Les indicateurs stratégiques sont les mesures que la direction utilise pour juger si un programme de sécurité fonctionne et s'il est aligné sur les objectifs de l'organisation. Les indicateurs clés de performance, ou KPI, suivent dans quelle mesure le programme atteint ses objectifs, tandis que les indicateurs clés de risque, ou KRI, donnent une alerte précoce lorsque le risque augmente vers des niveaux qui requièrent attention. Ensemble, ils transforment l'activité d'un programme en preuves pouvant être examinées.
Dans la gouvernance stratégique, les indicateurs sont le retour d'information qui rend possibles la supervision et la prise de décision. Les conseils d'administration et les dirigeants ne peuvent orienter ce qu'ils ne voient pas, et des indicateurs bien choisis leur offrent une vision claire et honnête de l'efficacité, de la tendance et de l'alignement sans les noyer sous les détails techniques.
La mesure est importante car elle convertit l'opinion en preuve. De bons indicateurs révèlent si les investissements portent leurs fruits, où les faiblesses persistent et si le risque évolue dans la bonne direction, ce qui soutient de meilleures décisions de ressources et de priorités. Des indicateurs mal choisis, à l'inverse, peuvent créer une fausse confiance ou orienter l'attention vers ce qui est facile à compter plutôt que vers ce qui compte.
Des indicateurs stratégiques efficaces sont rattachés aux objectifs, compréhensibles pour leur public et assez peu nombreux pour concentrer l'attention. Les indicateurs d'alignement en particulier montrent comment la sécurité soutient les résultats de l'entreprise, rappelant que le programme existe pour servir l'organisation et non simplement pour produire des chiffres. Les indicateurs sont revus et affinés à mesure que les objectifs et les risques évoluent.
Références#
- NIST SP 800-55, Performance Measurement Guide for Information Security.
- ISO/IEC 27004, Management de la sécurité de l'information : surveillance, mesurage, analyse et évaluation.