Ce qu'une fuite de données vous coûte réellement, et deux leviers qui font baisser la facture

Un mardi matin, personne ne parvient à se connecter. L'ERP est lent, puis inaccessible. Vers midi, un message s'affiche : vos fichiers sont chiffrés. Ce qui suit n'est pas un problème technique que l'IT règle en vitesse. Cela se propage à toute l'organisation, et la facture grimpe chaque jour que cela dure.

La question que la direction et la finance posent alors est simple : combien cela nous coûte-t-il ? Et la question qui suit, la plus utile : sur quoi aurions-nous pu agir pour réduire ce coût ?

Une fuite de données n'est pas un coût pour le service informatique. C'est un coût pour l'entreprise, et il court tant que personne ne voit que quelque chose ne va pas.

La facture derrière une fuite de données

Le coût moyen d'une fuite de données a atteint 4,88 millions de dollars en 2024, soit 10 pour cent de plus que l'année précédente (IBM, 2024). C'est une moyenne mondiale, tous secteurs confondus, donc ne la prenez pas pour votre facture. Voyez-y plutôt la forme de la facture.

Cette facture compte peu de lignes au poste informatique. L'essentiel réside dans l'arrêt de l'activité, dans des personnes qui ne peuvent pas travailler, dans des commandes qui ne partent pas, dans des clients qui appellent sans obtenir de réponse. 70 pour cent des organisations touchées ont signalé une perturbation grave ou très grave (IBM, 2024). Ce n'est pas un coût de serveur. C'est du chiffre d'affaires qui s'en va tandis que les charges fixes continuent de courir.

Et cela dure. Les organisations ont mis en moyenne 292 jours pour détecter et contenir une fuite impliquant des identifiants volés (IBM, 2024). Près de dix mois pendant lesquels quelqu'un est dans vos systèmes avant que vous ne vous en rendiez compte. Le coût n'est pas un instantané pris le jour de l'incident. C'est une addition qui s'accumule sur ces mois.

Pour une entreprise de 150 personnes, le montant est plus faible, mais la proportion reste la même. Comptez une seule journée d'arrêt complet : des coûts salariaux qui courent sans production, des commandes que vous perdez, des clients qui appellent entre-temps un concurrent. Multipliez cela par le nombre de jours nécessaires pour redémarrer, et la facture informatique de la remise en état devient soudain une note de bas de page.

La réputation est le poste que personne ne budgète à l'avance et que tout le monde ressent après coup. Un client qui apprend que ses données ont été exposées chez vous n'attend pas vos explications. Il se demande s'il fera encore appel à vous lors du prochain appel d'offres. Cette perte ne figure sur aucune facture de remise en état, et elle est souvent plus lourde que tout ce qui y figure bel et bien.

Pourquoi le marché intermédiaire est la cible

Une entreprise de 150 personnes se trouve dans une zone inconfortable. Assez grande pour en valoir la peine, car il y a de l'argent, il y a des données, il y a des fournisseurs et des clients à atteindre par votre intermédiaire. Trop petite pour une équipe de sécurité qui surveille 24 heures sur 24. C'est précisément cette faille que les attaquants recherchent.

Les attaquants n'ont pas besoin d'être malins, ils ont surtout besoin d'être patients. Depuis des années, l'ENISA cite le rançongiciel et l'ingénierie sociale comme les menaces les plus lourdes pour les organisations européennes. Pas une faille zero-day exotique, mais un collaborateur qui clique sur un lien et un mot de passe encore valide appartenant à quelqu'un parti l'an dernier.

« Nous sommes trop petits, personne ne nous cible » est l'hypothèse la plus coûteuse du dossier. Beaucoup d'attaques ne sont pas ciblées, elles sont automatisées : des scanners qui sondent tout l'internet à la recherche d'un point faible et frappent là où ils en trouvent un. Et celui qui sert un client ou un fournisseur plus grand devient intéressant justement parce qu'il peut être le maillon le plus faible vers cette cible plus grande.

Depuis NIS2, il y a aussi un versant juridique. La directive place dans son champ d'application les entreprises à partir d'environ 50 collaborateurs, avec notamment une obligation de notification dans des délais stricts. Une fuite de données n'est donc plus quelque chose que vous traitez en interne et gardez sous silence. Vous devez pouvoir la voir, la démontrer et la notifier à temps. Celui qui ne le peut pas paie deux fois.

Deux leviers : moins à voler, voir plus vite

Deux choses déterminent l'ampleur des dégâts. La quantité de choses à voler, et la vitesse à laquelle vous voyez que quelqu'un est entré. Vous pouvez agir sur les deux, et aucune ne réclame une équipe de sécurité de dix personnes.

Moins à voler

La plupart des entreprises du marché intermédiaire se sont remplies d'outils en dix ans. Un logiciel distinct pour la facturation, un autre pour l'entrepôt, des dossiers épars dans le cloud, un CRM que les ventes ont un jour acheté elles-mêmes. Chacun de ces systèmes a son propre identifiant, sa propre liste d'utilisateurs, sa propre porte vers l'extérieur. Chaque porte est une porte que quelqu'un doit surveiller.

Le shadow IT aggrave la situation. Des outils que personne ne gère de manière centralisée, dont personne ne nettoie la liste d'utilisateurs, où le compte d'un collègue parti continue simplement d'exister. Ce ne sont pas des cas marginaux. C'est l'état moyen d'une entreprise qui a grandi de façon organique.

Moins de systèmes signifie moins de portes. Un seul endroit où se connecter avec SSO et MFA, au lieu de douze mots de passe distincts qui finissent sur des post-it. Une seule liste d'utilisateurs que vous gérez vraiment. Celui qui s'en va perd en une seule opération l'accès à tout, et non aux sept systèmes auxquels l'IT pense sur le moment.

Une seconde facture se cache en dessous. Douze systèmes, ce sont douze contrats, douze fois un prix par utilisateur qui grimpe à chaque embauche, douze fournisseurs qui évoluent chacun dans leur propre direction. La consolidation ne réduit pas seulement la surface d'attaque, elle fait aussi baisser cette pile de coûts fixes.

Voir plus vite

Les 292 jours du rapport d'IBM ne sont pas une loi de la nature. Ils résultent de l'incapacité à voir. Si les journaux sont répartis sur dix systèmes, ou conservés nulle part, alors personne ne remarque qu'un compte se connecte à trois heures du matin depuis l'étranger et vide la base de données clients.

Sur une seule plateforme, cette activité se trouve à un seul endroit. Une anomalie ressort parce qu'il y a de quoi la comparer. L'IA de sécurité et l'automatisation ont réduit le coût moyen d'une fuite de données de 2,2 millions de dollars (IBM, 2024), et cela tient presque entièrement au fait qu'elles raccourcissent le délai de détection. Chaque jour gagné est un jour de dégâts en moins.

Voir vite, c'est la moitié. Pouvoir contenir vite, c'est l'autre moitié. Cela suppose que vous sachiez quels systèmes sont reliés entre eux, où se trouvent vos sauvegardes et si elles sont assez isolées pour survivre à une attaque par rançongiciel. Dans un paysage éparpillé, on en est réduit à deviner. Sur une seule plateforme, c'est une carte que vous connaissez.

Vous n'avez pas besoin d'une équipe qui surveille des écrans 24 h sur 24 et 7 jours sur 7 pour actionner ces deux leviers. Vous avez besoin d'un environnement assez restreint pour qu'on en garde la vue d'ensemble, et qui enregistre de lui-même qui a fait quoi.

Ce qu'un audit met au jour

Avant de construire ou d'acheter quoi que ce soit, il vaut la peine de savoir ce qui tourne vraiment aujourd'hui. Un audit livre presque toujours la même image, et c'est rarement celle qui figurait sur le papier.

• Shadow IT : des abonnements et des outils achetés en dehors de l'IT, payés via une carte privée ou un budget de département, sans que personne au centre ne sache qu'ils existent.
• Comptes morts : des identifiants de personnes parties il y a des mois ou des années et qui ont toujours accès. Chacun d'eux est une clé qui traîne dehors.
• Aucune journalisation centrale : des systèmes qui ne consignent pas qui a fait quoi, ou qui le consignent à un endroit que personne ne lit. Un incident que vous n'avez pas enregistré, vous ne pouvez pas le reconstituer.
• Données en double : les mêmes données clients dans quatre systèmes. Quatre fois plus à faire fuiter, quatre fois plus à protéger.

Aucune de ces choses ne figure dans le devis d'un fournisseur. Elles remontent lors d'un audit IT FinOps ou de sécurité, et le plus souvent la conclusion est que le problème n'est pas un manque de sécurité, mais un trop grand nombre d'éléments épars à sécuriser.

Ce que la propriété change

L'alternative à dix outils n'est pas un grand fournisseur unique dont vous dépendez. Cela revient à échanger un problème contre un autre. L'alternative est une seule plateforme que vous possédez vous-même.

La propriété est ici littérale. Le code se trouve dès le premier jour dans votre propre dépôt, sur un cloud européen, sans licence par utilisateur qui grandit avec vos effectifs. SSO et MFA ne sont pas un module complémentaire, ils sont dans les fondations. La piste d'audit se trouve à un seul endroit, prête pour l'obligation de notification qu'impose NIS2. Celui qui part perd l'accès à tout en même temps, parce qu'il n'y a plus de « tout » éparpillé.

C'est la différence entre la sécurité comme une couche que vous posez par-dessus, et la sécurité comme une propriété de la façon dont le système est construit. Chez YK Technologies, nous construisons cela par vagues, avec un go/no-go à chaque transition, pour que vous ne soyez jamais bloqué par un choix fait il y a un an.

Une fuite de données vous coûte le plus le jour où vous ne pouvez plus rien y faire. Tous les choix qui font baisser la facture, vous les faites avant. Moins à voler, et voir plus vite. Les deux commencent par savoir ce que vous faites tourner aujourd'hui, et non par ce qui figure dans la brochure.