Évaluation du coût élevé des violations de données en 2021

Lorsque l’on évoque les fuites de données, on a souvent tendance à ne mentionner que les « dossiers » qui ont été exposés. Le problème, c’est qu’en ne tenant pas compte du coût de ces fuites, on manque de contexte. Après tout, il existe peu d’illustrations plus claires de l’impact sur l’activité que l’ampleur des répercussions sur le résultat net.

Dans cet article, nous aborderons les points suivants :

• Pourquoi les fuites de données se produisent-elles ?
• Principaux facteurs à l’origine des coûts liés aux violations de données.
• Coût moyen d’une fuite de données.
• Exemples de fuites de données survenues en 2020 et 2021.
• Quel pourrait être le coût de ces fuites de données ?
• Ce que votre organisation peut faire pour atténuer cet impact.

(Si vous manquez de temps, vous trouverez un résumé « tl;dr » à la fin de l’article)

Pourquoi se produisent les fuites de données ?

Nous distinguons trois grandes catégories de causes de fuites de données : l’erreur humaine, les attaques malveillantes et les dysfonctionnements du système.

Mais, grâce à un rapport d’IBM Security sur les coûts liés aux fuites de données, nous pouvons constater que l’aspect technique est rarement le seul responsable. Non, dans 75 % des cas, c’est l’élément humain qui utilise cette technologie qui est en cause. Que ce soit par erreur humaine ou à la suite d’une forme quelconque d’attaque malveillante.

Source : Rapport 2020 sur le coût des violations de données, IBM Security

En examinant de plus près la catégorie des attaques malveillantes, on constate que les configurations cloud non conformes et les mots de passe faibles sont en grande partie responsables. Ces deux facteurs peuvent en réalité être atténués grâce à des formations régulières de sensibilisation à la sécurité et à une politique de sécurité efficace.

Source : Rapport 2020 sur le coût des violations de données, IBM Security

La complexité des systèmes de sécurité modernes a sans aucun doute accru les défis auxquels sont confrontées les équipes de sécurité. Les différents services de l’entreprise devant recourir à davantage de logiciels externes, cela ouvre un nouveau vecteur de menace contre lequel il faut se prémunir. Il est également difficile de ne pas considérer les attaques par hameçonnage comme un vecteur de menace potentiel, puisqu’elles représentent 14 % des violations de données malveillantes.

Calcul du coût des violations de données

De nombreux facteurs doivent être pris en compte si l’on souhaite estimer le coût probable d’une fuite de données, mais, fondamentalement, on peut les répartir en quatre postes de coûts principaux :

• Détection et remontée d’informations: il s’agit de toutes les mesures prises par une entreprise pour détecter une violation, comme les services d’audit, par exemple.
• Avis: dès qu’une organisation a constaté l’existence d’un problème, elle doit communiquer non seulement avec les personnes concernées, mais également avec les autorités de contrôle, les experts juridiques et les consultants en matière de réglementation.
• Perte d’activité: selon la nature de la violation, une organisation peut subir des temps d’arrêt qui pèsent sur son chiffre d’affaires ; à plus long terme, elle devra faire face à une atteinte à son image de marque.
• Réaction a posteriori : une fois que la violation s’est produite et que les utilisateurs concernés ont été informés, surviennent alors un afflux de demandes, d’éventuels frais juridiques, des amendes, ainsi que, peut-être, des offres et des remises destinées à restaurer un peu de cette réputation entachée.

Outre ces principaux postes de dépenses, il existe quelques autres facteurs dont vous pouvez tenir compte. Par exemple, le coût par dossier varie selon les pays et les secteurs d’activité, les dossiers médicaux américains étant les plus onéreux.

Il y a ensuite la nature même des données. Les informations personnelles identifiables (PII) des clients constituent le type de données le plus coûteux et, de loin, le plus souvent compromis. Mais dans l’ensemble, on constate que le coût moyen par enregistrement, qu’il s’agisse de petites ou de grandes fuites de données, s’élève à la somme inquiétante de 146 dollars.

Source : Rapport 2020 sur le coût des violations de données, IBM Security

Nous parlons de « petit à grand » car il existe un autre facteur de coût lié à l’échelle :

La redoutable «méga-faille».

Toute violation de données portant sur plus d’un million d’enregistrements est qualifiée de « méga-violation » ; elle représente le pire scénario possible pour les organisations concernées. Ce sont également ces violations dont on entend le plus parler, tout simplement en raison de leur ampleur.

Source : Rapport 2020 sur le coût des violations de données, IBM Security

Compte tenu de leur ampleur, il convient également de les analyser séparément, en distinguant les violations de petite et de grande envergure, sans quoi elles finiraient par fausser les chiffres.

Les récentes fuites de données et leur coût

Sur la base des chiffres ci-dessus, nous pouvons estimer le coût que certaines des fuites de données les plus médiatisées ont représenté pour ces entreprises.

Sans ordre particulier, voici un aperçu de certaines des fuites de données les plus importantes survenues au cours des douze derniers mois environ, ainsi que leur coût.

533 millions - Facebook, 3 avril 2021

Coût estimé : 3,7 milliards de dollars

Types de données exposées : numéros de téléphone, date de naissance, localisations (y compris les données historiques), nom complet, certaines adresses e-mail.

Début avril 2021, il est apparu que les données personnelles de plus d’un demi-milliard d’utilisateurs de Facebook avaient fait l’objet d’une fuite. Facebook a refusé d’informer les utilisateurs concernés (peut-être dans un souci de réduction des coûts, car nous savons que la notification et la gestion a posteriori constituent deux des principaux postes de dépenses) après que leurs données ont été récupérées en exploitant une faille dans une fonctionnalité désormais supprimée.

250 millions - Microsoft, 22 janvier 2020

Coût estimé : 1,8 milliard de dollars

Type de données exposées : adresses e-mail, adresses IP, historiques de discussion.

L’année 2020 venait à peine de commencer que Microsoft annonçait déjà une fuite de données majeure. Bien que l’entreprise n’ait pas communiqué de chiffres, les estimations évaluent à 250 millions le nombre d’enregistrements exposés. Ces enregistrements contenaient des adresses e-mail et des adresses IP, ainsi que des historiques de discussion entre le personnel du service client et les clients. Microsoft a reconnu que cette violation résultait d’une « mauvaise configuration d’une base de données interne du service client ».

9 millions - EasyJet, 12 mai 2020

Coût estimé : 50 millions de dollars

Type de données compromises : cartes de crédit et de débit

En mai 2020, EasyJet a annoncé que 9 millions de dossiers clients avaient été « consultés » dans le cadre de ce qu’elle a qualifié de « cyberattaque extrêmement sophistiquée ». Cette attaque est survenue à un moment particulièrement délicat pour EasyJet, alors que les conséquences de la pandémie commençaient à se faire sentir et qu’elle concernait des données de cartes de crédit. Elle a également conduit 10 000 personnes à se joindre à une action en justice contre EasyJet. Selon l’issue de cette affaire, le montant estimé à 50 millions de dollars pourrait atteindre plusieurs milliards, chaque victime pouvant prétendre à une indemnisation de 2 500 dollars.

5,2 millions - Marriott, 31 mars 2020

Coût estimé : 50 millions de dollars

Type de données exposées : noms, adresses, certains numéros de téléphone et adresses e-mail

Le géant de l’hôtellerie Marriott a révélé que les données de 5,2 millions de clients avaient été exposées après que des pirates informatiques se sont procuré les identifiants de connexion de deux employés. Cet incident vient s’ajouter à une précédente violation de données survenue en 2018, lors de laquelle l’une des filiales de Marriott avait été piratée, entraînant la divulgation de millions de numéros de passeport et de données de cartes de crédit non cryptés.

Que peut faire votre organisation pour atténuer cet impact ?

Il est évident que les organisations, quelles que soient leur nature et leur taille, ne sont pas totalement à l’abri. Que ce soit par négligence ou par intention malveillante, dès lors que des personnes interagissent avec des machines, il y aura toujours des points faibles.

Vous aurez également affaire à des personnes désireuses et capables d’exploiter ces points faibles.

Tout n’est toutefois pas si sombre, car il existe de nombreuses mesures que votre organisation peut mettre en œuvre dès maintenant pour réduire le risque de fuite de données.

Source : Rapport 2020 sur le coût des violations de données, IBM Security

• Tests de réponse aux incidents: savoir comment réagir lorsque le pire se produit peut permettre à votre organisation d’économiser plus de 230 000 dollars. Les outils de gestion des incidents vous aident à coordonner l’ensemble des éléments en jeu, vous offrant ainsi une vue d’ensemble du cycle de vie d’un incident lorsqu’il se produit. Mais il est également essentiel de mettre tout cela à l’épreuve à l’aide d’attaques simulées. L’équipe informatique n’est pas la seule à devoir participer à ces tests. Tout le monde, des commerciaux au personnel d’assistance, doit y prendre part. Cela est d’autant plus important que les menaces telles que le phishing et les ransomwares évoluent sans cesse. 96 % des fuites de données proviennent d’e-mails, mais mener des simulations d’attaques de phishing pour préparer votre équipe ne doit pas nécessairement être coûteux ni prendre beaucoup de temps.

• Formation à la sensibilisation à la sécurité : l’essor du télétravail a créé une nouvelle source de vulnérabilité, les collaborateurs utilisant des appareils et des connexions potentiellement non sécurisés pour accéder à des données sensibles. Ainsi, aujourd’hui plus que jamais, la formation des collaborateurs à la cybersécurité peut contribuer à réduire les risques (et les coûts potentiels) liés aux violations de données.

• Chiffrement étendu : de nombreuses violations de données très médiatisées ont concerné des cas où des données sensibles étaient stockées dans des fichiers non chiffrés, les mots de passe et les données de cartes de crédit figurant parfois à la vue de tous, sans hachage, en texte clair. La mise en place d’un chiffrement à l’échelle de l’entreprise peut avoir un impact considérable, mais elle repose néanmoins sur la bonne maîtrise de cette technologie par vos collaborateurs. Ce qui nous amène tout naturellement à la solution suivante.

• Gestion des politiques : pour que des solutions telles que le chiffrement soient efficaces, vous devez mettre en place une politique de cybersécurité performante et, surtout, vous assurer que chacun sache ce qu’il est censé faire. Les approches traditionnelles de la gestion des politiques impliquent souvent que le service des ressources humaines doive courir après les membres de l’équipe, en leur envoyant des e-mails de plus en plus irrités pour leur demander s’ils ont lu et compris la nouvelle politique de cybersécurité. Et, si ledit membre de l’équipe l’a lue, pourrait-il bien vouloir la signer et la renvoyer ? S’il vous plaît ? Au lieu de cela, en déployant une plateforme de gestion des politiques de cybersécurité, votre organisation peut identifier les lacunes dans les connaissances du personnel, les insuffisances des politiques et réduire au minimum les coûts liés aux violations de données.

En bref

• Leur coût peut être exorbitant: à l’échelle mondiale, les fuites de données coûtent en moyenne 2,8 millions de livres sterling aux entreprises par incident
• La plupart des fuites de données sont d’origine malveillante : plus de la moitié d’entre elles résultent d’une forme ou d’une autre d’activité malveillante.
• Comme maman le disait toujours: « Une préparation et une planification préalables permettent d’éviter les mauvaises performances » : disposer d’une équipe d’intervention en cas d’incident, tester votre plan d’intervention, recourir au chiffrement et sensibiliser vos utilisateurs sont parmi les mesures les plus efficaces.