Quels indicateurs rapporteriez-vous pour montrer que le SOC fait son travail ?

Rapportez des indicateurs de résultat en plus de l'activité. Les utiles sont le délai de détection et le délai de confinement par sévérité, la proportion d'incidents trouvés par vos propres détections face à ceux signalés de l'extérieur, la couverture de détection validée sur vos techniques prioritaires, le taux de faux positifs par règle, et l'ancienneté des dérogations de risque ouvertes. Évitez le nombre brut d'alertes et de tickets clôturés comme chiffres phares, puisqu'ils récompensent le bruit plutôt que les résultats de sécurité.

Mon chiffre phare, c'est la proportion d'incidents qu'on a détectés nous-mêmes face à ceux qu'on a appris par un utilisateur, un client, un fournisseur ou les forces de l'ordre. Ce seul chiffre dit si la fonction marche. En dessous, le délai de détection et le délai de confinement séparés par sévérité, parce que moyenner un signalement de phishing avec une tentative de rançongiciel masque tout ce qui compte. Ensuite la couverture sur les techniques qu'on a désignées comme prioritaires pour notre modèle de menace, notée depuis des tests de validation plutôt qu'une auto-évaluation, et le taux de faux positifs par règle pour que le travail de tuning ait un chiffre attaché. J'évite délibérément de mettre en avant le volume d'alertes ou les tickets clôturés, parce que ces chiffres montent quand l'environnement devient plus bruyant, et j'ai vu une équipe félicitée pour un indicateur qui n'était qu'une régression de télémétrie. Quand un mois est mauvais, je le présente avec la raison et le correctif, parce qu'à la seconde où vous soignez le tableau de bord, vous perdez la capacité de demander du budget sans rougir.