Les violations de données coûtent de plus en plus cher aux entreprises victimes

4,35 millions de dollars, soit environ 4,27 millions d’euros. C’est le coût moyen des 550 violations de données étudiées dans le rapport annuel d’IBM Security, un nouveau record pour la 17e édition du rapport, une augmentation de 2,7 % par rapport à 2021 et une augmentation de 12,7 % par rapport à 2020.

Pour arriver à ce chiffre, les chercheurs ont ajouté le coût de la détection de la fuite, le coût de la notification aux autorités et aux victimes, le coût de la réponse à l’incident, et enfin une estimation du chiffre d’affaires perdu lié à l’arrêt temporaire d’activité et à l’atteinte à la réputation. inciter les entreprises réticentes à investir dans la cybersécurité à le faire pour éviter de tels incidents ou au moins en réduire les conséquences.

60 % des entreprises répercutent les coûts de fuite sur le prix

Le rapport d’IBM se concentre sur les violations les plus graves, celles liées aux données bancaires ou médicales. Les deux types de données personnelles sont considérées comme sensibles, ce qui soumet leur stockage et leur traitement à des conditions de sécurité particulièrement élevées – et donc à des coûts plus élevés. Les fuites étudiées contenaient toutes moins de 102 000 entrées, ce qui en faisait des fuites moyennes et loin des “fuites géantes” de plus d’1 million d’entrées.

19% des incidents sont survenus après l’utilisation d’identifiants compromis ou volés, toujours la première source de fuites, un peu avant le phishing [l’envoi d’emails piégés]Le rapport rappelle également que les fuites de données sont des incidents graves qui mettent en moyenne 207 jours pour identifier l’emplacement d’une défaillance du système, suivis de 70 jours pour y remédier et contenir la fuite.

Dans l’édition 2022, le rapport met en évidence deux nouvelles tendances inquiétantes : 83 % des organisations interrogées ont subi plus d’une violation de données – parfois du même attaquant – en un an, avec 60 % de répercussion. Le prix proposé aux clients pour les violations de coûts supplémentaires causées par des violations de données. En d’autres termes, l’augmentation et la sophistication des cyber-attaques est une tendance de fond qui affecte de plus en plus les entreprises et affecte leurs activités quotidiennes.

Ransomware, double peine

11 % des organisations interrogées (une augmentation de 48 % par rapport à 2021) ont connu le pire scénario possible : une attaque par ransomware. Ce type d’attaque crée non seulement des problèmes d’intégrité des données (et donc des fuites), mais perturbe également (généralement partiellement, parfois complètement) un réseau informatique, entraînant des coûts et du temps supplémentaire pour le reconstruire. En France, deux exemples récents ont exposé les conséquences financières des ransomwares. La semaine dernière, l’entreprise alsacienne de fabrication de cloisons Clestra a été rachetée, notamment à cause d’une attaque par ransomware en avril, dont la CGT estime le coût.Deux ou trois millions d’euros“.

En début d’année, le Centre Hospitalier de Dax a partagé son retour d’expérience sur l’attaque par ransomware subie en février 2021. Le bilan quantitatif au bout d’un an est accablant. D’une part, le coût de 2,35 millions d’euros se répartit entre les prestations de cybersécurité, la reconstruction du réseau informatique, ou encore le coût des ressources humaines (renforcement des effectifs, heures supplémentaires) nécessaires au maintien du niveau d’activité de l’hôpital. D’autre part, les pertes de revenus provenant de la radiothérapie, de l’imagerie et des analyses de laboratoire sont estimées à 2,34 millions d’euros. Selon le rapport d’IBM, le secteur de la santé a de loin le coût le plus élevé des violations, avec une perte moyenne de 10 millions de dollars dans l’échantillon étudié.

Les mesures de sécurité réduisent les coûts

La bonne nouvelle est que le rapport a également conclu que le fait de disposer d’une équipe et d’un plan de réponse aux incidents dédiés et à jour a permis aux organisations concernées de réduire leurs coûts de violation de données de près de moitié, par rapport à celles qui n’en avaient pas.

L’étude ajoute que l’utilisation du logiciel XDR (Extended Detection Response) – plus communément appelé logiciel antivirus, même s’il est plus avancé – a permis à 44 % des entreprises impliquées de réduire leurs temps de détection et de réponse de 29 jours, soit plus de 10 %, pour données Cédez le passage.

Ces deux métriques nous rappellent que les mesures de cybersécurité ne servent pas seulement à prévenir les incidents, mais aussi à réduire leur impact. Mais encore faut-il avoir un budget pour les mettre en place correctement ?