Avis d’expert
Gérard Gaudin,
Consultant international indépendant en cybersécurité, Président fondateur du club R2GS et président du groupe de standardisation ISG ISI (Information Security Indicators) de l’ETSI
« Il faut être capable
de mesurer l’efficacité de la protection »
« L’ouverture des systèmes d’information rend de plus en plus difficile la maîtrise des systèmes d’information par les DSI. Le BYOD, le Shadow-IT, le Cloud ou encore l’usage d’outils venus du monde grand public compliquent énormément cette maîtrise. Les entreprises mettent en œuvre des politiques de sécurité, mais sont-elles encore appliquées dans un tel contexte ?, sont-elles encore efficaces ? Le point clé, c’est de mesurer cette efficacité et c’est le sens de l’action de l’ISG ISI qui a créé un ensemble de 98 indicateurs qui permettent de mesurer incidents, vulnérabilités et non-conformités (dont celles concernant le comportement des employés). Une telle approche permet de disposer d’une image fidèle et précise du niveau de sécurité de l’entreprise. C’est aussi un outil de benchmarking qui va lui permettre de se positionner et de s’étalonner par rapport aux meilleurs dans la profession ou dans son secteur d’activité. Certaines entreprises françaises ont commencé à mettre en œuvre cette approche ; c’est une première mondiale dans le domaine de la sécurité. »
