Indicateur clé de performance sécurité (KPI)

Définition

L'indicateur clé de performance sécurité, désigné par l'acronyme anglais KPI pour key performance indicator, est une mesure quantitative permettant de suivre dans le temps l'efficacité et la maturité du dispositif de sécurité de l'information d'une organisation, au service des exigences de surveillance et de mesure posées notamment par la clause 9.1 de la norme ISO 27001. Ces indicateurs couvrent généralement des dimensions opérationnelles telles que le taux de correction des vulnérabilités critiques dans les délais fixés par la politique de gestion des vulnérabilités de l'organisation, le taux de complétion des campagnes de sensibilisation du personnel, la couverture du parc informatique par les solutions de détection déployées, ou le délai moyen de détection et de réponse à un incident de sécurité. Contrairement à l'indicateur clé de risque, qui vise à anticiper une dégradation future du niveau de risque, le KPI de sécurité mesure une performance déjà réalisée, offrant une photographie rétrospective de l'efficacité du dispositif sur une période donnée. La sélection d'un nombre limité d'indicateurs réellement pilotables et significatifs, plutôt qu'une multiplication de mesures peu exploitables, constitue un facteur déterminant pour que ces indicateurs alimentent réellement les décisions de la direction et du comité de pilotage cyber, plutôt que de rester une production documentaire déconnectée des arbitrages effectivement réalisés par l'organisation.