Security Metrics (DORA+)

Définition

Les Security Metrics DORA+ désignent l'extension du framework de métriques DORA (DevOps Research and Assessment) pour y intégrer des dimensions de sécurité, permettant de mesurer la performance DevSecOps de manière holistique. Les quatre métriques DORA classiques (Deployment Frequency, Lead Time for Changes, Change Failure Rate, Time to Restore Service) mesurent la performance DevOps, mais sans dimension sécurité. L'approche DORA+ ajoute des métriques de sécurité pour former un tableau de bord de performance DevSecOps complet. Les quatre métriques DORA originales mesurent la capacité de livraison logicielle. La Deployment Frequency (fréquence des déploiements en production) corrèle avec la capacité à livrer rapidement des corrections de sécurité. Le Lead Time for Changes (délai entre un commit et son déploiement en production) impacte directement le MTTR des vulnérabilités détectées en développement. Le Change Failure Rate (taux de déploiements causant un incident) peut intégrer les incidents de sécurité. Le Time to Restore Service (délai pour restaurer le service après incident) est analogisé au MTTR sécurité. Les extensions "+" pour la sécurité incluent : Mean Time to Detect (MTTD) les vulnérabilités en production, Mean Time to Remediate (MTTR) par sévérité de vulnérabilité, Vulnerability Escape Rate (pourcentage de vulnérabilités détectées en production vs. en développement — objectif : <20% en production), Coverage (pourcentage de codebase couvert par les scans SAST, SCA, DAST), et Security Debt Trend (évolution de la dette de sécurité au fil du temps). La collecte et l'agrégation de ces métriques nécessitent une intégration entre les outils de sécurité (SAST, DAST, SCA) et les outils de suivi de livraison (Jira, GitHub). Des plateformes ASPM comme Snyk, Brinqa, ou Seemplicity facilitent cette agrégation. Les métriques sont publiées dans des dashboards partagés avec les équipes de développement, le management, et les comités de gouvernance sécurité. L'objectif des Security Metrics DORA+ est de démontrer que la sécurité et la vélocité ne sont pas opposées : les équipes les plus performantes en DevSecOps atteignent à la fois une haute fréquence de déploiement ET un faible MTTR de vulnérabilités, prouvant que l'investissement en Shift-Left améliore les deux dimensions simultanément.