Métriques SMSI

Les mesures doivent déclencher des décisions

De nombreux rapports ISMS montrent une activité mais pas une contrôlabilité. Le nombre d’exigences documentées n’est pas très révélateur lorsqu’il reste difficile de savoir quelles actions sont en retard ou quelles preuves ne sont plus fiables.

Une métrique utile répond donc à une question de gestion : devons-nous prioriser, faire remonter, retravailler ou accepter ?

• Regrouper les actions ouvertes par criticité et date d'échéance
• Évaluer les preuves par récence et statut d’examen
• Des décisions sur les risques qui font encore surface et qui n’ont pas encore été approuvées

Les mesures les plus utiles pour la préparation à l'audit

Les équipes de conformité bénéficient le plus des mesures qui montrent la santé du système de contrôle. Il s'agit notamment des tâches en retard, des écarts ouverts, des preuves obsolètes et des exigences sans évaluation traçable.

Ces mesures ne doivent pas apparaître uniquement dans un rapport mensuel. Ils ont leur place dans l'espace de travail quotidien afin que les équipes puissent identifier rapidement les goulots d'étranglement.

Moins de KPI, plus d’impact

Un tableau de bord ISMS solide ne commence pas avec vingt métriques. Cela commence par quelques questions : où sont les lacunes critiques ? Quelles décisions manquent ? Quelle preuve expire ? Quels risques ont été acceptés ?

Lorsqu’il est possible de répondre rapidement à ces questions, l’organisation acquiert un véritable contrôle. Tout le reste peut être ajouté selon les besoins.