GHT : stratégie de convergence SSI, partie III
Il est essentiel, dans une stratégie globale à l’échelle d’un GHT, de définir des indicateurs SSI : ils permettent, d’une part, d’objectiver le niveau général d’avancement et, d’autre part, d’afficher le niveau de chaque établissement comparé à celui des autres. Sur ce dernier point, il n’existe pas de meilleur allié du RSSI que l’aiguillon de la comparaison (souvenez-vous de vos années de primaire, quand l’institutrice vous filait une tôle et vous montrait en exemple le bon élève avec la raie au milieu, le pantalon de velours côtelé et la chemise à carreaux…).
La définition d’indicateurs se heurte en général à deux écueils : en déterminer suffisamment pour qu’ils soient représentatifs et couvrent un périmètre optimal, mais pas trop, sinon il sera impossible de les collecter. Dans l’idéal, il faudrait se limiter à une quinzaine tout au plus, et nous proposons pour base de réflexion la liste suivante :
– RSSI et DPO officiellement nommés, les trois applications les plus critiques en conformité avec le RGPD ;
– appréciation des risques à jour ;
– processus d’audit défini et respecté ;
– socle documentaire (PSSI, chartes) à jour ;
– taux d’équipement disposant d’un antivirus à jour, avec une cible de 95 % ;
– taux de couverture des procédures dégradées, qui doivent au moins comprendre les logiciels critiques ;
– taux d’OS PC et serveurs à jour ;
– niveau de protection des composants du dispositif périmétrique (pare-feu) : en l’occurrence, non-présence de failles critiques ;
– taux d’utilisateurs avec des comptes AD sans privilèges ;
– taux d’agents de la DSI disposant d’un compte admin distinct de leur compte utilisateur ;
– taux d’agents de la DSI ayant validé le Mooc de l’Anssi (SecNumEdu) ;
– annuaires AD et RH interconnectés.
Soit 12 indicateurs en tout, dont certains empruntent à la partie organisationnelle, d’autres à la partie technique ; certains sont issus des 42 mesures d’hygiène de l’Anssi, d’autres de la vie courante. Tous sont critiquables, tous sont aussi faciles à collecter qu’à mesurer et, surtout, tous font référence à des items qu’il est aisé de faire progresser.
Pantalon de velours ne va pas trop la ramener…
(1) /article/2873/ght-strategie-de-convergence-ssi-partie-i.html
(2) /article/2883/ght-strategie-de-convergence-ssi-partie-ii.html
Avez-vous apprécié ce contenu ?
A lire également.

2026 : la fin de l’Espace, du Temps et de la Vie privée
27 jan. 2026 - 08:37,
Tribune
-Cédric Cartau analyse comment le Fichier national automatisé des empreintes génétiques (Fnaeg), initialement conçu pour lutter contre la criminalité sexuelle, est devenu en moins de 30 ans un outil de fichage de masse. En s’appuyant sur l’essor de la recherche par parentèle, il interroge les conséqu...

Test PCRA et exercice de gestion de crise combinés : le pragmatisme au service de l'efficience
26 jan. 2026 - 15:06,
Tribune
-Dans un contexte de cybermenace persistant, l'amélioration de la résilience est devenue une obligation pour les organisations de santé. Le programme CaRE, accompagne les établissements dans cette obligation au travers d’un axe majeur : s'équiper et se former face à la menace numérique. Dans la conti...

Tire la cyber-chevillette, la cyber-bobinette cherra : une analyse légèrement décalée des contes de fées par un RSSI
19 jan. 2026 - 23:09,
Tribune
-D’accord, d’accord, je ne suis pas l’inventeur du concept. En 2018, sous la direction de Marine Ranouil et Nicolas Dissaux, paraissait l’ouvrage Il était une fois… Analyse juridique des contes de fées. Plus récemment, en 2022, Alice Cartau et votre serviteur ont mené dans les colonnes de DSIH une te...

Les Hôpitaux Confluence structurent leurs données de santé avec E-Confluence
16 jan. 2026 - 11:39,
Actualité
- Rédaction, DSIHLes Hôpitaux Confluence poursuivent leur transformation numérique avec la mise en place de E-Confluence, une plateforme dédiée à l’organisation et à l’exploitation des données de santé produites par leurs établissements. Cet outil marque une nouvelle étape dans la structuration des informations clin...
