Métriques & KPIs DevSecOps
Comment mesurer l'impact et la performance de vos implémentations DevSecOps.
🔍 Métriques de Détection & Réponse
Mean Time to Detect (MTTD)
Temps avant détection d'une vulnérabilité/menace
Mean Time to Respond (MTTR)
Temps pour se rétablir d'une compromission
Incident Severity Distribution
Répartition des incidents par sévérité
False Positive Rate
% d'alertes sans threat réel
🔐 Métriques de Gestion des Vulnérabilités
🐛 Vulnerability Detection Rate
Nombre de vulnérabilités trouvées par période
Cible : Augmenter (détecter = sécuriser)
Premier mois : Peut exploser (backlog existant)
Stabilisation : Après 3-6 mois (backlog traité)
⏳ Mean Time to Patch (MTTP)
Temps pour corriger une vulnérabilité
Critical CVE : < 24 heures
High CVE : < 7 jours
Medium CVE : < 30 jours
Low CVE : Regrouper par quarters
🎯 Vulnerability Density
Vulnérabilités ouvertes vs applis scannées
Cible : < 1 vulnérabilité par 100k LOC
Mesure : (Critical + High) / Applications
Tendance : Doit décroître mensuellement
📊 Remediation Rate
% de vulnérabilités fermées par trimestre
Cible : > 80% fermeture par Q
Alerte : < 50% = backlog grandit
Amélioration : Automation du patching
🔄 Vulnerability Recurrence
% même CVE en production 2x+
Cible : < 5%
> 10% = Processus patch déficient
Action : Améliorer testing avant deploy
⚡ CVSS Score Distribution
Répartition des vulnérabilités par sévérité CVSS
Cible : Moins de 9.0+
9.0-10.0 : Fix immédiaten
< 4.0 : Batch par trimestre
🔒 Métriques de Sécurité du Code
🔍 SAST Coverage
% du code scanné par analyse statique
Cible : 100% des commits
Mesure : Automated dans CI/CD
Coût : Détection des bugs avant prod
🧪 DAST Frequency
Combien de fois l'appli est testée dynamiquement
Cible : Chaque déploiement préproduction
Production : Au moins 1x par semaine
Outil : OWASP ZAP, Burp Suite (community)
📦 SCA Coverage
% des dépendances scannées pour CVE
Cible : 100% des dépendances
Outil : Snyk, Dependabot, Black Duck
Alerte : Instant quand CVE publié
🚫 Security Gate Compliance
% d'applis blocage sur threshold SAST/DAST
Cible : 100% des déploiements respectent gates
Exemple gate : 0 Critical + 0 High SAST findings
Importance : Évite les débats, objectif
🔐 Code Review Security Focus
% de reviews avec commentaire sécurité
Cible : > 40% des reviews
Mesure : Tags "security" ou "vulnerability" dans comments
Amélioration : Security champions + training
🏆 Security Debt
Dépistage technique sécurité vs backlog total
Cible : < 5% du backlog
Mesure : Issues + findings + recommendations
Alerte : > 10% = dégradation rapide
📋 Métriques de Conformité & Politique
✅ Policy Compliance Score
% d'infrastructures respectant les policies
Cible : > 95%
Mesure : CSPM scanning (Prowler, Wiz)
< 85% = Dérive sécurité détectée
🔒 Secrets Exposure Events
Nombre de secrets exposés par mois
Cible : Zéro
Mesure : Git scanning + logs audit
Action : Rotation immédiate si exposé
📊 Audit Log Integrity
% d'logs audit en tamper-proof storage
Cible : 100%
Mesure : Logs immuables (AWS CloudTrail, Azure Monitor)
Compliance : Exigé par SOC2, ISO27001
🔐 Encryption Coverage
% des données chiffrées (en transit + at rest)
Cible : 100%
In Transit : TLS 1.2+ obligatoire
At Rest : AES-256 ou équivalent
📝 Documentation Compliance
% de systèmes avec documentation sécurité
Cible : > 90%
Inclure : Threat model, data flows, controls
Audit : Chaque 12 mois (compliance requis)
🎓 Security Training Completion
% d'équipe ayant complété formations
Cible : 100% par année
Cadence : Minimum 1x par an
Topics : OWASP, phishing, password mgmt
🚨 Métriques d'Incidents & Risque
🎯 Security Incident Rate
Nombre d'incidents sécurité par mois
Cible : Tendance décroissante
Analyse : Root causes + lessons learned
Action : Prévention future via findings
⚠️ Severity Distribution (Incidents)
Critical, High, Medium, Low incidents par mois
Cible : > 60% Low/Medium
Dérive : Si > 20% Critical = détection insuffisante
Amélioration : Threat hunting + monitoring
💰 Cost of Incidents
Coût moyen d'un incident sécurité
Benchmark : ~$4.5M par incident (Ponemon 2023)
Composantes : Downtime + investigation + remediation + reputation
DevSecOps : Réduit à < $1M (détection rapide)
📋 Incident Response Plan Test
Fréquence de test du plan de réponse
Cible : 1x par trimestre (minimum 2x/an)
Mesure : Tabletop exercises + simulations
Métrique : Time to detect + time to respond
🎓 Lessons Learned Closure
% d'actions post-incident implémentées
Cible : 100% dans 30 jours
Mesure : Items des incident reports fermés
Alerte : < 50% = culture d'apprentissage faible
🔍 Threat Model Coverage
% d'applis critiques ayant threat model
Cible : 100% des top 20 applis
Cadence : Review annuelle (+ chaque 3ans)
Outil : OWASP Threat Modeling, Microsoft Threat Modeling
🎯 Roadmap d'Implémentation
Baseline & Infrastructure
Mesurer l'état actuel. Mettre en place SAST + DAST basiques. Commencer CSPM scanning.
Automation & Gating
Security gates dans CI/CD. SCA automatisée. Alerting pour findings critiques.
Team & Training
Security champions. Training obligatoire. Threat modeling des apps top 10.
Continuous Improvement
Analytics. Reporting mensuel. Metrics-driven decisions. Threat hunting.