Qu’est-ce qu’un tableau de bord RSSI ?

Un tableau de bord utile répond aux questions posées chaque mois au RSSI : sommes-nous conformes, où est le risque, nos contrôles fonctionnent-ils, et sommes-nous prêts pour le prochain audit ? En pratique, cela tient en quelques familles d’indicateurs :

• La posture de conformité par référentiel : la part des exigences applicables satisfaites pour ISO 27001, NIS2, DORA ou SOC 2, idéalement à partir d’un seul jeu de contrôles pour que les chiffres concordent.
• Le risque : les risques hors appétence, leur évolution et les plans de traitement en retard.
• Le fonctionnement des contrôles : ceux qui ont été exécutés à temps et ceux qui échouent, pas seulement ceux qui existent sur le papier.
• Les constats : non-conformités, incidents et actions correctives ouverts, et depuis combien de temps.
• Les tiers : les fournisseurs à forte exposition ou dont l’évaluation est en retard.

Chaque indicateur a besoin d’un responsable, d’une cible et d’une source de données connue. Un chiffre que personne ne peut rattacher à ses enregistrements se défend mal devant la direction ou un auditeur.

Les mêmes données servent plusieurs lecteurs, à des niveaux de détail différents. Le RSSI et son équipe travaillent au niveau des contrôles et des constats. La direction veut la posture, le risque et les décisions qui lui reviennent. Les auditeurs veulent remonter d’un chiffre aux enregistrements qui le fondent.

ISO/IEC 27001 ne parle pas de tableau de bord, mais deux clauses demandent ce qu’il fournit. La clause 9.1 impose de surveiller et de mesurer la performance de la sécurité de l’information et d’en conserver les résultats. La clause 9.3 impose à la direction de revoir le SMSI, et les résultats de cette revue sont eux aussi conservés. Un tableau de bord fondé sur des mesures enregistrées alimente les deux, et les résultats de surveillance deviennent des informations documentées plutôt que des diapositives. Voir quels documents ISO 27001 exige.

• La page d’accueil montre les exigences conformes par référentiel et la santé des risques, mesures et contrôles. La santé est calculée, jamais saisie, et remonte selon la règle du plus faible : un bon résultat dans un domaine ne masque pas un échec dans un autre.
• Le tableau de bord Assure est une grille partagée de widgets KPI, chacun avec sa valeur, sa cible et son état par rapport à la cible. Les administrateurs ajoutent des KPI avec Edit Dashboard et déplacent, redimensionnent ou retirent les widgets ; tout le monde voit la même disposition.
• Chaque KPI tire ses valeurs de la saisie manuelle, des données d’Acuna GRC en temps réel, d’un connecteur, d’une API externe ou de l’agrégation des filiales, et un seuil d’alerte ajoute une bande orange. Un clic sur une valeur ouvre la liste qui la compose. Voir les sources de données KPI.
• Les KPI calculés enregistrent leur valeur selon leur calendrier, ce qui construit la tendance des graphiques en courbes et en colonnes.
• Les rapports se génèrent à partir de modèles avec des sections KPI et des listes, pour que rapport et tableau de bord concordent, et s’exportent en PDF ou Excel pour la revue de direction.

Les profils d’accès et le filtre de périmètre global décident de ce que voit chaque lecteur. Un widget fondé sur des enregistrements masqués par un profil est masqué plutôt que faussé. Voir l’espace de travail Assure.

• Trop d’indicateurs. Un tableau de bord de plusieurs dizaines de widgets n’est lu par personne. Gardez ceux qui mènent à une décision.
• Des statuts saisis à la main. Un voyant vert posé par le responsable d’un contrôle est un avis ; un statut calculé à partir des contrôles exécutés et des tâches faites est une preuve.
• Un référentiel à la fois. Des tableaux de bord séparés par référentiel donnent à la direction des chiffres contradictoires pour un même contrôle.
• Pas de cible. Une valeur sans cible ne peut être ni dans les clous ni en retard.
• Pas de lien avec les enregistrements. Si un chiffre ne se rattache pas aux exigences, contrôles et enregistrements qui le fondent, un auditeur ne s’y fiera pas.