Formules des indicateurs

Chaque chiffre de l’onglet Indicateurs de la page Rapports, du résumé pour la direction et de la préparation des référentiels a sa formule. C’est le même texte que celui du bouton ⓘ à côté du chiffre, dans les sept langues de l’interface. Le code entre accents graves identifie l’indicateur.

Règles communes :

chaque chiffre est comparé à la période précédente de même durée ; sous une base de 10, la variation s’écrit en nombre (« +3 ») et non en pourcentage (« +200 % ») ; une part varie en points ;
un délai se lit en tranches (moins de 7 jours, 7 à 30 jours, 30 à 90 jours, plus de 90 jours), avec la médiane, jamais une moyenne seule ;
une part sans dénominateur s’affiche « — », jamais 0 % ;
les chiffres passés peuvent changer quand un dossier est rouvert ou reclassé : l’historique de chaque dossier et le journal d’audit en gardent la trace ;
aucune jauge, aucun camembert, aucun anneau : des chiffres, des tendances et des tableaux.

Détection

Nouvelles détections

Code : nouvelles

Nombre de couples (projet, vulnérabilité) détectés sur la période : date de l’alerte, ou ouverture du dossier quand il n’y a pas d’alerte. Comparé à la période précédente de même durée ; sous une base de 10, la variation s’écrit en nombre, pas en pourcentage.

Dont exploitées

Code : nouvelles_exploitees

Parmi les nouvelles détections, celles dont l’exploitation est constatée : catalogue KEV de la CISA, KEV de VulnCheck, alerte du CERT-FR ou exploit public.

Nouvelles détections par palier

Code : paliers_nouvelles

Nouvelles détections réparties par palier de décision SSVC / BOD 26-04 (3 jours, 14 jours, 60 jours ou différé), palier calculé à la date du rapport. « Non déterminé » : dossier ouvert sans alerte.

Délai de détection médian

Code : delai_detection

Médiane, en jours, du temps écoulé entre la publication de la vulnérabilité et l’alerte. Les alertes de rattrapage (composant ajouté après la publication) sont exclues.

Remédiation

Vulnérabilités traitées

Code : sorties

Dossiers clos sur la période : corrigés, non applicables ou risque accepté. La date de clôture est la dernière entrée dans un statut clos, celle affichée sur la fiche.

Écart net

Code : ecart_net

Détectées − traitées sur la période (et par semaine). Positif : le retard se creuse ; négatif : il se résorbe.

Taux net de résolution

Code : taux_net

Traitées ÷ détectées sur la période. Au-delà de 100 %, on traite plus qu’on ne découvre. Sans détection, pas de chiffre. Variation en points.

Délai de correction depuis la détection

Code : mttr_detection

Pour chaque dossier clos sur la période : clôture − détection, réparti en tranches (moins de 7 j, 7 à 30 j, 30 à 90 j, plus de 90 j ; 7 j pile tombe dans « 7 à 30 j »), avec la médiane, jamais une moyenne seule. Les clôtures « non applicable » (faux positifs) sont exclues.

Délai de correction depuis le correctif

Code : mttr_correctif

Comme le délai depuis la détection, mais compté depuis la plus tardive de la détection et de la disponibilité du correctif : date à laquelle une version corrigée a été connue ; à défaut, publication de la vulnérabilité. Une clôture sans correctif connu avant elle n’est pas mesurée.

Délai de correction par palier

Code : mttr_palier

Délai de correction depuis la détection (hors faux positifs), en tranches et en médiane, par palier de décision actuel du cas.

Échéances tenues

Code : respect_echeances

Clôtures de la période intervenues au plus tard le jour de leur échéance (politique de correction du projet : palier de décision ou sévérité) ÷ clôtures de la période. Les risques acceptés et approuvés ne comptent pas ; une correction faite sous une atténuation posée à temps compte dans les délais. Même calcul que la page Échéances.

Âge des vulnérabilités à traiter

Code : backlog

Vulnérabilités à traiter aujourd’hui (dossier en attente, en analyse, en correction ou pas encore ouvert ; risques acceptés exclus), par ancienneté depuis la détection, dans les mêmes tranches que le délai de correction.

Prévention

Composants avec version

Code : versions_precises

Composants (produits) de la stack qui portent une version ÷ composants. Sans version, une alerte ne peut pas dire si la version installée est touchée.

Composants hors support

Code : fins_de_vie

Composants dont la fin de vie de l’éditeur est dépassée, et part des composants proches de leur fin de vie couverts par un plan de sortie daté.

Sources en défaut

Code : surveillance

Sources en panne ou périmées : flux de vulnérabilités, connecteurs d’inventaire, agents muets depuis 24 h (comptés comme une source). Un zéro ne se lit comme un zéro que si la détection a tourné.

Résumé pour la direction et préparation

Exploitées ouvertes

Code : exploitees_ouvertes

Vulnérabilités à traiter dont l’exploitation est constatée (KEV, CERT-FR, exploit public), risques acceptés exclus, à l’instant de l’édition.

Corrections hors délai

Code : hors_delai

Vulnérabilités ouvertes dont l’échéance de la politique de correction est dépassée, escaladées comprises.

Exceptions acceptées

Code : exceptions

Acceptations de risque approuvées et en vigueur dans le registre des risques, chacune avec sa date de revue.

Vulnérabilités ouvertes en fin de semaine

Code : ouvertes_semaine

Reconstituées à rebours : ouvertes aujourd’hui − détectées après la semaine + traitées après la semaine. Une réouverture intermédiaire n’est pas rejouée.

Contrôles couverts automatiquement

Code : controles_couverts

Exigences du référentiel dont toutes les mesures sont produites par l’outil pour l’organisation (ni hors offre, ni document tenu hors de l’outil) ÷ exigences du référentiel.

Preuves présentes

Code : preuves_presentes

Exigences dont toutes les mesures ont une preuve à jour ÷ exigences du référentiel. Règle stricte : une seule mesure en attente laisse l’exigence sans preuve, ce qui peut faire chuter la part à 0 %.