Mesurer la réussite de l’AppSec : les KPI clés qui démontrent sa valeur

Dans le secteur du développement logiciel, la protection proactive du cycle de vie du développement logiciel (SDLC) contre les cybermenaces doit toujours être une priorité absolue. Adopter une approche de sécurité intégrée dès le début permet de prendre en compte la sécurité dès les premières étapes, afin que vos équipes de développement puissent consacrer plus de temps à l’innovation et moins à la gestion des vulnérabilités. Mais ce n’est qu’un début. 

Les équipes AppSec doivent également montrer aux RSSI et aux autres dirigeants que le programme AppSec fonctionne comme prévu et qu’il apporte une valeur métier. Il est donc important de montrer comment les investissements AppSec réduisent les risques et aident l’entreprise à atteindre ses objectifs métier. Toutefois, démontrer la réussite de l’AppSec ne se fait pas du jour au lendemain. Vous devez d’abord identifier et collecter les bons KPI et indicateurs, qui permettront aux dirigeants et aux parties prenantes de comprendre clairement le fonctionnement du programme. Ensuite, vous devez traduire ces indicateurs en un récit qui trouve un écho auprès du public visé. 

Dans ce guide, nous vous expliquons comment mesurer et communiquer efficacement la réussite de votre programme AppSec, afin que les décideurs et les responsables comprennent que les investissements dans ce domaine continuent de porter leurs fruits.   

Indicateurs clés de performance (KPI) pour les programmes AppSec 

« On ne peut pas gérer ce qu’on ne peut pas mesurer » : cet adage courant dans le monde des affaires rappelle que les données sont nécessaires pour déterminer si une initiative fonctionne. C’est particulièrement vrai pour l’AppSec, où des indicateurs quantifiables permettent de mesurer l’efficacité des mesures de sécurité et de repérer les axes d’amélioration. Voici quatre grandes catégories de KPI à suivre :

1. Indicateurs de réduction des risques

2. Couverture et participation des équipes

3. Évolution de la posture de sécurité des applications

4. Efficacité de la gestion des vulnérabilités

Indicateurs de réduction des risques

Les indicateurs de réduction des risques montrent comment votre organisation atténue l’impact potentiel des menaces de sécurité. Parmi les indicateurs couramment utilisés, on trouve :

• Nombre de vulnérabilités critiques : suit l’évolution du nombre de vulnérabilités critiques au fil du temps. 

  • Un programme AppSec efficace fera apparaître une tendance à la baisse, signe que l’organisation est exposée à moins de menaces à haut risque.

• Taux de correction des vulnérabilités : mesure le rythme auquel les vulnérabilités sont corrigées au cours d’une période donnée.

  • Par exemple, si 120 vulnérabilités sont découvertes et que 60 sont corrigées au cours d’un mois donné, le taux mensuel de correction des vulnérabilités est de 50 %. 

• Pourcentage d’applications à haut risque : mesure le pourcentage d’applications sensibles ou essentielles aux fonctions de l’entreprise. 

  •  Cette information vous aide à déterminer comment hiérarchiser les efforts de correction des vulnérabilités, en traitant de préférence les menaces qui touchent les applications à haut risque.

• Dette de sécurité : suit les problèmes de sécurité non résolus qui s’accumulent au fil du temps. 

  • Plus les problèmes de sécurité restent sans correction, plus le risque de failles ou d’exploitation augmente. Le suivi de cette dette permet d’illustrer la posture de sécurité globale de votre organisation. 

Couverture et participation des équipes

Aucune équipe AppSec ne peut agir seule. Pour réduire efficacement les menaces, il faut mobiliser des équipes pluridisciplinaires et obtenir leur participation afin de renforcer la sécurité de votre organisation. Mesurer le niveau de participation et d’engagement des différentes équipes vous aidera à démontrer la réussite de l’AppSec. Voici quelques indicateurs utiles : 

• Pourcentage d’applications couvertes par des tests de sécurité : suit la proportion d’applications ayant fait l’objet d’évaluations de sécurité.

  • Plus ce pourcentage est élevé, mieux c’est : cela indique que les lacunes potentielles dans la couverture sont moins nombreuses.

• Achèvement des formations à la sécurité pour les développeurs : mesure le nombre de développeurs ayant suivi une formation à la sécurité. 

  • Les développeurs qui suivent une formation à la sécurité sont mieux à même d’adopter des pratiques de programmation sécurisée et de protéger leur travail contre les cybermenaces.  

• Constats de sécurité par application : suit le nombre de vulnérabilités détectées dans chaque application. 

  • L’interprétation de cet indicateur peut demander un peu de recul : un nombre élevé peut refléter des tests approfondis, mais aussi révéler que les développeurs n’appliquent peut-être pas des pratiques de programmation sécurisée.

• Délai moyen avant l’intervention de l’équipe sécurité (MTSI) : mesure à quel stade précoce du cycle de développement les équipes de sécurité sont mobilisées. 

  • Faire intervenir les équipes de sécurité plus tôt dans le processus de développement permet de détecter et de corriger les vulnérabilités avant qu’elles ne posent problème. 

Évolution de la posture de sécurité des applications

Si votre programme AppSec fonctionne comme prévu, les tendances devraient évoluer favorablement au fil du temps. Pour le vérifier, il faut suivre des indicateurs spécifiques qui évaluent votre niveau de sécurité. Parmi eux :

• Nombre de vulnérabilités ouvertes : indique dans quelle mesure l’AppSec parvient à suivre le rythme de résolution des problèmes de sécurité.  

  • La courbe de tendance devrait être orientée à la baisse, ce qui indique que le nombre de vulnérabilités ouvertes diminue au fil du temps. 

• Taux de réapparition des vulnérabilités : mesure la fréquence à laquelle les mêmes vulnérabilités réapparaissent dans les applications. 

  • Un taux de réapparition élevé indique qu’il faut peut-être renforcer les pratiques de sécurité des développeurs ou les processus de test, afin d’éviter de devoir corriger sans cesse les mêmes problèmes. 

• Pourcentage d’applications sans vulnérabilités connues : reflète la capacité de votre organisation à éviter l’apparition de vulnérabilités dans ses applications. 

  • Un pourcentage élevé est préférable, mais ne vous laissez pas bercer par un faux sentiment de sécurité : l’absence de vulnérabilités connues ne tient pas compte des menaces inconnues ou non détectées. 

• Taux d’application des correctifs de sécurité : mesure la rapidité avec laquelle une organisation applique les correctifs de sécurité. 

  • Un taux élevé indique que votre organisation corrige les vulnérabilités de manière proactive et réduit ainsi son exposition aux risques de sécurité.

Efficacité de la gestion des vulnérabilités

Cette catégorie porte sur l’efficacité de votre organisation à détecter et à corriger les vulnérabilités. Une meilleure efficacité renforce la productivité en réduisant le temps que les développeurs consacrent à la correction des problèmes de sécurité, afin qu’ils puissent se concentrer sur la création de meilleurs logiciels. Parmi les indicateurs importants de cette catégorie :

• Délai moyen de détection (MTTD) : mesure le temps moyen nécessaire pour détecter une vulnérabilité à partir de son apparition. 

  • Un délai de détection plus court montre que votre approche permet de repérer efficacement les problèmes à un stade précoce.

• Délai moyen de correction (MTTR) : mesure le temps moyen nécessaire pour corriger une vulnérabilité une fois qu’elle a été détectée. 

  • Une tendance à la baisse des délais de correction démontre que vous avez mis en place un processus efficace de gestion des vulnérabilités. À l’inverse, une tendance à la hausse indique qu’il faut l’améliorer. 

• Pourcentage de vulnérabilités corrigées selon leur gravité : mesure la capacité de votre organisation à hiérarchiser les vulnérabilités en fonction de leur gravité (critique, élevée, moyenne, par exemple). 

  • Un programme de gestion des vulnérabilités bien optimisé traite en priorité les vulnérabilités les plus graves.

• Taux de faux positifs : représente le pourcentage de vulnérabilités signalées qui ne constituent pas de véritables menaces.

  • Un taux de faux positifs élevé signifie que vos équipes perdent un temps et des efforts précieux à examiner et à corriger des vulnérabilités inexistantes. Si c’est le cas, vous devrez peut-être investir dans de meilleures solutions de test (par exemple, des outils SCA et SAST) et affiner vos processus de sécurité.

Démontrer le retour sur investissement aux dirigeants

Pour certaines équipes, commencer à collecter des indicateurs est facile. Le plus difficile consiste ensuite à présenter les chiffres et le bilan de réussite de votre programme AppSec aux dirigeants et aux parties prenantes, afin qu’ils en comprennent pleinement la valeur. Pour y parvenir, il faut savoir traduire les résultats et construire un récit réfléchi qui montre comment l’AppSec aide l’organisation à atteindre ses principaux objectifs métier.  

Traduire les indicateurs techniques en valeur métier 

Quelles sont les préoccupations des dirigeants ? En général, les résultats financiers, le respect des délais, la gestion des risques et la réussite commerciale des offres de l’organisation. Bombarder ces décideurs de chiffres sans contexte n’est pas le meilleur moyen de retenir leur attention. Montrez-leur plutôt l’impact financier de la réduction des risques. Calculez également combien l’organisation économise en frais liés aux failles en réduisant le nombre de vulnérabilités critiques.

Les dirigeants veulent savoir comment les efforts de sécurité contribuent à améliorer l’efficacité opérationnelle. Mettez en évidence le temps que votre initiative AppSec fait gagner en réduisant les reprises de développement et en accélérant la mise sur le marché. La conformité étant incontournable dans la vie d’une entreprise, montrez également comment l’AppSec aide l’organisation à respecter les réglementations applicables (HIPAA, RGPD, PCI-DSS, etc.) afin de souligner davantage la valeur métier de la sécurité.

Raconter de manière convaincante la réussite de l’AppSec 

Votre équipe AppSec sait peut-être bien détecter les problèmes et dénombrer les vulnérabilités, mais vous devrez maîtriser l’art de raconter pour communiquer la valeur de votre programme. Commencez par vous concentrer sur les résultats. Au lieu de simplement présenter le nombre de tests de sécurité réalisés, expliquez comment ces tests ont permis de détecter des vulnérabilités et d’éviter des failles, ou de respecter les délais de lancement des produits. 

Les études de cas sont également un excellent moyen d’illustrer vos réussites et de montrer, par exemple, comment la correction rapide de vulnérabilités a aidé l’entreprise à éviter un incident réel qui a touché d’autres acteurs du secteur. Les tableaux, graphiques et autres supports visuels peuvent largement contribuer à faire passer votre message, notamment pour mettre en évidence des tendances favorables comme la baisse du MTTR. Enfin, expliquez toujours comment l’AppSec aide l’organisation à générer des revenus, à protéger sa marque et à gagner la confiance de ses clients. 

Élaborez votre bilan de réussite AppSec avec ASPM

La gestion de la posture de sécurité des applications (ASPM) est conçue pour soutenir la réussite des programmes AppSec en offrant une visibilité complète sur l’environnement applicatif, en agrégeant les indicateurs pertinents et en s’appuyant sur l’automatisation pour gérer les vulnérabilités. Pour en savoir plus, téléchargez le livre blanc de Snyk et Accenture Donner aux développeurs les moyens d’agir, réduire les risques : comment l’ASPM libère le potentiel du DevSecOps. 

Nous pensons que l’ASPM aide les organisations à gérer efficacement les nombreux défis liés à la sécurité des applications. Snyk AppRisk est une solution ASPM conçue pour les développeurs qui donne aux équipes AppSec la visibilité, le contexte et le contrôle nécessaires pour améliorer leur niveau de sécurité. Réservez une démo pour découvrir comment Snyk AppRisk peut accélérer considérablement la réduction des risques.