimer une source ou un sous-thème si un modèle d'indicateur l'utilise. - Avertissement explicite de conflit d'adresses IP si un utilisateur tente d'affecter une ip déjà prise à un moyen du même SI. - Correction de l'algorithme d'archivage des logs qui pouvait induire un comportement anormal en cas de dépassement du nombre de logs maximal configuré. - Correction d'un comportement anormal au niveau de la demande de collecte immédiate: si la collecte échouait, le bouton de demande de collecte immédiate restait bloqué.