Mesurons-nous les bonnes choses ?

La sécurité repose sur des indicateurs, mais ces indicateurs reflètent-ils le risque réel ?

Dans cet épisode de La Tour de Garde, Ash Hunt s'entretient avec Wade Baker, cofondateur du Cyentia Institute et architecte de longue date du DBIR de Verizon, afin de déconstruire les indicateurs de cybersécurité qui, bien que paraissant pertinents, induisent systématiquement les programmes en erreur. Ils s'attaquent au « coût moyen par violation », expliquent pourquoi le MTTR (temps moyen de réparation) donne une image flatteuse des équipes de sécurité alors que 99 % de leurs vulnérabilités restent non exploitées, et présentent l'indicateur de demi-vie, qui mesure réellement le risque. De plus : pourquoi les indicateurs sont plus souvent instrumentalisés que utilisés à bon escient, et comment les agents d'IA démocratisent (enfin !) une quantification rigoureuse des risques.