Portail officiel de la sécurité informatique - ANSSI - République française

La réalisation d’indicateurs permettant de renseigner un tableau de bord est un travail complexe. Un guide d’élaboration de tableau de bord SSI a donc été réalisé par la DCSSI afin de faciliter ce travail et d’homogénéiser les méthodes.

Ce guide propose une démarche et des outils directement utilisables. Il est suffisamment souple pour être facilement adapté à des besoins spécifiques.

La démarche d’élaboration est décomposée en cinq étapes successives décrites ci-après. Cette démarche itérative permet de garantir la cohérence des tableaux de bord SSI avec les objectifs stratégiques et les évolutions du contexte (du SI, des risques, des destinataires…).

Lors de la première itération, les étapes sont généralement réalisées successivement. Par la suite, les étapes d’exploitation et d’évolution des tableaux de bord peuvent donner lieu à de nouvelles itérations.

Pré-requis

La première étape consiste à rassembler des éléments préalables à l’élaboration de tableaux de bord SSI :

 identification des destinataires des tableaux de bord SSI,
 formalisation des utilisations prévues,
 formalisation des périodicités souhaitées,
 expression des objectifs de sécurité (issus d’une analyse des risques SSI),
 expression des objectifs de progression du niveau de SSI (issus d’un plan d’action),
 informations sur le SI,
 identification des sources de données possibles,
 bilan sur le budget et les moyens mis en œuvre.

Mise en place du projet "Tableaux de bord SSI"

La mise en place consiste ensuite à identifier et mobiliser les acteurs pour constituer des groupes de travail :

 un groupe "utilisation" définit le besoin en tableaux de bord SSI en partant des besoins fonctionnels identifiés,
 un groupe "technique" valide la faisabilité des tableaux de bord SSI ainsi que de leur pertinence par rapport aux réalités techniques du système d’information,
 un groupe "pilotage" maîtrise les coûts et charges récurrents associés aux tableaux de bord SSI en phase de production,
 un groupe "exploitation" s’assure que les tableaux de bord SSI et les procédures associées pourront être exploités aisément autant dans leur aspect constitution que dans leur aspect utilisation.

Élaboration des tableaux de bord SSI

L’étape suivante permet de construire les tableaux de bord SSI en se basant sur les différents objectifs identifiés :

 formalisation des objectifs mesurables,
 sélection des sources de données exploitables,
 élaboration des indicateurs correspondants,
 constitution des tableaux de bord SSI à partir des indicateurs,
 élaboration des procédures d’alimentation des tableaux de bord SSI,
 validation de l’applicabilité des tableaux de bord SSI.

Exploitation des tableaux de bord SSI

Cette étape consiste à éditer et exploiter les tableaux de bord SSI selon les périodicités prévues. Il s’agit donc de

Recueillir les données constitutives :
 collationnement,
 traitement,
 calcul des indicateurs ;

D’utiliser les tableaux de bord SSI dans le processus de décision.

Évolution des tableaux de bord SSI

Le suivi des tableaux de bord SSI permet de vérifier s’ils nécessitent une évolution, du fait d’une observation parmi les suivantes :

 défaut de qualité des indicateurs (ergonomie, cohérence, pertinence…),
 évolution du contexte,
 évolution des objectifs de sécurité,
 inadéquation des indicateurs par rapport aux objectifs de sécurité,
 changement des destinataires…