Comment évaluer la sécurité de son système d'information : indicateurs et méthodes

Le délai médian entre une compromission et sa détection est de 212 jours (IBM 2024). Autrement dit, un attaquant peut être dans votre système depuis 7 mois avant que vous le découvriez. L'absence d'alerte ne signifie pas l'absence d'intrusion — elle peut signifier l'absence de détection.

Par ailleurs, les attaquants modernes sont patients et discrets. Les ransomwares sont souvent déployés des semaines ou des mois après la compromission initiale, une fois que l'attaquant a cartographié l'ensemble du réseau. Pendant tout ce temps, aucun incident visible ne se produit.

Indicateurs techniques : taux de patching (% de systèmes à jour), score CVSS moyen des vulnérabilités ouvertes, couverture MFA sur les accès critiques, taux de chiffrement des données sensibles, délai moyen de détection des incidents (MTTD).

Indicateurs de processus : fréquence des tests de sécurité, délai de correction des vulnérabilités critiques, taux de couverture des sauvegardes, fréquence des tests de restauration, taux de completion des formations sécurité.

Indicateurs de maturité : score sur un référentiel reconnu (CIS Controls, NIST CSF), résultats des derniers audits et pentests, niveau de sensibilisation des équipes mesuré par simulations de phishing.

L'audit de cybersécurité : évaluation structurée de la maturité selon des référentiels reconnus. Produit un score par domaine et un plan d'action priorisé. Voir notre page audit cybersécurité.

Le pentest : test de résistance réelle des défenses. Répond à la question 'un attaquant peut-il entrer et jusqu'où peut-il aller ?' Un test d'intrusion annuel est le standard recommandé.

Le scan de vulnérabilités : inventaire continu des CVE présentes sur vos systèmes. Complémentaire au pentest, pas un substitut.

La simulation de phishing : mesure le taux de clic des collaborateurs sur des emails de phishing simulés. Indicateur clé du risque humain. À compléter par une formation cybersécurité.

Pas de politique de sécurité formalisée. Aucun test de sécurité réalisé depuis plus d'un an. Absence de MFA sur les accès email et VPN. Systèmes non patchés depuis plusieurs mois. Sauvegardes non testées. Aucun plan de réponse aux incidents documenté. Comptes d'anciens collaborateurs non désactivés. Logs système non centralisés ou non surveillés.

Elles savent à tout moment leur niveau de risque. Elles ont un inventaire à jour de leurs actifs. Elles testent régulièrement leurs sauvegardes. Elles ont un processus formalisé de gestion des vulnérabilités. Elles réalisent des audits et des pentests selon un calendrier défini. Elles forment leurs équipes régulièrement. Elles ont un plan de réponse aux incidents testé.

La sécurité cloud est intégrée dès la conception de chaque nouveau projet. Le développement sécurisé est une pratique standard, pas une option.

Étape 1 : inventorier tous vos actifs (systèmes, applications, données). Vous ne pouvez pas évaluer ce que vous ne connaissez pas.
Étape 2 : réaliser un auto-diagnostic rapide sur les contrôles fondamentaux (CIS Controls niveau 1).
Étape 3 : commanditer un audit externe pour objectiver les résultats et identifier les angles morts.
Étape 4 : construire un plan d'action priorisé avec des KPIs mesurables et un budget dédié.
Étape 5 : mettre en place une surveillance continue et planifier les prochains tests.