Des KPI de direction qui changent réellement les comportements : aller au-delà de la conformité

Par Mirko Peters · 2026-08-11

Bon retour parmi nous, responsables sécurité et architectes de données ! En tant que podcasteur, je passe des heures chaque semaine à échanger avec des RSSI, des responsables de SOC et des architectes d’entreprise, et j’entends le sa…

Traduit automatiquement par IA à partir de l'article original. Lire l'original en anglais

Bienvenue à nouveau, responsables de la sécurité et architectes des données ! En tant que podcasteur, je passe chaque semaine des heures à échanger avec des RSSI, des responsables de SOC et des architectes d’entreprise, et j’entends sans cesse la même frustration. Les dirigeants consultent leurs tableaux de bord de sécurité standard, voient une mer de coches vertes rassurantes et en concluent que l’organisation est sécurisée. Pendant ce temps, des campagnes de phishing sophistiquées contournent quotidiennement les contrôles périmétriques, et les indicateurs remontés ne modifient en rien le comportement de l’entreprise ni la posture défensive réelle. Il est temps de regarder sous le capot et de parler de la manière de construire une télémétrie à destination de la direction qui conduise réellement à des décisions de sécurité pertinentes.

Introduction : aller au-delà de la conformité et des indicateurs de façade

Depuis des années, le reporting à destination de la direction est pris dans une spirale de conformité. Nous rendons compte de ce qui est facile à compter plutôt que de ce qui compte vraiment. Le nombre total d’e-mails bloqués, le nombre total de vulnérabilités analysées et le nombre total de tickets clôturés sont des indicateurs de façade par excellence. Ils rassurent la direction sans apporter la moindre visibilité sur le risque de l’organisation. Si votre conseil d’administration ou votre comité de direction évalue votre programme de sécurité en fonction du nombre de millions de spams arrêtés à la passerelle, vous mesurez du bruit, pas du signal. Les véritables KPI de direction doivent faire évoluer les comportements, mettre en évidence les goulots d’étranglement opérationnels et imposer une réallocation des ressources là où se situent les véritables expositions. Nous devons combler le fossé entre la télémétrie SecOps de bas niveau et le risque métier de haut niveau.

La couche cachée : ce que Microsoft Defender capture réellement

Pour dépasser la conformité, nous devons exploiter les couches de données approfondies que les plateformes de sécurité modernes collectent déjà. Des outils comme Microsoft Defender sont de véritables mines d’or en matière de télémétrie, mais les tableaux de bord standard ignorent environ quatre-vingts pour cent de ce qui se passe réellement. Pour raconter toute l’histoire, il faut plonger dans cette couche cachée.

Premièrement, examinez Threat Explorer. C’est là que vous découvrez les véritables relations entre les campagnes. L’outil cartographie l’infrastructure des expéditeurs, les fichiers malveillants et suit précisément qui d’autre dans l’entreprise a été ciblé par la même vague. Deuxièmement, analysez les résultats d’Automated Investigation and Response (AIR). AIR vous fournit les actions corrélées, les périmètres d’appareils et de boîtes aux lettres, ainsi que des informations sur la manière dont les playbooks en arrière-plan résolvent les menaces sans intervention humaine. Enfin, exploitez les envois des utilisateurs (User Submissions). Le signal humain est l’une de vos sources de données les plus précieuses. Les signalements des utilisateurs mettent souvent en évidence des attaques sophistiquées que les filtres automatisés ont totalement manquées. Ignorer les envois des utilisateurs revient à ignorer vos capteurs humains en première ligne.

Pourquoi les tableaux de bord de direction traditionnels finissent par casser

Avez-vous déjà passé des semaines à élaborer le rapport parfait pour la direction, pour le voir se briser lors de la mise à jour suivante de la plateforme ? Les modèles de reporting traditionnels cassent parce qu’ils reposent sur des fondations fragiles. S’appuyer sur des exports CSV manuels et des tableurs ponctuels est une recette de catastrophe : ils finissent inévitablement par mourir lors de la prochaine mise à jour du schéma de Defender.

Par ailleurs, la dérive de schéma (schema drift), lorsque des champs sont renommés ou dépréciés, fait instantanément échouer les rapports aux références codées en dur. Les GUID mêlés aux noms principaux d’utilisateur (UPN), les lacunes de pagination de l’API et la limitation de DirectQuery génèrent des maux de tête sans fin. Lorsque votre planification d’actualisation échoue pendant le week-end, les réunions de direction du lundi matin débutent avec des données obsolètes et trompeuses. Si votre architecture repose sur des solutions de fortune, elle s’effondrera sous le poids des volumes de données réels de l’entreprise.

Concevoir un cadre résilient : des connecteurs aux modèles de données

Construire un tableau de bord capable de résister aux changements de schéma et à l’évolution des techniques d’attaque exige un cadre rigoureux en quatre volets. Premièrement, il vous faut des connecteurs fiables. Utilisez les API de Defender avec des inscriptions d’applications appropriées, OAuth et des autorisations délimitées, en veillant à mettre en œuvre une pagination complète et des fenêtres de rétropopulation (backfill) robustes.

Deuxièmement, construisez un modèle de données résilient. Unifiez les incidents, les utilisateurs, les appareils, les boîtes aux lettres et les campagnes dans un schéma en étoile cohérent. Faites correspondre les identifiants hétérogènes aux personnes et aux appareils réels, et imposez des types de données stricts ainsi que des clés de substitution. Troisièmement, concentrez-vous sur des indicateurs clés de performance (KPI) priorisés. Éliminez le bruit et ne suivez que les mesures qui éclairent réellement les décisions stratégiques et les investissements. Enfin, établissez des modèles visuels mettant en avant une présentation axée sur les anomalies, des signaux d’escalade clairs et des sparklines de tendance.

Éviter les pièges de l’intégration avec Power BI

Power BI est un outil exceptionnel pour visualiser les données de sécurité de Microsoft 365, mais les pièges d’intégration sont nombreux si vous ne savez pas à quoi faire attention. Les problèmes d’authentification peuvent compromettre vos actualisations planifiées : faites toujours correctement la rotation de vos secrets et privilégiez les identités managées chaque fois que cela est possible. Pour gérer efficacement la dérive de schéma, versionnez vos transformations de données et prévoyez une gestion souple des valeurs inconnues ou nulles.

Cessez de mélanger exports manuels et extractions par API. Centralisez votre pipeline d’ingestion dans les flux de données Power BI. Testez votre logique de pagination sur les journées à fort volume afin de ne manquer aucun enregistrement lorsque le volume d’attaques augmente. Pour combler les trous dans les actualisations, planifiez des extractions infrajournalières et ajoutez des chargements delta afin de capturer l’activité du week-end et des jours fériés. Pour optimiser les performances, maintenez un schéma en étoile strict, exploitez l’actualisation incrémentielle, partitionnez par date et évitez absolument les colonnes calculées gourmandes en ressources au niveau de chaque ligne.

Les KPI pour la direction qui influencent réellement le comportement en matière de sécurité

Venons-en maintenant à l’essentiel : quels indicateurs devez-vous réellement présenter à votre direction ? Ces KPI sont conçus pour susciter des questions, obtenir des budgets et faire évoluer les comportements au sein de l’organisation.

• Taux de réussite des attaques : le pourcentage de tentatives d’hameçonnage ayant contourné les contrôles techniques ET suscité une interaction de la part de l’utilisateur.
• Clics utilisateurs et taux de signalement : une vue comparative de ceux qui ont cliqué sur des liens malveillants et de ceux qui les ont signalés, suivie dans le temps pour mesurer la maturité de la sensibilisation à la sécurité.
• Délai de remédiation : la durée exacte entre la détection initiale et le confinement complet, ventilée par vecteur d’attaque et type de campagne.
• Exposition des entités à haut risque : la fréquence des ciblages répétés visant les dirigeants, les équipes financières et les comptes disposant de privilèges élevés.
• Taux d’escalade des quasi-incidents : le suivi des blocages après clic, des interventions de Safe Links et des sauvetages techniques de dernière minute qui ont évité la catastrophe.
• Tendance des campagnes : une vue hebdomadaire comparative permettant de vérifier si les attaquants passent des liens aux pièces jointes ou à la compromission de messagerie professionnelle (BEC).
• Efficacité de l’automatisation : le taux de résolution en boucle fermée de l’AIR, mis en balance avec la fréquence des interventions manuelles de SecOps.

Repères visuels : construire un tableau de bord axé sur les anomalies

La manière dont vous affichez vos données compte autant que les données elles-mêmes. La charge cognitive des dirigeants est élevée : la mise en page de votre tableau de bord doit donc attirer immédiatement l’attention sur ce qui requiert une action. Placez les anomalies et les alertes critiques dans le quadrant supérieur gauche, et reléguez les totaux rassurants en bas à droite.

Utilisez la couleur avec parcimonie et uniquement pour signaler l’urgence, par exemple pour mettre en évidence les pics de délai de remédiation ou les dépassements de SLA. Intégrez des sparklines pour une analyse rapide des tendances, des badges d’état pour la conformité aux SLA et des drapeaux d’alerte pour les cibles récurrentes au sein de l’entreprise. Enfin, ajoutez des volets narratifs dédiés qui répondent à deux questions essentielles pour la direction : « Qu’est-ce qui a changé cette semaine ? » et « Que devons-nous faire ensuite ? »

Garde-fous pour la pérennité et la réussite à long terme

Pour que votre infrastructure de reporting reste fiable et pérenne sur le long terme, vous devez instaurer des garde-fous d’ingénierie rigoureux. Versionnez systématiquement vos flux de données et vos mesures DAX. Intégrez des tests automatisés de changement de schéma directement dans vos pipelines d’actualisation afin d’être alerté avant que les rapports ne cassent. Documentez clairement chaque définition de KPI : aucune modification discrète ni déplacement des objectifs d’un trimestre fiscal à l’autre. Enfin, gardez active dans votre système une sonde de détection des interruptions qui vous alerte immédiatement si le volume d’événements attendu chute de manière inattendue, ce qui indique généralement un connecteur défaillant plutôt qu’une baisse soudaine de la cybercriminalité mondiale.

Anti-modèles à abandonner immédiatement

Si vous voulez que votre programme de sécurité gagne en maturité, il est temps de reléguer certaines mauvaises habitudes de reporting aux archives. D'abord, cessez de considérer les « Blocked emails » comme une victoire : ce chiffre ne dit rien des menaces qui ont réussi à passer. Ensuite, arrêtez de mélanger des exports manuels fragiles et des extractions automatisées via API. Troisièmement, ne vous fiez plus à des actualisations mensuelles alors que votre paysage de menaces évolue d'heure en heure. Quatrièmement, bannissez les graphiques circulaires pour tout ce qui est temporel : privilégiez les courbes ou les sparklines pour représenter les tendances dans le temps.

Votre plan de déploiement sur 30 jours

La refonte de votre suite de reporting destinée aux dirigeants ne exige pas un projet d'un an. Vous pouvez mener une refonte complète en trente jours si vous suivez un plan structuré :

• Semaine 1 : Établissez l'accès à l'API, configurez les flux de données, développez la logique de pagination et mettez en place votre modèle en étoile de référence.
• Semaine 2 : Traitez la normalisation, faites correspondre les identifiants d'entités, des GUID aux UPN, et calculez votre premier jeu d'indicateurs comportementaux réels.
• Semaine 3 : Créez votre page dirigeants et la vue opérationnelle du SOC, implémentez les règles de détection d'anomalies et configurez les actualisations incrémentielles.
• Semaine 4 : Testez rétrospectivement votre nouveau modèle sur le trimestre précédent, créez les pages d'exploration détaillée (drill-through) et rédigez votre runbook opérationnel.

Conclusion

Abandonner les cases à cocher dictées par la conformité au profit de métriques de sécurité comportementales est le meilleur moyen de faire progresser la maturité de votre programme de cyberdéfense. En exploitant la télémétrie approfondie cachée dans Microsoft Defender, en évitant les pièges courants de l'intégration avec Power BI et en vous concentrant sur des indicateurs exploitables comme le temps de séjour (dwell time), l'exposition des entités à haut risque et les taux réels de réussite des attaques, vous pouvez transformer vos tableaux de bord, de simples écrans d'affichage passifs, en véritables moteurs d'aide à la décision. Si vous souhaitez approfondir la création de rapports de phishing robustes et maîtriser cette télémétrie, n'hésitez pas à consulter l'épisode associé « Build Better Phishing Reports with Defender and Power BI ». Continuez à bâtir des environnements plus intelligents, restez en sécurité, et rendez-vous dans le prochain épisode !