Notre tableau de bord comptait 34 indicateurs. Il était juste, complet, à jour — et personne ne le lisait. La direction nous l’a dit sans détour : « beaucoup de chiffres qui montent, et rien à décider ». Voici la méthode qui nous a fait descendre à six lignes lues en quatre minutes.
Notre tableau de bord comptait 34 indicateurs. Il était juste, complet, mis à jour chaque mois — et personne au comité de direction ne le lisait. Quand nous avons fini par poser la question, la réponse a été franche : « on voit beaucoup de chiffres qui montent, on ne sait pas ce qu’on doit décider ».
Nous sommes descendus à six. La règle qui a permis le tri tient en une phrase : un indicateur qui ne peut pas déclencher une décision n’est pas un indicateur, c’est une statistique. Voici la méthode, en six étapes.
Étape 1 — Partir des questions que la direction se pose déjà
L’erreur de construction habituelle consiste à partir de ce que les outils savent mesurer. On obtient alors un tableau de bord qui décrit fidèlement l’activité de la sécurité, et qui ne répond à aucune question posée.
Faites l’inverse. Demandez à votre direction, en réunion, ce qu’elle voudrait savoir sur la sécurité si elle pouvait obtenir une réponse fiable. Les réponses sont remarquablement stables d’une organisation à l’autre et se ramènent à cinq ou six formulations : est-ce qu’on peut redémarrer si tout s’arrête, est-ce qu’on est à jour, qui peut tout faire dans nos systèmes, est-ce que les gens qui partent sortent vraiment, est-ce qu’on s’en apercevrait, et est-ce que ça arrive vraiment chez nous.
Ces questions sont votre cahier des charges. Tout indicateur qui ne répond à aucune d’elles sort du tableau, quelle que soit sa qualité technique.
Étape 2 — Choisir un indicateur par question, et un seul
La tentation est d’en mettre deux ou trois par question « pour être complet ». C’est ce qui produit 34 lignes.
Un seul indicateur par question, choisi selon trois critères : il doit être mesurable sans travail manuel mensuel, compréhensible sans glossaire, et déplaçable par une décision — c’est-à-dire qu’une action de direction, généralement un arbitrage de budget ou de priorité, doit pouvoir le faire bouger.
Ce troisième critère élimine la majorité des candidats habituels. Le nombre de tentatives d’intrusion bloquées, par exemple, ne dépend pas de vos décisions mais de l’activité des attaquants. C’est intéressant, ce n’est pas pilotable, cela n’a rien à faire dans un tableau de direction.
Étape 3 — Nos six, et pourquoi ceux-là
1. Couverture des sauvegardes testées : pourcentage des systèmes critiques ayant fait l’objet d’une restauration réussie sur les douze derniers mois. Pas « sauvegardes réalisées » — restaurées. C’est le seul indicateur qui répond réellement à « peut-on redémarrer ». Notre méthode complète figure dans le plan de sauvegarde 3-2-1 avec restaurations testées.
2. Délai moyen de déploiement d’un correctif critique : nombre de jours entre la publication d’un correctif jugé critique et son déploiement effectif. Un chiffre unique, comparable dans le temps, directement lié à un arbitrage de disponibilité.
3. Nombre de comptes à privilèges sans authentification multifacteur. En valeur absolue, jamais en pourcentage : la cible est zéro, et un pourcentage à 97 % rassure alors qu’il reste des comptes exposés.
4. Délai de révocation des accès après un départ, en heures. Il mesure la coordination entre les ressources humaines et l’informatique, qui est la défaillance la plus fréquente que nous rencontrons en audit. La marche à suivre est détaillée dans notre procédure d’offboarding sécurisé.
5. Couverture de la journalisation : pourcentage des systèmes critiques dont les journaux sont expédiés vers un système externe. Il répond à « est-ce qu’on s’en apercevrait, et pourrait-on le prouver après coup ». Voir notre méthode de journalisation avant SIEM.
6. Nombre d’incidents traités ce trimestre, avec une ligne de description pour chacun. Il répond à « est-ce que ça arrive vraiment chez nous », et c’est celui qui débloque les budgets — parce qu’un incident concret est plus convaincant qu’une statistique sectorielle.
Vous n’avez pas les chiffres pour remplir ces six lignes ?
C’est le cas de la plupart des PME que nous auditons. Nous les produisons pour vous en une semaine, avec les cibles et les responsables associés.
Lance-toiÉtape 4 — Écrire une cible et un responsable pour chaque ligne
Un indicateur sans cible n’est pas interprétable. « Délai de correctif : 34 jours » ne veut rien dire pour un dirigeant ; « 34 jours, cible 15 » se lit instantanément.
Fixez les cibles avec la direction, pas à sa place. Une cible imposée par l’équipe sécurité est un objectif technique ; une cible discutée en comité est un engagement, et c’est ce qui change le comportement quand elle n’est pas tenue.
Nommez ensuite une personne par indicateur — pas une équipe, pas une fonction. Les responsabilités collectives produisent des tableaux de bord que tout le monde consulte et que personne ne corrige.
Acceptez que certaines cibles soient inatteignables la première année. Une cible honnête et manquée vaut mieux qu’une cible confortable et atteinte : la première déclenche une discussion budgétaire, la seconde entretient une illusion.
Étape 5 — Présenter en une page, avec trois couleurs et une phrase
Le format compte autant que le contenu. Une page, six lignes, trois couleurs — vert si la cible est tenue, orange si elle est manquée de moins de moitié, rouge au-delà.
Ajoutez sous le tableau une seule phrase : « ce trimestre, le sujet à arbitrer est X ». C’est la ligne la plus utile du document, parce qu’elle transforme un état des lieux en demande de décision.
Ce qu’il ne faut pas ajouter : des graphiques d’évolution sur douze mois, des comparaisons sectorielles, des annexes techniques. Tout cela peut exister dans un document séparé pour ceux qui le demandent. Dans la page de direction, chaque élément supplémentaire réduit la probabilité que les six lignes soient lues.
Étape 6 — Revoir chaque trimestre, et changer un indicateur par an au maximum
Le rythme trimestriel est le bon compromis : assez fréquent pour que les chiffres bougent, assez espacé pour que les actions aient produit un effet.
La stabilité est une propriété du tableau de bord, pas un défaut. Un indicateur changé chaque trimestre ne permet aucune comparaison dans le temps, et c’est précisément la comparaison qui donne du sens. Nous nous imposons de ne remplacer au maximum qu’un indicateur par an, et seulement lorsque la question à laquelle il répondait a réellement changé.
En revanche, révisez les cibles annuellement. Un délai de correctif ramené de 34 à 15 jours doit conduire à une cible de 10, sans quoi l’indicateur cesse de piloter quoi que ce soit.
Les trois erreurs qui reviennent le plus souvent
Mesurer l’activité plutôt que le résultat. « 12 000 courriels filtrés » décrit le travail d’un outil, pas l’état de votre sécurité. La question à se poser devant chaque ligne : si ce chiffre double, faut-il faire quelque chose ?
Utiliser des pourcentages là où le nombre absolu compte. Sur les comptes à privilèges sans authentification forte, 97 % de couverture se lit comme un succès, alors que les 3 % restants sont exactement le problème.
Confondre tableau de bord de direction et tableau de bord d’exploitation. Les deux sont nécessaires et n’ont ni le même public, ni la même fréquence, ni le même niveau de détail. Vos 34 indicateurs ne sont pas inutiles — ils ne sont simplement pas destinés au comité de direction.
Le lien avec ISO 27001 et NIS2
Ce tableau n’est pas un exercice de communication interne. Les référentiels de conformité exigent une revue de direction documentée, et cette exigence est régulièrement traitée par une réunion sans support, dont il ne reste rien.
Six indicateurs, avec cibles, responsables et historique trimestriel, constituent une preuve de pilotage bien plus solide qu’un compte rendu de réunion. C’est le même document qui sert à décider et à démontrer, ce qui est rarement le cas en conformité.
Pour les organisations concernées par NIS2, la première étape reste de savoir ce qui entre dans le périmètre : voir notre audit de périmètre NIS2. Les enjeux de mesure et d’outillage qui en découlent recoupent ceux discutés côté écosystème open source et côté intégration de données en entreprise.
Questions fréquentes
Combien d’indicateurs faut-il dans un tableau de bord cybersécurité de direction ?
Six suffisent, et au-delà d’une dizaine le document cesse d’être lu. Notre tableau précédent comptait trente-quatre indicateurs, tous justes et tenus à jour, et le retour du comité de direction a été qu’il montrait beaucoup de chiffres qui montaient sans permettre de décider quoi que ce soit. La règle de tri qui fonctionne tient en une phrase : un indicateur qui ne peut pas déclencher une décision n’est pas un indicateur mais une statistique. Concrètement, retenez un seul indicateur par question que la direction se pose réellement, en vérifiant qu’il est mesurable sans travail manuel mensuel, compréhensible sans glossaire, et déplaçable par un arbitrage de budget ou de priorité.
Quels indicateurs choisir concrètement pour une PME ?
Six couvrent l’essentiel. La couverture des sauvegardes testées, c’est-à-dire le pourcentage de systèmes critiques effectivement restaurés sur douze mois et non simplement sauvegardés. Le délai moyen de déploiement d’un correctif critique, en jours. Le nombre de comptes à privilèges sans authentification multifacteur, en valeur absolue et jamais en pourcentage, puisque la cible est zéro. Le délai de révocation des accès après un départ, en heures, qui mesure la coordination entre ressources humaines et informatique. La couverture de la journalisation, soit le pourcentage de systèmes critiques expédiant leurs journaux vers un système externe. Enfin le nombre d’incidents traités dans le trimestre, avec une ligne de description chacun.
Pourquoi éviter les pourcentages sur certains indicateurs ?
Parce qu’un pourcentage élevé masque un résidu qui constitue précisément le risque. Sur les comptes à privilèges dépourvus d’authentification forte, une couverture de 97 % se lit spontanément comme un succès en comité de direction, alors que les 3 % restants sont exactement le problème à traiter et que la cible correcte est zéro. Le nombre absolu force la conversation utile, à savoir combien de comptes exactement, lesquels et pourquoi ils n’ont pas encore été traités. La règle générale consiste à utiliser un pourcentage quand une couverture progressive a du sens, comme pour les sauvegardes testées ou la journalisation, et un nombre absolu chaque fois que la cible est zéro.
À quelle fréquence faut-il revoir le tableau de bord et ses indicateurs ?
Revoyez les chiffres chaque trimestre : c’est assez fréquent pour qu’ils bougent et assez espacé pour que les actions engagées aient produit un effet. En revanche, changez le moins possible les indicateurs eux-mêmes. Un indicateur remplacé chaque trimestre interdit toute comparaison dans le temps, or c’est justement la comparaison qui donne du sens à la mesure. Nous nous imposons de ne remplacer au maximum qu’un indicateur par an, et uniquement lorsque la question à laquelle il répondait a réellement changé. Les cibles, elles, doivent être révisées annuellement : un délai de correctif ramené de trente-quatre à quinze jours doit conduire à fixer une cible de dix.
Prêt à construire un tableau de bord qui sert à décider ?
Nous produisons vos six indicateurs, fixons les cibles avec votre direction et vous laissons un document réutilisable en revue de direction ISO 27001 ou NIS2.
Lance-toi — construisons votre tableau de bord