Voici comment calculer le retour sur investissement (ROI) de la formation de votre personnel dans le cadre d’une campagne de sensibilisation à la sécurité.
Une étude du ministère de la Culture, des Médias et des Sports (DCMS) a révélé que 39 % des entreprises britanniques ont été victimes d’une cyberattaque en 2022. Le coût de ces incidents n’est pas négligeable. Le rapport du DCMS a estimé que l’impact financier d’une seule cyberattaque s’élevait à 19 400 £ pour une entreprise de taille moyenne. Sachant que les organisations sont quotidiennement exposées à la menace de cyberattaques, cela constitue un sujet de préoccupation.
La formation à la sensibilisation à la sécurité fait partie des mesures susceptibles de réduire la probabilité qu’une attaque se produise ou se poursuive. Cela se traduit par une réduction des coûts liés à une attaque. Mais le risque d’une attaque justifie-t-il le coût d’une telle formation ?
Éléments à prendre en compte lors du calcul du retour sur investissement d’une campagne de sensibilisation à la sécurité
Avant de vous demander si « la formation à la cybersécurité en vaut la peine », il convient de dresser un inventaire des éléments concernés. Une cyberattaque et/ou une fuite de données comporte de nombreux aspects, chacun entraînant des coûts tangibles et intangibles.
Voici un aperçu de certains des coûts les plus probables liés à une cyberattaque :
La perte financière directe liée à une cyberattaque
L’impact direct d’une cyberattaque dépend à la fois du type de cyberattaque et de l’organisation concernée. Par exemple, une attaque par rançongiciel peut impliquer le paiement d’une rançon (même si le paiement n’est pas une stratégie recommandée). Il convient toutefois de noter que le montant des rançons n’a cessé d’augmenter ces dernières années.
Un rapport publié par Nordlocker a révélé une augmentation de 78 % du montant moyen des rançons versées, ce qui porte le montant total à la somme astronomique de 541 010 dollars (478 000 livres sterling).
Les coûts liés à une cyberattaque peuvent également inclure les dommages causés aux systèmes informatiques, le temps consacré à la remédiation de l’attaque et les recours collectifs : au Royaume-Uni, le nombre de recours collectifs à la suite d’une cyberattaque a augmenté de 120 % entre 2018 et 2020.
Le coût moyen d’une cyberattaque doit être pris en compte dans le calcul du retour sur investissement d’une campagne de sensibilisation à la sécurité. Toutefois, ce calcul doit également tenir compte du nombre moyen d’attaques par an. Selon le rapport du DCMS, 31 % des entreprises et 26 % des associations caritatives estiment avoir été victimes d’au moins une attaque par semaine.
Temps et efforts nécessaires pour maîtriser une faille de sécurité
L’une des conséquences d’une cyberattaque réside dans la difficulté à identifier la chaîne d’exploitation et à limiter les dégâts. Un rapport d’IBM sur le coût d’une fuite de données a révélé que le délai moyen nécessaire pour contenir une fuite s’élevait à 277 jours en 2022. Pendant ce laps de temps, les coûts ne cessent de s’accumuler.
Vous devriez inclure les temps d’arrêt des systèmes informatiques, l’assistance informatique et les pertes de productivité estimées dans votre calcul du retour sur investissement d’une campagne de sensibilisation à la sécurité.
Atteinte à la réputation
L’atteinte à la réputation est intangible et, par conséquent, difficile à quantifier. Cependant, de nombreux facteurs entrent en jeu à la suite d’une cyberattaque ayant pour conséquence une réputation négative. Parmi ceux-ci figure une perte générale de confiance qui affecte les clients, le cours de l’action et l’écosystème des partenaires.
Cette perte de confiance est particulièrement grave lorsque les clients se détournent d’une entreprise à la suite d’une violation de données. Une étude menée par YouGov et Okta a révélé que 88 % des clients cessent de faire appel à une entreprise s’ils estiment qu’elle n’est pas digne de confiance en matière de protection de leurs données.
L’atteinte à la réputation est difficile à quantifier et, par conséquent, à intégrer dans un calcul, mais vous disposez peut-être de données sur la perte de clientèle issues de solutions de veille stratégique (BI).
Non-respect des règles et amendes
Plusieurs réglementations en matière de protection des données, notamment la norme PCI-DSS et le RGPD, imposent ou encouragent vivement le recours à des formations de sensibilisation à la sécurité. Par conséquent, si vous êtes en mesure de démontrer que votre organisation a recours à de telles formations, toute mesure coercitive réglementaire ultérieure devrait en tenir compte.
Toutefois, lors du calcul du retour sur investissement d’une campagne de sensibilisation à la sécurité, il convient de prendre en compte le coût habituel d’une amende pour non-conformité dans votre secteur.
Vous pouvez consulter le barème des amendes susceptibles d’être infligées à votre entreprise à la suite d’une violation de données sur le site de l’Information Commissioner’s Office (ICO). Par exemple, le RGPD britannique et la loi DPA de 2018 fixent le montant maximal de l’amende à 17,5 millions de livres sterling ou à 4 % du chiffre d’affaires annuel mondial.
Primes d’assurance
Selon une étude réalisée par l’assureur Hiscox, 63 % des entreprises britanniques prévoient de souscrire une cyberassurance dans le cadre de leur stratégie. De plus, les primes peuvent être réduites si vous diminuez les risques en formant vos collaborateurs à la sensibilisation à la sécurité.
Intégrez le coût de l’assurance cyber dans le retour sur investissement (ROI) d’une campagne de sensibilisation à la sécurité, dans le cadre des coûts globaux liés à votre stratégie de sécurité.
Parmi les autres coûts liés au retour sur investissement, on peut citer :
- Le coût du programme de formation et des fonctionnalités supplémentaires, telles que la formation par simulation de hameçonnage.
- Frais administratifs liés au fonctionnement du programme.
- Temps perdu du fait qu’un salarié effectue des exercices dans le cadre d’une formation à la sensibilisation à la sécurité.
Comment calculer le retour sur investissement des formations en cybersécurité
Une fois que vous disposez de ces données, vous pouvez les intégrer dans une formule de calcul du retour sur investissement. Heureusement, quelqu’un a déjà mené des recherches sur la manière d’élaborer une formule adaptée à la formation à la sensibilisation à la sécurité.
Une formule de calcul du retour sur investissement, dans sa forme la plus simple, se présente comme suit :
ROI = Calcul du retour sur investissement des campagnes de sensibilisation à la sécurité
Où :
R = Rendement (bénéfice)
I = Investissement (coût)
Cependant, comme vous l’avez constaté, le calcul des valeurs R et I en matière de sécurité est plus complexe, car il existe des coûts immatériels, tels que l’atteinte à la réputation.
Heureusement, les professionnels du secteur de la sécurité se sont penchés sur la complexité liée au calcul du retour sur investissement des formations en matière de sécurité. Michael Coden, par exemple, s’appuie sur des travaux de recherche menés par le Massachusetts Institute of Technology (MIT).
Une étude du MIT fonde le calcul des coûts liés aux incidents de cybersécurité sur les étapes menant à un tel incident. Ces travaux de recherche ont servi à élaborer un cadre appelé STACHT. À partir de ce cadre, Coden a mis au point une formule permettant de calculer le retour sur investissement (ROI) des projets de cybersécurité (tels que les campagnes de sensibilisation à la sécurité), qui prend en compte :
Où :
Probabilité de compromission (PC) = menaces multipliées par les vulnérabilités
Impact d’un compromis (IC) = valeur de l’actif multipliée par les pertes en cas de compromis
L’équation de Coden est utilisée pour chaque projet et permet d’estimer le retour sur investissement probable sur la base des prévisions.
Une approche plus qualitative du retour sur investissement des campagnes de sensibilisation à la sécurité
Sachez que le calcul du retour sur investissement (ROI) d’une formation à la sensibilisation à la sécurité ne se résume pas nécessairement à insérer des données dans une formule. Il peut suffire, au contraire, de dresser simplement la liste des coûts et des répercussions potentiels d’une cyberattaque pour démontrer que cette formation en vaut la peine.
Les êtres humains restent la cible privilégiée des cybercriminels ; s’il existe un moyen de briser ce cercle vicieux, cela se traduira naturellement par une réduction des risques et des coûts.
Un rapport Osterman a qualifié la formation à la cybersécurité d’« essentielle » pour prévenir les cyberattaques. Ce rapport souligne l’efficacité de la formation à la sécurité : les données montrent, par exemple, que seuls 11 % des employés étaient capables de repérer un e-mail de hameçonnage avant la formation, alors qu’après celle-ci, 64 % d’entre eux étaient en mesure de détecter les tentatives de hameçonnage. De telles données peuvent s’avérer très utiles pour évaluer l’intérêt de mener une campagne de sensibilisation à la sécurité.