QARABA UNIVERSITY
L’indice de maîtrise
Comment ce chiffre est-il calculé, et que veut-il dire ?
6 minutes de lecture
Ce que l’indice mesure, et ce qu’il ne mesure pas
L'indice de maîtrise mesure la maîtrise du risque sur un périmètre défini. Ce n'est pas un indicateur de sécurité, et la nuance n'est pas rhétorique : une organisation peut obtenir 85 tout en étant vulnérable sur un domaine que Qaraba n'évalue pas.
C'est pourquoi l'indice ne circule jamais sans sa couverture. Un 70 sur un domaine et un 70 sur six ne disent pas la même chose - le premier signale surtout qu'on ne sait pas grand-chose.
Règle
L’indice ne circule jamais seul
Chaque restitution indique combien de domaines sur six ont été évalués. Un rapport qui présenterait le chiffre sans sa couverture serait trompeur, même sans intention de tromper.
Pourquoi une soustraction plutôt qu’une moyenne
L'organisation part de 100 et perd des points. Il n'y a aucune moyenne pondérée, donc aucun coefficient à justifier - et rien qu'un client puisse contester sans pouvoir refaire le calcul.
Chaque écart retire un nombre de points issu d'un poids de base et de multiplicateurs nommés. Un compte de service à privilèges sur une application exposée et portant des données clients pèse plus qu'un compte dormant sur un intranet interne, et le détail du calcul est affiché.
Exemple
Un calcul, en clair
Poids de base 8, multiplié par 2 parce que l’application est exposée sur Internet, multiplié par 1,5 parce qu’elle porte des données clients : 24 points retirés. Le client refait l’opération à la main s’il le souhaite.
Un contrôle non évaluable n’est jamais conforme
C'est la règle la plus importante du calcul, et celle qui surprend le plus. Quand Qaraba ne dispose pas des données nécessaires à un contrôle, il n'est pas déclaré satisfait : il est marqué non évaluable, avec le motif.
Sans cette règle, un client obtiendrait un meilleur score en fournissant moins de données. L'indice mesurerait alors la qualité de l'import, pas la maîtrise du risque - et récompenserait exactement le comportement qu'il devrait décourager.
Limite
Ce que cela implique
Un premier import partiel produit beaucoup de contrôles non évaluables, et un indice qui paraît bas. C’est le comportement attendu : le chiffre monte à mesure que le périmètre se complète, pas à mesure qu’on cache les écarts.
L’écrêtage, et pourquoi il est affiché
Les pénalités d'un même domaine sont plafonnées à trente points. Sans ce plafond, un domaine très dégradé écraserait tous les autres, et l'indice ne distinguerait plus une organisation avec un problème d'une organisation avec cinq.
L'écrêtage est toujours affiché, avec la vérification : « 65 points d'écart, ramenés à 30, soit 100 - 30 = 70 ». Sans cette mention, la somme des pénalités ne correspondrait pas à l'indice, et le calcul paraîtrait faux.