Le reporting est la communication structurée d'informations de sécurité aux publics qui en ont besoin. Il recouvre plusieurs types : le reporting d'incident, qui informe les intervenants internes et les parties touchées lorsqu'un problème survient, le reporting réglementaire, qui notifie les autorités dans les délais requis, et le reporting à la direction ou au conseil d'administration, qui donne aux dirigeants la vision nécessaire pour superviser le programme et prendre des décisions.
Dans la gouvernance opérationnelle, le reporting est le flux d'informations qui rend possibles la supervision et la responsabilisation. Les décisions prises au sommet dépendent d'informations exactes et opportunes venues de la base, et les obligations dues aux régulateurs et aux partenaires dépendent d'une communication rigoureuse vers l'extérieur. Le reporting achemine cette information dans les deux sens.
Un bon reporting est important car il oriente les décisions. Des rapports d'incident incomplets ou tardifs ralentissent la réponse et peuvent aggraver le préjudice, des délais réglementaires manqués créent une exposition juridique, et des rapports vagues à la direction conduisent à de mauvais choix d'investissement et de risque. Un reporting clair, au contraire, renforce la confiance et soutient un jugement sain.
Un reporting efficace est adapté à son public. Les intervenants techniques ont besoin de détail et de rapidité, les régulateurs ont besoin de faits précis dans un format et un délai prescrits, et les conseils d'administration ont besoin de synthèses concises et pertinentes pour l'activité, portant sur le risque et les tendances plutôt que sur des données techniques brutes. Définir qui rapporte quoi, à qui et quand, avant qu'un incident ne survienne, est central pour y parvenir sous pression.
Références#
- NIST SP 800-61, Computer Security Incident Handling Guide.
- ISO/IEC 27001, qui traite de la communication et de la revue de direction du programme de sécurité.