Le taux de couverture MFA est l'indicateur le plus reporté en comité exécutif et l'un des moins informatifs. Il mesure un déploiement et se lit comme un niveau de sécurité. Ce n'est pas une nuance de vocabulaire : les deux grandeurs peuvent évoluer en sens opposé, et c'est ce qui arrive.
Le paradoxe des 100 %
Considérez une organisation qui passe de 60 % à 100 % de comptes couverts. Trois choses ont pu se produire pendant la même période.
- Pour atteindre les 40 % restants, la méthode la plus acceptable a été retenue : l'envoi d'un code par SMS, classé « restricted » par le NIST SP 800-63B, c'est-à-dire déconseillé.
- Pour absorber les blocages prévisibles, un parcours de secours par courriel a été ouvert.
- Pour limiter la friction, la durée de vie des sessions a été allongée.
Le taux affiche 100 %. Le coût d'entrée pour un attaquant, lui, est descendu au niveau de la boîte mail. L'indicateur a progressé pendant que la propriété se dégradait, et aucune anomalie n'apparaît dans le tableau de bord.
Ce n'est pas un cas d'école : c'est la conséquence mécanique d'un objectif exprimé en couverture.
Trois défauts, pas un seul
- L'agrégation de méthodes hétérogènes. Un compte protégé par une clé physique et un compte protégé par un code SMS comptent pour un chacun. La moyenne d'un facteur lié à l'origine et d'un facteur rejouable n'a pas de signification : sur une chaîne, c'est le maillon faible qui détermine le niveau, pas la moyenne.
- La monotonie. Un taux de couverture ne baisse presque jamais. Il ne peut donc pas signaler une dégradation, et un indicateur incapable de mauvaise nouvelle ne sert pas au pilotage.
- La confusion moyen / propriété. La couverture décrit ce que l'organisation a fait. Elle ne décrit pas ce que le système accepte, qui est la seule question intéressante pour un attaquant.
Trois critères pour trier ses indicateurs
Avant d'ajouter une ligne à un tableau de bord, trois questions suffisent.
- Peut-il baisser ? Un indicateur qui ne peut que progresser mesure une activité, pas un état.
- Discrimine-t-il ? Deux situations que tout sépare en pratique doivent donner deux valeurs différentes.
- Est-il réfutable ? Existe-t-il une observation qui montrerait que la valeur affichée est fausse ? Sans cela, l'indicateur est une déclaration.
Le taux de couverture échoue aux trois.
Ce qui remplace utilement
| Indicateur courant | Ce qu'il masque | Version décidable |
|---|---|---|
| Taux de comptes MFA | la méthode réellement acceptée | part des parcours où aucune méthode rejouable n'aboutit |
| Nombre d'incidents d'identité | les incidents non détectés | délai entre compromission supposée et détection |
| Sessions actives | ce qu'une session permet | part des actions irréversibles exigeant une preuve propre |
| Comptes à privilèges recensés | les privilèges permanents | part des accès privilégiés accordés à la demande, avec expiration |
| Conformité déclarée | l'écart entre politique et configuration | délai de production d'un dossier de preuve sur une opération tirée au hasard |
La dernière ligne est la plus révélatrice et la moins coûteuse à mettre en place : demandez le dossier d'une opération réalisée trois mois plus tôt et mesurez le délai de réponse. Un délai long ne signale pas une équipe lente, il signale une architecture qui ne rattache pas la preuve à l'acte — le mécanisme est développé dans la valeur probante d'un journal.
Ce qu'un comité exécutif devrait demander à la place
Quatre chiffres, tenables sur une page, et chacun capable de se dégrader.
- Le niveau du chemin le plus faible, par parcours sensible, exprimé en une ligne : ce qu'un attaquant doit détenir ou savoir pour aboutir.
- La proportion d'actions irréversibles couvertes par une preuve propre, distincte de l'ouverture de session.
- Le délai réel de révocation, mesuré et non contractuel.
- Le délai de production d'un dossier de preuve, mesuré sur un tirage aléatoire.
Aucun de ces quatre ne se dérive d'un annuaire : ils supposent un test. C'est précisément ce qui les rend utiles, et c'est l'objet du protocole de test de la MFA. Leur format de présentation est traité dans présenter le risque d'authentification à une direction.
Pourquoi un meilleur tableau de bord ne suffit pas
Un indicateur adossé à un objectif individuel cesse de mesurer ce qu'il mesurait : il devient la cible et l'organisation optimise l'affichage. C'est le mécanisme qui a transformé la couverture MFA en indicateur creux, et il s'appliquera au prochain.
La seule protection connue est de faire porter l'engagement sur une propriété testable plutôt que sur une valeur, et d'accepter que le test soit conduit par quelqu'un qui n'a pas intérêt au résultat. Une propriété se vérifie contradictoirement ; un chiffre se produit.
Sur le fond, les indicateurs 2 et 4 posent la même question : le système sait-il établir qu'une opération a été voulue, et pas seulement qu'une session était ouverte ? C'est ce que cherche à établir le 4ᵉ facteur cognitif.
Les limites de cette critique
Elle ne rend pas la couverture inutile : au démarrage d'un programme, savoir combien de comptes ne sont protégés par rien est une information nécessaire. Le défaut apparaît quand l'indicateur survit à sa phase utile et devient l'objectif.
Elle ne fournit pas non plus de valeur cible. Aucun des quatre indicateurs proposés n'a de seuil universel, et prétendre le contraire reproduirait l'erreur dénoncée : c'est l'arbitrage entre exposition et friction qui fixe la cible, et il se documente — voir arbitrer entre sécurité et friction.
FAQ
Comment annoncer à un comité que l'indicateur historique n'était pas fiable ?
En le conservant et en ajoutant une ligne qui le contredit quand c'est le cas. Retirer un indicateur suivi depuis des années crée une suspicion ; le confronter à une mesure de propriété produit la discussion utile sans mettre en cause le passé.
Ces indicateurs demandent-ils un outillage particulier ?
Trois des quatre se mesurent par un test manuel sur des comptes dédiés, sans achat. Le délai de production d'un dossier de preuve ne demande qu'un tirage aléatoire et un chronomètre — c'est son principal mérite.
À quelle fréquence les rafraîchir ?
Après chaque changement de configuration du fournisseur d'identité, chaque ajout d'application et chaque évolution d'un parcours de reprise. Un rythme calendaire trimestriel passe systématiquement à côté des trois moments où une méthode faible se réintroduit.
Qui doit produire la mesure ?
Pas l'équipe qui porte l'objectif. La séparation entre celui qui déploie et celui qui teste n'est pas une question de confiance : c'est ce qui rend le chiffre lisible par un tiers, auditeur ou assureur.
Aller plus loin : pilier : authentification cognitive · tester sa MFA · taxonomie de la preuve · ce qu'attend un assureur cyber