Combien coûte une fuite de données à une petite entreprise – et où naissent les coûts

À la question « combien coûte une fuite de données ? », on répond souvent par une grande moyenne qui ne dit rien à une entreprise de vingt personnes. En réalité, le coût prend rarement la forme d’une seule grosse facture. C’est une série de petites lignes qui arrivent en même temps – et précisément au moment où l’organisation a le moins de capacité pour y faire face.

Voici où les coûts s’accumulent, dans l’ordre où ils deviennent généralement visibles.

1. L’indisponibilité

La première chose qui se produit lors d’une attaque par rançongiciel ou d’une violation grave est l’arrêt des systèmes. Impossible de prendre des commandes, d’envoyer des factures, la production s’arrête. Pour une entreprise à faible marge, deux jours d’arrêt constituent souvent le poste le plus important – plus que la restauration elle-même.

Calculez-le avant que cela n’arrive : combien coûte une journée sans vos deux systèmes les plus importants ? Le montant est généralement désagréablement concret.

2. L’investigation et la restauration

Comprendre ce qui s’est passé demande le temps de quelqu’un qui sait le faire. Cela implique souvent une aide externe : analyse forensique, restauration depuis une sauvegarde, remplacement des comptes compromis, rotation des clés et des certificats. Même si la sauvegarde fonctionne, la restauration consomme du temps interne qui aurait été consacré aux clients.

Question de contrôle : quand avez-vous testé pour la dernière fois une restauration de sauvegarde, et combien de temps a-t-elle pris ?

3. Les clients perdus et la confiance

Les clients qui restent une semaine sans réponse commencent à chercher des alternatives. Les clients professionnels ayant leurs propres exigences de conformité peuvent vous classer comme risque fournisseur – ce qui signifie en pratique des audits, des modifications de contrat ou, au pire, des contrats perdus.

La confiance est le poste le plus difficile à chiffrer et le plus difficile à reconstruire. C’est pourquoi un travail de sécurité démontrable a une valeur commerciale, et pas seulement un coût.

4. Les obligations réglementaires

Selon le secteur et le cas, des obligations de notification peuvent s’activer – à l’autorité de contrôle, aux personnes concernées et, dans certains cas, aux partenaires. La notification a des délais (pour NIS2, par exemple 24 heures pour l’alerte précoce et 72 heures pour la notification) et exige de pouvoir décrire ce qui s’est passé. Si vous ne pouvez pas le faire, l’investigation devient plus longue et plus coûteuse.

Ajoutez l’assistance juridique, la communication et d’éventuelles sanctions ou demandes d’indemnisation.

5. Ce qui est rarement pris en compte

• Le temps de la direction. Des semaines de concentration qui auraient servi au développement de l’activité.
• Le temps des collaborateurs. Les mêmes personnes qui devraient maintenir l’activité traitent l’incident.
• Les conditions d’assurance. L’assurance couvre rarement tout, et les primes changent après une déclaration.
• Les projets reportés. Tout le reste s’arrête.

Ce qui réduit réellement les coûts

Aucune mesure ne vous rend invulnérable. Mais certaines changent la façon dont un incident se déroule :

1. Le MFA sur les comptes administratifs et la messagerie. Ferme le point d’entrée le plus utilisé.
2. Une sauvegarde testée avec un temps de restauration connu. Transforme une demande de rançon en détail gênant.
3. Un inventaire des actifs publics. Permet de savoir ce qui est exposé avant que quelqu’un d’autre ne le dise.
4. Un plan d’incident d’une page. Des noms, des numéros et les trois premières actions.
5. Des journaux permettant de répondre à « que s’est-il passé ? ». Sans eux, toute investigation coûte plus cher.

La perspective qui tranche généralement

La plupart des entreprises dépensent plus pour gérer les conséquences d’un incident que pour le prévenir. Ce n’est pas une question technique – c’est une question de priorités. La sécurité continue consiste à placer un petit coût régulier du bon côté, plutôt qu’à payer plus tard un coût important et irrégulier.

Commencez par calculer le coût d’une journée d’indisponibilité. Ce chiffre rend généralement le reste de la discussion beaucoup plus simple.