Retour

Cybersécurité : un coût générateur d’économie

 

Cybersécurité : un coût générateur d’économie

 

Pour les organisations, le déploiement de solutions de cybersécurité représente un coût non négligeable et pourtant indispensable. L’enjeu est d’éviter les cyberattaques (internes ou externes à l’organisation) et donc leurs conséquences financières (parmi d’autres). Ce coût est néanmoins à mettre en perspective avec les économies potentiellement réalisées lorsqu’une cyberattaque échoue grâce aux solutions de cybersécurité déployées par l’organisation cible.

Dans leur neuvième étude annuelle « The cost of Cybercrime » [01], Accenture Security et le Ponemon Institute se sont attelés à calculer le coût des cyberattaques pour les organisations ainsi que l’économie réalisée via le déploiement de certaines technologies de cybersécurité. Ces chiffres sont à prendre avec du recul, l’étude étant réalisée auprès de seulement 355 organisations à travers le monde. Cependant, ils nous permettent d’avoir une idée des sommes en jeu, des tendances mais aussi de l’intérêt financier de la cybersécurité.

 

Des attaques qui coûtent de plus en plus cher aux organisations

L’étude nous donne une meilleure idée de l’importance des cyberattaques, plus nombreuses d’année en année, probablement aussi parce qu’elles sont mieux détectées, et exploitant en moyenne 145 failles de sécurité au sein des organisations en 2018 (+11% entre 2017 et 2018), pour un coût global annuel toujours plus important, de l’ordre de 13 millions d’USD (+12% entre 2017 et 2018).

Dans le détail, c’est le secteur bancaire qui paye le plus lourd tribut, avec un coût annuel moyen des cyberattaques évalué à 18,37 millions d’USD, suivi par les utilities (fournisseurs d’eau, de gaz, d’électricité etc. (17,84M USD)) et les éditeurs de logiciels (16,04M USD). Les organisations des deux catégories les plus touchées, secteur bancaire et utilities correspondent également bien souvent, en France, aux OIV (Opérateur d’Importance Vitale) [02], soumis à certaines réglementations visant à renforcer la sécurité de leurs systèmes d’information, ce qui, à la lecture de ces chiffres, s’avère indispensable.

Du côté des cyberattaques, ce sont les malwares qui, parmi le large éventail de cyberattaques recensées, coûtent le plus cher aux organisations (2,6M USD par an en moyenne) tandis que les ransomwares (ou rançongiciels en français) et les attaques perpétrées par des collaborateurs internes à l’organisation sont celles qui progressent le plus, de respectivement 21% (à 0,6M USD) et 15% (à 1,6M USD).

 

Quelles technologies pour réduire ce coût ?

Face à ces coûts, l’étude met en exergue les économies générées par la mise en œuvre de différentes technologies de cybersécurité (en soustrayant le coût d’implémentation d’une technologie du montant des économies générées par celle-ci) ainsi que le taux d’adoption de ces technologies dans les organisations étudiées. Sur les 9 technologies étudiées, toutes, à l’exception d’une, présentent une économie nette positive, et pour 4 d’entre elles, celle-ci dépasse le million de dollars US :

  • Security intelligence and threat sharing, technologie adoptée par deux tiers des organisations étudiées et générant une économie nette de 2,26M USD.
  • Automation, AI and machine learning, adoptée par 38% des organisations de cette étude et générant une économie nette de 2,09M USD.
  • Advanced identity and access management, mis en place par 63% des organisations sondées et générant une économie nette de 1,83M USD.
  • Cyber and user behavior analytics, technologie adoptée par moins d’une organisation sur trois et générant une économie nette de 1,72M USD.

Au-delà des chiffres qui sont extrapolés et donc approximatifs, on voit bien ici que malgré leurs intérêts flagrants, nombre d’organisations restent encore en retard en termes d’implémentation de technologies de cybersécurité leur permettant pourtant de réaliser de substantielles économies, notamment en raison de la difficile évaluation coûts / bénéfices. Si les organisations ont aujourd’hui bien compris la nécessité d’investir dans la cybersécurité, les budgets alloués impliquent néanmoins de devoir faire des choix et de prioriser certains chantiers par rapport à d’autres. Les quatre technologies susmentionnées se positionnent ainsi comme des incontournables pour toute organisation visant à améliorer la sécurité de son SI ainsi qu’à réduire les coûts liés aux cyberattaques.

Celles-ci sont intégrées à diverses solutions de cybersécurité, dont les solutions Systancia, notamment au sein de :

  • Systancia Cleanroom (anciennement IPdiva Cleanroom), solution de PAM (Privileged Access Management), qui met à disposition des administrateurs un poste stérile jetable, intégrant, des mécanismes d’authentification continue [03 basée sur l’Intelligence Artificielle ], permettant une analyse en temps réel du comportement des utilisateurs à pouvoir pour garantir l’identité de l’administrateur et bloquer la session en cas de prise de contrôle par une tierce personne. Systancia Cleanroom permet également, via des règles et des alertes définissant les autorisations des utilisateurs à pouvoir, de bloquer en temps réel leurs actions lorsque celles-ci peuvent conduire à une dégradation du SI.
  • Systancia Identity (anciennement Avencis Hpliance), solution d’IGA (Identity Governance and Administration), qui permet une gestion performante des identités de tout l’écosystème d’une organisation et des habilitations à toutes les applications, offrant notamment des fonctionnalités de certification de droits et séparation des droits (SoD).

En définitive, s’il est parfois difficile, pour les organisations, d’évaluer les économies qu’elles tirent de l’implémentation de solutions de cybersécurité, celles-ci sont bien réelles et loin d’être négligeables ; et compte tenu des tendances évoquées, avec une progression des cyberattaques de plus de 10%, aussi bien en volume qu’en valeur (perdue) pour les organisations en l’espace d’une année seulement, la cybersécurité apparaît aujourd’hui comme un investissement vital pour celles-ci. Guillaume Pourpard, directeur général de l’ANSSI, a finalement assez bien résumé la situation : « oui, la sécurité a un coût, mais ce n’est pas grand-chose comparé au prix à payer lorsqu’on est victime d’une attaque informatique. »

 

Références

[01] The cost of cybercrime

[02] La sécurité des activités d’importance vitale

[03] Authentification continue en Cybérie