Que sont les KRI et en quoi diffèrent-ils des KPI ?
Les Key Risk Indicators (KRI) sont des métriques qui signalent précocement un risque croissant, avant qu'un incident ne se produise. Contrairement aux KPI, qui mesurent la performance, les KRI se concentrent sur les menaces potentielles. Dans le contexte de la sécurité IT, ils constituent un système d'alerte précoce permettant une action proactive plutôt que réactive.
KRI essentiels pour la sécurité IT
Les KRI les plus importants comprennent : le pourcentage de systèmes critiques non patchés, le temps moyen de correction des vulnérabilités (MTTR), le nombre de tentatives de connexion échouées, le pourcentage d'employés n'ayant pas suivi la formation sécurité, le nombre d'incidents par mois dans le temps et le pourcentage de systèmes sans sauvegardes actuelles.
Définition des seuils
Chaque KRI nécessite des seuils définis : vert (risque acceptable), jaune (attention accrue, mesures préventives), rouge (risque inacceptable, action immédiate). Les seuils doivent être basés sur les données historiques, les standards du secteur (NIST, ISO 27001) et la tolérance au risque de l'organisation.
Automatisation de la mesure
La collecte manuelle des KRI est sujette aux erreurs et chronophage. L'automatisation comprend : l'intégration avec les scanners de vulnérabilités (comptage automatique des systèmes non patchés), la corrélation SIEM (tentatives de connexion échouées, anomalies), la gestion de configuration (écarts de conformité) et l'intégration système RH (statut des formations).
Dashboard KRI et reporting
Un dashboard KRI efficace affiche : le statut en temps réel de tous les indicateurs (code couleur), les tendances (le risque s'améliore-t-il ou se détériore-t-il ?), le drill-down vers les détails (quels systèmes sont affectés ?) et les recommandations (que faire quand le seuil est dépassé ?).
Étapes d'implémentation
- Identifiez les 10 à 15 KRI les plus importants pour votre organisation
- Définissez les seuils sur la base des données historiques
- Automatisez la collecte de données à partir des systèmes existants
- Configurez les alertes et les règles d'escalade
- Révisez les KRI et les seuils trimestriellement