Des milliers de risques et aucune idée par où commencer : la refonte de Risk Assessment dans 1Secure™

On est lundi matin. Vous ouvrez votre tableau de bord de sécurité, café à la main, et voici ce que vous voyez : 573 risques élevés.

C'est grave ? Probablement. Est-ce pire que le mois dernier ? Difficile à dire. Lequel corriger en premier ? Il va falloir un moment pour le savoir.

C'est le point de départ de l'un des défis UX les plus complexes sur lesquels j'ai travaillé pour 1Secure, la plateforme SaaS de Netwrix dédiée à la sécurité des données et des identités. Les données étaient exactes, mais un chiffre dépourvu de sens n'est que du bruit. Nous nous sommes donc demandé : « Comment transformer ce bruit en quelque chose d'exploitable ? »

Le test des 30 secondes

Au début du projet, nous nous sommes fixé un objectif inconfortable : un administrateur sécurité doit comprendre sa posture en moins de 30 secondes. Pas « retrouver l'information en fouillant ». La comprendre dès le chargement de la page, café toujours à la main.

Cette contrainte a écarté certaines des solutions les plus évidentes, comme un simple décompte des risques. Compter n'est pas comprendre : il échoue donc immédiatement au test.

Nous sommes donc passés à un score de risque avec une échelle claire, des zones claires et une phrase honnête qui vous indique où vous en êtes.

Risk Assessment s'appuie sur PingCastle, un outil en lequel les équipes de sécurité ont confiance depuis des années pour savoir où en est leur Active Directory. L'analyse sous-jacente est solide : nous avons donc conservé ce qui fonctionnait et repensé la façon de la communiquer. Le score est pondéré, ce qui compte plus qu'il n'y paraît. Une détection de gravité élevée touchant 12 comptes administrateurs pèse bien plus qu'un objet ordinateur obsolète dans une OU de préproduction : le chiffre reflète donc l'impact, pas seulement le volume.

Et nous ne nous sommes pas contentés d'indiquer où l'on se trouve. Nous avons aussi montré où l'on va :

Get +12 pts to reach Fair

Nous avons transformé un chiffre en prochaine étape. Vous voyez exactement combien de points vous séparent de la zone suivante et quelles corrections vous y mènent.

Votre progression est essentielle

Voici ce que nous avons entendu encore et encore lors de nos recherches : le travail de sécurité est incessant et parfois invisible. Vous corrigez 12 problèmes et personne ne le remarque. Mais dès qu'un 13e survient, tout le monde le voit.

Nous avons donc rendu la progression impossible à manquer. Le score évolue à mesure que vous remédiez aux risques, et chaque correction apporte un point de valeur visible. Les tendances montrent si vous progressez ou si vous reculez par rapport au mois dernier.

Focus center : la fonctionnalité qui a conquis les utilisateurs

Si je devais choisir l'élément le plus validé de la refonte, ce serait celui-ci.

Focus center répond à la question avec laquelle chaque administrateur ouvre la page : « Parmi tout ce qui ne va pas, que dois-je faire maintenant ? » Pas de liste de 573 éléments, ni de filtre de gravité à configurer. À la place, il affiche la poignée d'éléments ayant le plus d'impact sur votre posture, avec pour chacun ce que vous coûtera le fait de l'ignorer et ce que vous gagnerez en le corrigeant.

Les utilisateurs l'ont adoré parce qu'il supprimait une décision dont ils ne voulaient pas. Établir des priorités est épuisant : nous l'avons donc fait pour eux.

Nous avons aussi ajouté des badges de contexte, New et Regressed, car « cela vient d'apparaître » et « cela est revenu alors que vous l'aviez déjà corrigé » sont des situations très différentes sur le plan émotionnel et opérationnel, et elles méritent des réactions différentes.

Le saviez-vous ? Transformer les données en phrases

Les chiffres vous disent ce qui se passe, mais les phrases vous disent ce que cela signifie.

• 3 comptes administrateurs ont des mots de passe vieux de plus de 3 ans et restent actifs sur plusieurs tenants.
• Les risques liés à l'authentification et aux protocoles ont augmenté de 18 % ce mois-ci, la catégorie de risque qui progresse le plus vite.

Ce sont des éléments que vous pouvez apporter directement en réunion avec votre RSSI sans créer la moindre diapositive. C'était un vrai besoin utilisateur que nous entendions sans cesse : les rapports de posture prennent des heures, et personne n'aime traduire manuellement des tableaux de bord en langage de direction. Cette fonctionnalité rappelle que les meilleures idées naissent quand le design et le produit s'attaquent ensemble à un problème.

Chaque risque, sous l'angle qui vous importe

Comprendre sa posture d'un coup d'œil est une chose. La traiter en est une autre.

Nous regroupons All risks par catégorie par défaut, car une liste plate de centaines de constats n'indique pas où se situe le problème, alors qu'une liste de domaines le fait. Identité et privilèges à hauteur de 35 % de votre score est une tout autre conversation que 7 % liés à des lacunes de journalisation, et ce sont souvent des équipes différentes qui doivent les corriger. Chaque catégorie montre aussi son évolution depuis le mois dernier, pour que vous voyiez à la fois ce qui progresse et ce qui pèse.

La catégorie n'est pourtant pas la grille de lecture de tout le monde. Un architecte sécurité raisonne plutôt à partir d'un référentiel, un responsable conformité à partir d'une réglementation. Ils sont donc à un clic : mêmes risques, autre perspective. C'était notre hypothèse de départ, et nous voulons la valider par l'usage réel.

Et ce n'est que la surface

Ouvrez n'importe quel risque et vous obtenez toute l'histoire : quel est réellement le problème, pourquoi il compte et ce qu'il affecte. Mais surtout, vous obtenez une issue : soit une remédiation prête à l'emploi à appliquer directement, soit une conversation avec l'IA pour explorer d'autres approches lorsque la correction standard ne convient pas à votre environnement.

Identifier un risque est la partie facile ; le résoudre, c'est là que se trouve le travail.

Ce que j'ai retenu de ce projet

Le plus difficile dans ce projet a été de résister à l'envie de tout montrer.

Chaque partie prenante avait un graphique qu'elle adorait. Chaque jeu de données avait une histoire à raconter. Mais chaque élément que nous envisagions d'ajouter devait passer la même épreuve : « Cela aide-t-il à comprendre sa posture plus vite ? »

Une part étonnante du bon design consiste à soustraire.

Nous avons livré un tableau de bord qui vous dit où vous en êtes, où vous allez, quoi corriger en premier et le chemin parcouru, le tout en moins de 30 secondes.

Ce qui est, à mon avis, le moins qu'une équipe de sécurité mérite un lundi matin.

Commencez avec 1Secure Risk Assessment

Découvrez 1Secure Risk Assessment en action. Explorez l'expérience avec des données sandbox ou connectez votre propre environnement grâce à notre essai guidé, simple à prendre en main.