Taux de détection

Définition

Le taux de détection est un indicateur de performance mesurant la proportion de menaces ou d'attaques réellement identifiées par un dispositif de sécurité parmi l'ensemble des menaces effectivement présentes dans l'environnement surveillé. Il s'exprime généralement en pourcentage et se calcule en rapportant le nombre de vrais positifs détectés au nombre total d'événements malveillants réels, incluant ceux passés inaperçus, appelés faux négatifs. Ce taux est complémentaire du taux de faux positifs, avec lequel il forme un couple d'indicateurs permettant d'évaluer l'efficacité globale d'une solution comme un EDR, un antivirus ou un SIEM. Les éditeurs de solutions de sécurité communiquent souvent des taux de détection issus de tests indépendants menés par des laboratoires comme MITRE Engenuity, AV-Comparatives ou SE Labs, qui simulent des campagnes d'attaque suivant des tactiques, techniques et procédures documentées. En environnement opérationnel, le taux de détection réel diffère souvent du taux annoncé en conditions de test, car il dépend de la qualité de la configuration, de la couverture des sources de logs et de la maturité de l'ingénierie de détection interne. Le suivi dans le temps du taux de détection, croisé avec des exercices de purple teaming, permet aux RSSI de mesurer objectivement la capacité de leur organisation à identifier des attaques réelles et d'orienter les investissements en surveillance.