Points clés
- Piloter la sécurité dans les projets exige des indicateurs spécifiques, distincts des indicateurs de sécurité opérationnelle habituels et adaptés aux phases et aux risques de chaque projet.
- Les indicateurs pertinents couvrent trois dimensions : la gouvernance (processus en place), l'activité (tests réalisés, vulnérabilités identifiées) et les résultats (vulnérabilités non résolues, dette de sécurité accumulée).
- Des indicateurs simples et visuels, adaptés aux besoins des comités de pilotage non techniques, permettent des décisions éclairées sans expertise sécuritaire dans l'instance de décision.
- Le dashboard sécurité projet doit évoluer au fil des phases — les indicateurs pertinents en conception ne sont pas les mêmes qu'en déploiement ou en post-production.
La sécurité dans les projets ne peut pas être pilotée avec les mêmes indicateurs que la sécurité opérationnelle des systèmes en production. Un projet a des phases distinctes avec des risques spécifiques à chaque phase, des acteurs différents de la sécurité habituels, et un horizon temporel qui nécessite une vision prospective des risques plutôt qu'une mesure de l'état instantané.
Des indicateurs de pilotage de la sécurité projet adaptés permettent aux comités de pilotage de prendre des décisions éclairées — même sans expertise sécuritaire dans l'instance — et aux équipes projet de maintenir une visibilité sur leur niveau de risque tout au long du projet.
Les indicateurs de gouvernance
Les indicateurs de gouvernance mesurent si les processus de sécurité sont en place : est-ce qu'un référent sécurité est identifié pour le projet ? Un budget sécurité est-il alloué ? Les tests de sécurité sont-ils planifiés dans le rétro-planning ? Les risques acceptés sont-ils documentés dans le registre des compromis ? Ces indicateurs binaires (oui/non) sont les plus simples à collecter et les plus rapides à interpréter — un "non" sur un indicateur de gouvernance est un signal d'action immédiate.
Les indicateurs d'activité
Les indicateurs d'activité mesurent la réalisation des activités de sécurité planifiées : pourcentage des tests de sécurité planifiés effectivement réalisés, nombre de vulnérabilités identifiées par catégorie (critique, haute, moyenne, basse), délai moyen entre l'identification et la correction des vulnérabilités, et nombre d'exceptions de sécurité accordées. Ces indicateurs permettent de suivre la réalisation du programme de sécurité et d'identifier les points de blocage ou de retard.
Les indicateurs de résultats
Les indicateurs de résultats mesurent l'état de sécurité réel du projet : nombre de vulnérabilités non résolues par criticité au moment du jalons, score de sécurité global selon le référentiel utilisé, estimation de la dette de sécurité accumulée, et comparaison avec les objectifs de sécurité définis au lancement du projet. Ces indicateurs sont les plus directement pertinents pour les décisions de jalons — autoriser ou non le passage à la phase suivante, modifier les délais ou les ressources.
Un dashboard projet sécurité adapté aux phases
La pertinence des indicateurs évolue avec les phases du projet. En phase de conception, les indicateurs de gouvernance et d'architecture sécurisée sont prioritaires. En phase de développement, les indicateurs de qualité du code et de détection des vulnérabilités priment. Avant le déploiement, les indicateurs de tests de pénétration et de validation de configuration sont décisifs. Post-déploiement, les indicateurs de détection d'anomalies et de gestion de la dette de sécurité prennent le relais. Cette évolution du dashboard maintient sa pertinence et son utilité à chaque phase du projet.
Études de cas
Dashboard sécurité projet — Grande institution financière européenne
Une grande institution financière européenne a développé un dashboard sécurité pour le pilotage de ses projets IT significatifs, présenté mensuellement à son comité de pilotage IT. Ce dashboard synthétise en une page les indicateurs clés de chaque projet : état des jalons de sécurité, vulnérabilités non résolues par criticité, dette de sécurité estimée et actions correctives planifiées. Après 18 mois d'utilisation, le comité de pilotage rapporte une capacité de décision significativement améliorée sur les questions de sécurité projet, et une réduction des surprises sécuritaires post-déploiement.
OWASP Application Security Verification Standard (ASVS) comme indicateur
Plusieurs organisations utilisent le score OWASP ASVS (Application Security Verification Standard) comme indicateur de résultat pour leurs projets de développement applicatif. Ce score, calculé à partir d'une revue structurée de l'application contre une liste de contrôles de sécurité, fournit un indicateur comparable entre projets et dans le temps — permettant de suivre la progression de la sécurité des applications en cours de développement et d'identifier les domaines nécessitant des investissements complémentaires.
Intégration dans les outils de gestion de projet — Pratiques émergentes
Des équipes de développement avancées intègrent des indicateurs de sécurité directement dans leurs outils de gestion de projet (Jira, Azure DevOps, GitHub Projects) — tracking automatique des vulnérabilités identifiées, alertes sur les tickets de sécurité non traités, et tableaux de bord de sécurité intégrés dans les sprints. Cette intégration, qui rend les indicateurs de sécurité visibles dans le flux de travail quotidien des équipes plutôt que dans des rapports séparés, améliore significativement leur utilisation pour les décisions quotidiennes.
États-Unis — NIST CSF 2.0, métriques de gouvernance sécurité projet
Le NIST Cybersecurity Framework 2.0, publié en 2024, inclut dans sa nouvelle fonction "Govern" des recommandations sur les métriques de gouvernance de la sécurité pour les projets et transformations — incluant des indicateurs de processus (revues de sécurité réalisées), d'activité (tests de sécurité effectués) et de résultats (vulnérabilités non résolues). Ces recommandations fournissent un cadre standardisé pour les organisations qui cherchent à structurer leur pilotage de la sécurité projet selon les meilleures pratiques internationales.
Union européenne — ENISA, indicateurs de sécurité pour les projets de transformation
L'ENISA a publié des recommandations sur les indicateurs de sécurité pertinents pour les projets de transformation numérique, adaptés à différentes tailles et types d'organisations. Ces recommandations, accessibles gratuitement, fournissent un point de départ pour les organisations qui cherchent à structurer leur pilotage de la sécurité projet sans devoir développer leurs propres indicateurs depuis zéro — réduisant le coût de mise en oeuvre et favorisant des approches comparables entre organisations.
Singapour — GovTech, métriques de sécurité dans les projets IT publics
GovTech Singapour a standardisé un ensemble de métriques de sécurité pour les projets IT gouvernementaux, reportées trimestriellement aux instances de gouvernance IT de l'État. Ces métriques, incluant des indicateurs de couverture des tests de sécurité, de gestion des vulnérabilités et de conformité aux politiques de sécurité projet, permettent une vision consolidée de la posture de sécurité du portefeuille de projets gouvernementaux — et identifient les projets nécessitant une attention particulière ou des ressources supplémentaires.