Sur un périmètre ou une politique, Tenacy peut afficher trois types de score de conformité : déclaratif, couverture ou mesuré. Ce ne sont pas trois indicateurs différents à additionner, mais trois façons différentes de calculer la même chose, avec un niveau de fiabilité croissant. Cet article vous explique ce que chacun mesure réellement, et surtout comment les lire ensemble sans se tromper.
Le principe commun : un score de conformité, pour une politique et un périmètre
Les trois scores répondent tous à la même question : dans quelle mesure un périmètre respecte-t-il une politique de sécurité donnée ? Ce qui change, c'est la source de la donnée utilisée pour y répondre : une réponse déclarée par un humain, la présence de mesures de sécurité, ou la performance réelle de ces mesures.
Le score déclaratif : basé sur les réponses aux évaluations
Le score déclaratif est la moyenne des dernières évaluations soumises pour chaque exigence applicable de la politique, pondérée par la priorité de ces exigences.
🔎 C'est le seul score de conformité disponible pour les périmètres de type fournisseur et application : ces types de périmètre ne bénéficient pas de mesures de sécurité, donc ni le score de couverture ni le score mesuré ne peuvent s'appliquer.
⚠️ Le score déclaratif visible dans le module Politiques remonte le score de la dernière campagne validée sur cette politique pour un périmètre.
Toutes les exigences déclarées comme non applicables dans la campagne d'évaluation n'ont aucun score qui remontent dans le module Politiques et n'impactent donc aucunement le score déclaratif.
Le score de couverture : basé sur les mesures liées aux exigences
Le score de couverture est la moyenne des taux de couverture des exigences applicables, pondérée par leur priorité et leur efficacité. Le taux de couverture d'une exigence correspond à la somme des couvertures des mesures dont bénéficie le périmètre et associées à cette exigence (plafonnée en général à 100 %).
Par exemple, une exigence avec une mesure liée implémentée avec un taux d'efficacité de 100% a donc un score de couverture de 100%.
Une exigence liée à une mesurée implémentée mais avec un taux d'efficacité à 80% a donc un score de couverture de 80%.
Une exigence liée à une mesure non-implémentée a un score de couverture de 0% tant que la mesure n'est pas implémentée.
🚫 Si une exigence n'a aucune mesure associée dans le catalogue, son score de couverture est de 0 %, quel que soit l'état réel de conformité sur le terrain. Cet article détaille ce cas de figure et les leviers disponibles.
⚠️ Si une exigence est déclarée comme non applicable dans une campagne d'évaluation pour un périmètre, le score de couverture et le score mesuré verront l'exigence sans score. Nous déduisons que si elle est non applicable depuis une campagne d'évaluation, alors cela doit avoir un impact sur les autres scores.
Actuellement, il n'y a pas d'autres manières de rendre non applicables une exigence que par ce biais.
Le score mesuré : basé sur la performance réelle des mesures
Le score mesuré reprend le même principe que le score de couverture, en y ajoutant la performance opérationnelle réelle des mesures.
La performance opérationnelle d'une mesure dépend des tâches récurrentes et indicateurs de performance qui lui sont associés :
Si aucune tâche récurrente ni indicateur de performance n'est associé à la mesure, une valeur de performance opérationnelle par défaut est utilisée (75 % sauf configuration différente).
S'il existe une tâche récurrente ou un indicateur mais qu'aucune période n'est encore révolue, la même valeur par défaut est utilisée en attendant d'avoir des données.
Sinon, elle est calculée à partir de la moyenne des réalisations de tâches récurrentes et/ou de l'atteinte des indicateurs de performance sur la période concernée.
Questions fréquentes
Quel type de score s'applique aux périmètres de type fournisseur ou application ?
Uniquement le score déclaratif : c'est le seul type de score disponible pour ces types de périmètre, qui ne bénéficient pas de mesures de sécurité.
Le score déclaratif compte-t-il les exigences sans réponse soumise comme 0 % ?
Non, elles sont ignorées dans le calcul plutôt que comptées comme 0 %, ce qui rend le score déclaratif partiel par nature tant que toutes les exigences applicables n'ont pas de réponse soumise.
Quelle est la différence entre le score de couverture et le score mesuré si les mesures en place sont les mêmes ?
Le score de couverture ne regarde que le taux de couverture déclaré des mesures (et leur efficacité). Le score mesuré va plus loin en intégrant la performance opérationnelle réelle de ces mesures, calculée à partir des tâches récurrentes et indicateurs associés. Deux périmètres avec les mêmes mesures en place peuvent donc avoir un score de couverture identique mais un score mesuré différent.