ISO27001 KPIs - 10 exemples à suivre 

En ce qui concerne la norme ISO27001, il est essentiel de suivre l'efficacité de votre SMSI. Bien que la norme ISO27001 ne fournisse pas d'indicateurs de performance clés exacts ni d'indications sur la manière de suivre l'efficacité de votre SMSI, il est important d'évaluer régulièrement les performances de vos mesures de sécurité.  

Pour vous faciliter la tâche, nous avons défini quelques exemples d'indicateurs de performance clés ISO 27001, tels que les incidents de sécurité, la formation des employés et le temps de réponse aux incidents, afin de vous aider à améliorer votre posture en matière de sécurité de l'information. 

Pourquoi la conformité et pourquoi les indicateurs de performance clés ISO27001 ? 

Le nombre de certificats ISO 27001 valides dans le monde est passé de 36 000 en 2019 à 58 000 en 2021.  

Pourquoi ? 

En effet, les violations de données et les cyber-attaques se multiplient en raison de l'évolution de systèmes en ligne de plus en plus complexes et de l'augmentation des industries illicites qui font le commerce de données.  

En raison de la complexité de la sécurité en ligne, la conformité en matière de sécurité de l'information est vitale. Mais, tout comme la cybersécurité, la conformité est un processus complexe en constante évolution et, bien qu'il serait formidable de pouvoir obtenir une certification et de se détendre ensuite, ce n'est tout simplement pas réaliste. 

Avant, pendant et après la certification ISO 27001, votre organisation doit rester au fait de son SMSI et suivre en permanence ses performances. 

La meilleure façon d'y parvenir est de concevoir des indicateurs de performance clés ISO 27001 que vous pouvez utiliser pour vous assurer que vous restez sur la bonne voie en matière de gestion de la sécurité.  

La norme ISO 27001 décrit les meilleures pratiques en matière de sécurité de l'information, et le suivi des indicateurs de performance clés permet aux organisations d'identifier les domaines à améliorer. Les indicateurs clés de performance de la norme ISO 27001 garantissent une fonctionnalité optimale du système de gestion de la sécurité de l'information. 

Dans leur article "L'étude ISO 2020 sur les normes de systèmes de management révèle une augmentation de 17% des certifications"L'ACQ affirme que de nombreux facteurs "modifient le monde du travail, notammenttransformation numériqueetQualité 4.0et les exigences de laconstruire un avenir durable." 

Pour suivre cette transformation, la conformité est un pilier nécessaire à toute entreprise. Et, comme tout pilier de performance, la conformité doit être suivie à l'aide d'indicateurs de performance clés.  

Qu'est-ce qu'un ICP ? 

Par définition, un indicateur clé de performance (ICP) est "un ensemble de mesures quantifiables utilisées pour évaluer les performances globales d'une entreprise" - Investopedia. 

Comment définir vos indicateurs de performance clés (KPI) ISO 27001 

Dans le cadre de la norme ISO 27001, il convient de définir des indicateurs de performance clés pour s'assurer que l'entreprise atteint ses objectifs en matière de sécurité.  

L'utilisation du chapitre 9 de la norme ISO 27001 est un bon point de départ pour définir un ensemble d'indicateurs de performance clés. Après tout, le chapitre 9 exige que les organisations évaluent le fonctionnement et l'efficacité de leur SMSI.  

Le chapitre 9 stipule que "l'organisme doit déterminer ce qui doit être surveillé et mesuré, y compris les processus et les contrôles de sécurité de l'information". 

Grâce à cette instruction, vous pouvez facilement décider quels aspects de votre SMSI nécessiteront des indicateurs de performance clés.  

Une fois que vous avez déterminé cela, pour suivre un ICP, vous (ou plutôt la direction) devez assigner un objectif à chaque but mesurable.  

Exemples d'indicateurs de performance clés ISO 27001 

Voyons quelques exemples d'ICP ISO 27001.  

1. Incidents de sécurité 

Les "incidents de sécurité" constituent un bon exemple d'ICP auquel un objectif peut être assigné et qui peut ensuite faire l'objet d'un suivi.  

L'ISO définit un incident de sécurité comme "un événement indésirable qui pourrait mettre en danger la confidentialité, l'intégrité ou la disponibilité des informations". 

Votre direction peut décider que votre entreprise doit atteindre un objectif de moins de 3 incidents par mois. Elle peut aussi fixer un objectif relatif, par exemple : "Réduire les incidents de sécurité de 33% ce mois-ci". 

Bien entendu, les paramètres de l'ICP seront différents en fonction de votre entreprise et de votre secteur d'activité. L'avantage de créer ses propres ICP est que la direction peut les adapter en fonction de ce qui se passe dans l'organisation. Ainsi, au fur et à mesure de votre croissance, vous pouvez resserrer les paramètres de vos ICP ; si vous trouvez que vos ICP sont trop restrictifs, vous pouvez les assouplir.  

Tant que vous atteignez les objectifs de votre SMSI et que vous restez fidèle à votre certification ISO 27001, c'est à vous de définir vos indicateurs clés de performance.  

D'après leur articleGestion des risques de cybersécurité pour les entreprises technologiquesLa Security Scorecard suggère d'utiliser les paramètres suivants pour définir l'indicateur clé de performance en matière d'incidents de sécurité : 

• Temps moyen de détection  
• Délai de triage de l'alarme  
• Heure d'alarme pour se qualifier 
• Délai moyen d'accusé de réception 
• Durée moyenne de l'enquête  
• Délai moyen de résolution 
• Durée moyenne de confinement 
• Délai moyen de récupération 
• Coût par incident 
• Nombre d'incidents par dispositif ou hôte 
• Temps moyen entre les défaillances 

2. Pourcentage d'incidents de sécurité résolus dans les délais prévus 

Le suivi des incidents de sécurité est une chose, mais il est vital de s'efforcer de les résoudre dans un certain délai.  

Cet ICP mesure l'efficacité du processus de gestion des incidents d'une organisation à répondre aux incidents de sécurité et à les résoudre dans les meilleurs délais. 

Le temps de résolution par incident dépend 

• La gravité de l'incident. 
• La stratégie de gestion des risques de l'organisation. 
• Les ressources et les capacités de l'organisation. 

Lors de la création d'objectifs pour cet ICP, les paramètres suivants sont raisonnables pour une organisation standard : 

• Résoudre les incidents de sécurité graves dans les 24 heures. 
• Résoudre les incidents de sécurité moins graves dans les 72 heures. 

Pour déterminer l'efficacité de la stratégie de résolution des incidents, une fois que les délais de résolution ont été fixés, vous devez vérifier : 

• Le nombre de vulnérabilités identifiées 
• Le pourcentage de vulnérabilités corrigées dans un délai donné. 

En utilisant cet ICP, vous pouvez minimiser l'impact potentiel sur les opérations de votre entreprise et, par conséquent, sur sa réputation. Il fournit également des informations précieuses à la direction pour évaluer l'efficacité du SMSI de votre organisation et prendre des décisions éclairées sur l'affectation des ressources et les initiatives d'amélioration des processus. 

3. Pourcentage de systèmes protégés par un logiciel anti-malware 

Le nombre d'infections détectées varie en fonction de l'efficacité de votre logiciel malveillant. Ainsi, le nombre d'infections détectées peut augmenter parce que vous disposez d'un logiciel malveillant de qualité supérieure, mais pas nécessairement parce qu'il y a plus d'infections que d'habitude.  

Votre indicateur de performance clé pour déterminer l'efficacité de votre logiciel anti-programmes malveillants devrait donc dépendre du pourcentage de systèmes qui sont protégés et qui disposent d'un logiciel anti-programmes malveillants : 

• des outils antivirus installés et activés. 
• des signatures anti-malware actualisées. 
• les outils ou fonctions anti-malware spécifiques installés et actifs. 

Pour mesurer cet ICP, déterminez le nombre de systèmes nécessitant une protection contre les logiciels malveillants et le nombre de systèmes disposant d'une telle protection. Vous pouvez ensuite calculer le pourcentage de systèmes protégés par un logiciel anti-programmes malveillants en divisant le nombre de systèmes dotés d'une protection anti-programmes malveillants par le nombre total de systèmes nécessitant une protection. 

4. Nombre d'employés responsables de la sécurité de l'information  

Le paragraphe 5.3 prévoit que la direction veille à ce que les rôles, les responsabilités et les pouvoirs soient clairs lorsqu'il s'agit de nommer une équipe responsable du SMSI.  

Certaines organisations peuvent utiliser le personnel existant et ne devraient pas avoir besoin de nommer de nouveaux membres du personnel, tandis que d'autres devront faire appel à des contractants externes ou à de nouveaux employés.  

Il est important que votre organisation veille à ce qu'une personne soit responsable de l'ensemble et à ce que certains rôles soient remplis. N'oubliez cependant pas qu'une personne peut assumer plusieurs rôles.  

La responsabilité du SMSI doit être assumée de haut en bas, la direction montrant la voie à suivre. En fait, un cadre supérieur peut très bien assumer le rôle de responsable de la sécurité de l'information, par exemple.  

Toutefois, dans une organisation plus importante, il peut s'agir d'un travail à temps plein.  

L'indicateur de performance clé "Nombre d'employés responsables de la sécurité de l'information" doit être défini comme suit : 

• Le nombre d'employés est-il suffisant pour se concentrer sur les éléments clés du SMSI ? 
• Y a-t-il une personne qui est responsable de l'ensemble des activités ? 
• Les rôles ont-ils été communiqués aux parties concernées ? 

En général, les rôles suivants sont nécessaires pour garantir la définition et la mise à jour du SMSI : 

• Leadership en matière de sécurité 
• Gestion des risques de sécurité 
• Audit interne 
• Propriétaires de contrôle 

5. Pourcentage de contrôles effectués pour garantir la conformité avec la politique en matière de pare-feu 

Les pare-feu sont un élément clé de votre SGSI et sont utilisés pour protéger les réseaux et les systèmes contre les accès non autorisés. Il est essentiel de veiller au respect des politiques en matière de pare-feu pour maintenir l'efficacité du SGSI et protéger les informations sensibles.  

Lors de la définition des objectifs de cet ICP, il convient de prendre en compte les éléments suivants : 

• Suivi du pourcentage de contrôles effectués pour s'assurer que les pare-feu sont configurés conformément aux politiques et procédures de votre organisation. 

• Veiller à ce que les contrôles d'accès soient configurés correctement, que les règles soient à jour et que toute modification soit approuvée et documentée.  

Pour mesurer avec précision l'efficacité de la conformité de votre politique de pare-feu, vous devez également prendre en compte les éléments suivants : 

• La qualité des contrôles. 
• Les résultats des contrôles. 
• Les mesures prises à la suite des résultats. 

Pour vous assurer que vos ICP sont utiles et précis, il est essentiel que vous.. : 

• Établir des politiques et des procédures claires pour la configuration et la gestion des pare-feu ; 
• Veillez à ce que les contrôles soient effectués par du personnel qualifié et formé ;  
• Documenter les résultats et les mesures prises ; 
• Utilisez les résultats des contrôles pour améliorer en permanence vos politiques et procédures en matière de pare-feu. 

5. Nombre d'améliorations identifiées 

Cet ICP mesure la capacité de votre organisation à identifier les domaines susceptibles d'être améliorés dans les processus de sécurité de l'information et à prendre des mesures pour y remédier. 

Des améliorations peuvent être trouvées lors des activités du SMSI, telles que les réunions de sécurité ou les audits internes réguliers du SMSI de votre organisation, qui vous aideront à évaluer sa conformité aux exigences de la norme ISO 27001.  

Au cours de ces activités, votre équipe identifiera les domaines dans lesquels le SMSI peut être amélioré, par exemple au niveau des politiques, des procédures ou des contrôles. 

Une fois ces domaines identifiés, votre organisation doit : 

1. Suivre le nombre d'améliorations qui ont été identifiées. 

2. Classer les améliorations par ordre de priorité en fonction de leur impact potentiel sur le niveau de sécurité de l'information de l'organisation.  

3. Prendre des mesures pour remédier à ces améliorations, que ce soit en modifiant les politiques, les procédures ou les contrôles, ou en mettant en œuvre de nouvelles technologies ou des programmes de formation. 

En contrôlant le nombre d'améliorations identifiées et en suivant leur mise en œuvre, vous pouvez améliorer l'efficacité de votre SMSI et minimiser le risque d'incidents de sécurité.  

Cet ICP fournit également des informations précieuses à votre direction pour évaluer l'efficacité du programme de sécurité de l'information de votre organisation et prendre des décisions éclairées sur l'allocation des ressources et les initiatives d'amélioration des processus. 

En identifiant et en traitant régulièrement les domaines à améliorer, vous pouvez maintenir une position solide en matière de sécurité de l'information. Vous préserverez également la confidentialité, l'intégrité et la disponibilité de vos informations sensibles. 

6. Nombre de non-conformités identifiées 

Pour en savoir plus sur ce qui constitue une non-conformité, consultez notre article 10 exemples de non-conformité à la norme ISO 27001, mineure ou majeure. 

Les non-conformités peuvent être identifiées lors d'audits internes, d'audits externes ou d'autres examens du SMSI. 

Le suivi du nombre de non-conformités identifiées peut fournir des indications précieuses sur l'efficacité de la mise en œuvre du SMSI. Un nombre élevé de non-conformités peut indiquer que le SMSI n'est pas mis en œuvre de manière efficace, qu'il existe des lacunes dans les pratiques de sécurité de l'information de votre entreprise ou qu'il y a un manque de compréhension des exigences de la norme ISO 27001. 

Toutefois, il est important de noter que le nombre de non-conformités n'est pas nécessairement un indicateur de l'efficacité du SMSI. Vous devrez prendre en compte 

• La répétition des non-conformités entre les audits ; 
• La gravité de chaque non-conformité ; 
• L'impact de chaque non-conformité ; 
• Les actions entreprises pour les corriger.  

Un petit nombre de non-conformités critiques peut être plus préoccupant qu'un grand nombre de non-conformités mineures. 

Vous ne devez pas non plus vous contenter de réduire le nombre de non-conformités identifiées. Utilisez plutôt cet ICP comme un outil pour améliorer en permanence votre SMSI et vos pratiques en matière de sécurité de l'information.  

Cela signifie que vous devrez : 

• Réviser et mettre à jour régulièrement les politiques et les procédures ;  
• Procéder à des évaluations approfondies des risques ; 
• Mettre en œuvre des contrôles de sécurité efficaces. 

7. Rapidité de la résolution des problèmes d'amélioration à la suite des revues de direction 

L'objectif des revues de direction est d'évaluer les performances du SMSI, d'identifier les domaines à améliorer et de s'assurer que le système est aligné sur les buts et objectifs de l'organisation. La revue de direction peut également fournir des indications sur le niveau d'engagement de la direction générale dans les pratiques de sécurité de l'information de l'organisation. 

Les revues de direction doivent être effectuées au moins une fois par an, ou plus fréquemment si votre stratégie de gestion des risques l'exige. 

Le suivi de la rapidité avec laquelle les améliorations sont apportées à la suite d'une revue de direction peut vous aider à vous assurer que votre entreprise satisfait aux exigences de la norme ISO 27001.  

Cet ICP sera influencé par les facteurs suivants : 

• La qualité des revues de direction. 
• La rapidité avec laquelle les résultats de l'examen sont notés et font l'objet d'une action.  

• les mesures prises à la suite des conclusions des examens. 

Pour garantir l'efficacité des revues de direction, vous pourriez vouloir.. : 

• Fixer des objectifs clairs.  
• Définir des critères clairs. 
• Veiller à ce que les parties prenantes appropriées soient impliquées. 
• Fixer des délais pour les améliorations. 
• Documenter les résultats et les mesures prises.  

8. Comment les améliorations résultant des évaluations des risques pour la sécurité de l'information (ISRA) sont-elles prises en compte ? 

Sans évaluation des risques liés à la sécurité de l'information, un SGSI n'a pas beaucoup d'intérêt. Les évaluations des risques de sécurité identifient les risques potentiels pour vos actifs informationnels et établissent des contrôles appropriés pour atténuer ces risques.  

Dans le cadre de vos objectifs pour cet ICP, vous devez : 

• Établir des méthodes et des critères clairs d'évaluation des risques ; 
• Impliquer les parties prenantes appropriées dans le processus d'évaluation des risques ; 

• Documenter les résultats et les mesures prises. 

Le suivi de la mise en œuvre des améliorations issues de l'évaluation des risques peut vous aider : 

• Veillez à ce que votre entreprise traite rapidement et efficacement les risques potentiels pour votre patrimoine informationnel.  
• Identifier les tendances en matière d'efficacité de l'évaluation des risques. 
• Identifier les tendances en matière de risques, telles que l'augmentation du nombre ou de la gravité des risques identifiés au fil du temps. 

• Identifier les domaines qui nécessitent une attention et des ressources supplémentaires. 

9. Pourcentage d'initiatives commerciales soutenues par le SMSI 

L'une des principales exigences de la norme ISO 27001 est de veiller à ce que le SMSI s'aligne sur les objectifs, initiatives et stratégies de l'entreprise et les soutienne. Le pourcentage d'initiatives commerciales soutenues par le SMSI est un indicateur de performance clé qui mesure l'efficacité de cet alignement. 

Pour mesurer cet ICP, vous devez revoir vos systèmes de gestion de projet ou consulter des chefs de projet pour savoir comment mesurer cet ICP : 

• Déterminer le nombre d'initiatives ou de projets en cours ; 
• Déterminer le nombre d'initiatives ou de projets soutenus par le SMSI ; 

• Identifier toutes les initiatives, tous les projets et tous les programmes en cours qui nécessitent un soutien en matière de sécurité de l'information.  

Pour contrôler le pourcentage d'initiatives commerciales soutenues par le SMSI pour la norme ISO 27001, vous devez : 

• Évaluer le niveau de soutien apporté par le SMSI à chaque initiative de l'entreprise.  
• Calculer le pourcentage d'initiatives commerciales soutenues par le SMSI. 

• Mettre en place un processus d'établissement de rapports afin de suivre l'ICP dans le temps. Ce processus de reporting doit comprendre des mises à jour régulières sur le nombre d'initiatives soutenues par le SMSI et le pourcentage d'initiatives soutenues. 
• Analyser les résultats pour identifier les tendances et les domaines à améliorer.  
• Sur la base des résultats de l'analyse, prendre des mesures correctives pour améliorer le niveau de soutien apporté par le SMSI aux initiatives de l'entreprise. Il peut s'agir d'ajuster les contrôles de la sécurité de l'information ou d'augmenter les ressources consacrées au SMSI. 

10. Gestion des capacités  

Il est important d'équilibrer le niveau de capacité dont un client a besoin avec les ressources (opérationnelles et planifiées) qui sont disponibles. 

Selon la norme mITSM, "la gestion de la capacité d'information contribue à une approche intégrée de la gestion des services en réalisant les activités suivantes : 

• Identifier et définir les besoins internes et externes en matière de capacité 
• Planification des procédures de capacité 
• Élaboration du plan de capacité 
• Création d'un chapitre sur la capacité dans l'accord de niveau de service et la description du service 
• Gestion de la mise en œuvre des actions de renforcement des capacités 
• Dimensionnement de l'application 
• Évaluation des procédures et des mesures de capacité (y compris l'analyse des aperçus de capacité) 
• Rapports sur les capacités 
• Amélioration des capacités 
• Gestion d'une base de données des capacités (CDB) 

En utilisant ces activités comme lignes directrices, vous pouvez créer un indicateur de performance clé pour la gestion de la capacité, qui peut être facilement contrôlé.  

Pour contrôler la gestion de la capacité en tant qu'ICP pour l'ISO 27001, vous devez comparer les performances avec les objectifs fixés : 

• Collecte régulière de données sur l'utilisation des ressources.  
• Suivre tout écart par rapport aux objectifs. 
• Enquêter sur les problèmes qui se posent. 

ISO 27001 KPIs : la clé d'une grande performance en matière de sécurité   

Selon un2022 étude publiée par EncoreEn outre, 54% des RSSI interrogés ont déclaré que leur conseil d'administration ne fournissait pas un financement suffisant pour la sécurité de l'information. Dans le même temps, le coût moyen des violations de données dans le monde est passé à $4,35 millions. 

Il est donc évident qu'avec l'augmentation des cyber-menaces, il est vital de mettre en œuvre des normes de conformité qui valident vos systèmes de sécurité de l'information.  

L'utilisation des indicateurs clés de performance ISO 27001 pour suivre l'efficacité de votre SMSI vous aidera à convaincre votre conseil d'administration que non seulement la certification ISO 27001 est importante, mais qu'elle est aussi quantifiable, qualifiable et absolument vitale.