Quantifier l’impact financier d’une cyberattaque

Décomposer un risque cyber : actifs numériques, menaces et pertes

Il est utile de comprendre quelques termes de base utilisés par la CRQ (Cyber Risk Quantification) pour parler du risque cyber.

• Un actif numérique est un élément de valeur pour votre entreprise qui doit être sécurisé : vos systèmes, votre base de données clients, votre propriété intellectuelle, vos relations avec vos fournisseurs, etc.
• Un événement de menace est une tentative d’un cybercriminel d’accéder à vos actifs numériques : un email de phishing ou un attaquant qui sonde vos accès distants, par exemple.
• Un événement de perte est ce qui survient lorsque l’événement de menace réussit : identifiants dérobés, systèmes chiffrés, données exfiltrées, etc.

De l’événement de menace à l’événement de perte

Tout événement de menace ne se traduit pas par un événement de perte. Un email de phishing dans la boîte d’un collaborateur est un événement de menace. Il ne devient un événement de perte que lorsque le collaborateur clique sur le lien et que des identifiants sont dérobés en conséquence. Une façon de réduire ce risque est de mettre en place des contrôles préventifs : filtres anti-spam, formation de sensibilisation des collaborateurs et authentification multifacteur. Ces contrôles empêchent une menace de se transformer en événement de perte. La quantification tient compte de la fréquence des événements de menace et de la proportion qui pourrait passer.

Ce que vous cherchez à protéger

L’impact financier d’un événement de perte dépend de l’actif touché. Une indisponibilité de 48 heures de votre ligne de production n’est pas la même perte qu’une indisponibilité de 48 heures du wiki interne. La violation d’une base de données clients aura, elle aussi, un impact différent sur l’entreprise. Avant toute quantification, il est essentiel de définir clairement vos “joyaux de la couronne” : systèmes générateurs de revenus, données personnelles, propriété intellectuelle, etc. Ce sont ces joyaux qui feront l’objet d’une évaluation quantifiée du risque.

Savoir ce que vous pouvez vous permettre de perdre

La quantification du risque est d’autant plus utile que vous définissez aussi votre appétence au risque en termes financiers. Quel niveau de perte votre entreprise peut-elle absorber tout en restant opérationnelle et solvable ?

Votre appétence au risque dépend de votre trésorerie, de votre concentration clients et de vos priorités stratégiques. Une entreprise disposant de réserves solides et de revenus diversifiés peut absorber une perte plus importante sur un seul événement qu’une entreprise opérant avec un fonds de roulement serré.

Une fois définie, votre appétence au risque doit être communiquée à vos responsables risques et sécurité, afin qu’ils puissent formuler des recommandations fondées sur le risque pour déployer des mesures de sécurité ou de nouveaux outils dans le cadre de l’analyse de quantification du risque cyber (CRQ). Une appétence au risque quantifiée orientera également vos décisions d’assurance : quels scénarios pouvez-vous auto-assurer, lesquels doivent être couverts par votre police, et pour quels montants.

Avec une appétence au risque clairement définie, le reste de l’analyse CRQ dispose d’un référentiel concret. Vous savez quels scénarios restent confortablement dans votre tolérance, lesquels en approchent les limites et lesquels doivent être réduits par des contrôles ou transférés via une assurance avant même de vous atteindre.

Comment fonctionne la quantification du risque cyber

La quantification consiste à analyser des scénarios de risque spécifiques. Pour chacun, vous estimez ce que coûterait un événement de perte et à quelle fréquence il pourrait se produire, puis vous combinez les deux pour obtenir un chiffre financier sur lequel la direction peut agir.

Construire un scénario de risque

Un scénario de risque décrit une manière précise dont votre entreprise pourrait subir une perte. Au sens FAIR, un scénario bien construit comporte quatre éléments :

• Menace — qui ou quoi cause le préjudice (un cybercriminel, un acteur interne, un manquement réglementaire). ‍
• Actif — le joyau de la couronne concerné (votre base clients, votre système de production, votre plateforme de paiement). ‍
• Méthode — comment la menace agit sur l’actif (phishing conduisant à un vol d’identifiants, déploiement de rançongiciel, compromission de la chaîne d’approvisionnement). ‍
• Effet — ce que produit l’événement de perte (indisponibilité de systèmes, exfiltration de données, fraude, exposition réglementaire).

Un scénario qui mérite d’être quantifié est suffisamment précis pour être mesurable. “Rançongiciel” est trop large. “Des cybercriminels qui déploient un rançongiciel sur nos systèmes de production via du phishing, provoquant plusieurs jours d’arrêt opérationnel” est, lui, un scénario sur lequel vous pouvez poser des chiffres.

Les scénarios se construisent à partir de vos joyaux de la couronne. Les joyaux définissent ce qui vaut la peine d’être protégé ; le scénario décrit une manière mesurable dont ils pourraient être impactés.

Estimer l’ampleur de la perte

Une fois le scénario défini, l’étape suivante consiste à estimer ce que coûterait un événement de perte de ce type. Les chiffres proviennent de faits opérationnels que vous connaissez déjà : chiffre d’affaires quotidien, coûts salariaux, valeurs de contrats, amendes pour des manquements réglementaires comme le RGPD — appliqués aux effets spécifiques du scénario.

L’ampleur de la perte se décompose en deux parties.

Les pertes directes sont les coûts qui découlent directement de l’événement de perte :

• Perte de productivité : chiffre d’affaires que vous ne pouvez pas réaliser pendant l’indisponibilité des systèmes. ‍
• Coûts de réponse : investigations forensiques, conseil juridique, notification de violation, communication de crise. ‍
• Coûts de remplacement : restauration des systèmes, remplacement du matériel, reconstitution des données. ‍
• Amendes réglementaires : manquements au RGPD, pénalités NIS2, sanctions sectorielles.

Les pertes indirectes sont les coûts liés à la réaction des clients, des partenaires et du marché :

• Atteinte à la réputation qui pèse sur les ventes futures. ‍
• Contrats perdus avec des clients qui se retirent après une violation. ‍
• Coût d’acquisition plus élevé pour remplacer les clients perdus. ‍
• Baisse de productivité pendant que les équipes se remettent de l’incident.

Chaque chiffre est estimé en fonction des spécificités de votre entreprise : concentration clients, conditions contractuelles, sensibilité des données concernées. En vous appuyant sur les données internes dont vous disposez déjà ; indicateurs opérationnels, incidents passés, valeurs de contrats ; vous pouvez réellement réduire l’incertitude sur le coût d’un scénario de risque.

Pourquoi une fourchette est plus juste qu’un chiffre précis

Une fourchette donne une image plus juste car elle encadre les inconnues plutôt que de tenter de viser un point unique. Personne ne peut savoir à l’avance si un événement de perte donné coûtera 450 000 € ou 1,4 M€. Une fourchette reste honnête sur ce qui est incertain tout en restant suffisamment précise pour appuyer une décision métier.

La méthodologie FAIR a été conçue autour de ce principe. Pour chaque catégorie de perte, FAIR demande trois chiffres : une estimation basse, une estimation haute et la valeur la plus probable entre les deux. Cette approche par fourchettes de la modélisation des pertes cyber reflète l’incertitude réelle des données d’entrée.

La largeur même de la fourchette est une information utile. Une fourchette large traduit une incertitude plus grande. Une fourchette plus étroite traduit davantage de confiance. Des données objectives peuvent être utilisées pour calibrer les estimations, resserrer la fourchette et accroître la confiance.

Combiner perte et probabilité

L’ampleur de la perte représente ce que pourrait coûter un événement. La fréquence des événements de perte indique à quelle fréquence un tel scénario est susceptible de se produire, compte tenu de votre secteur, de votre taille et des mesures de sécurité en place.

La combinaison des deux produit votre exposition annualisée et répond à la question : quel niveau de risque l’entreprise porte, en moyenne, chaque année ?

Ce chiffre annualisé est ce que la direction peut comparer au coût des mesures de sécurité et autres investissements susceptibles de réduire l’exposition. Il peut aussi servir au calcul du retour sur vos investissements de sécurité (ROSI).

La quantification du risque cyber est un outil d’aide à la décision

Les chiffres d’une analyse CRQ ne sont pas une fin en soi. L’essentiel est qu’ils offrent à la direction une base objective pour décider.

Une fois que vous disposez d’une vision quantifiée de vos scénarios de risque, vous pouvez prendre des décisions défendables fondées sur des données objectives :

• Le risque est-il dans notre appétence ? Comparez l’exposition à l’appétence au risque définie plus tôt. Certains scénarios restent dans la tolérance et peuvent être acceptés. D’autres doivent être réduits via des contrôles ou transférés via une assurance. ‍
• Notre couverture d’assurance cyber est-elle ajustée ? La perte maximale de la fourchette, associée à sa probabilité, vous aide à déterminer si votre police actuelle correspond à votre exposition réelle, ou si vous payez trop cher ou êtes sous-assuré. ‍
• Respectons-nous nos obligations réglementaires, et combien coûte la résorption des écarts ? Une vision quantifiée montre où se concentre l’exposition réglementaire au titre de NIS2, DORA ou du RGPD, et quelles actions permettraient d’y répondre. ‍
• Pouvons-nous nous permettre la prochaine étape de croissance ? Intégrer un nouveau tiers, ouvrir un nouveau marché ou déployer une nouvelle plateforme introduit un nouveau risque cyber en même temps que des opportunités de revenus. La quantification réduit l’incertitude sur ce qu’il convient de faire.

La CRQ existe pour soutenir ces décisions. L’objectif n’est pas d’éliminer le risque mais de le maintenir dans l’appétence que l’entreprise s’est fixée, afin qu’elle puisse croître en confiance.

De l’exposition quantifiée à la résilience documentée

Une vision quantifiée ne se contente pas de répondre à “combien pourrions-nous perdre”. Elle offre à la direction une base documentée pour les décisions qui en découlent et, de plus en plus, la preuve que les régulateurs, les assureurs et les clients attendent pour vérifier que le risque cyber est piloté.

Conformité et exigences réglementaires

Les régulateurs se sont résolument orientés vers une supervision fondée sur le risque. NIS2, DORA et le RGPD imposent tous à la direction générale de comprendre et de gouverner le risque cyber, avec des éléments documentés à l’appui. “Nous avons un pare-feu” n’est plus une réponse suffisante face à un régulateur, à un assureur ou à un tribunal.

Une analyse CRQ documentée, actualisée chaque année, est le moyen le plus direct de démontrer que le risque cyber est piloté au niveau attendu par la réglementation. Elle fournit l’exposition quantifiée, les scénarios qui la sous-tendent et le plan d’action pour la réduire. Ce sont précisément les éléments que les auditeurs et les superviseurs demandent de plus en plus à voir.

Dimensionner votre budget de cybersécurité

L’exposition annualisée transforme l’investissement en cybersécurité en une véritable analyse coût-bénéfice. Chaque contrôle candidat peut être évalué selon la baisse de probabilité ou d’ampleur d’un scénario qu’il apporte, et selon son coût. Il en résulte un budget de sécurité fondé sur une réduction de risque mesurable plutôt que sur les recommandations de fournisseurs ou les comparaisons sectorielles.

Calibrer votre assurance cyber

La perte maximale de la fourchette, combinée à sa probabilité, dimensionne votre police. La franchise (rétention) doit correspondre à ce que votre entreprise peut absorber en trésorerie pendant un incident sans perturber ses opérations. Une quantification documentée change également la façon dont les assureurs fixent le prix de votre police : sans elle, les souscripteurs appliquent des moyennes sectorielles. Les données du secteur indiquent des économies de prime de 10 à 30 % lorsque des évaluations de risque documentées sont présentées au renouvellement.

Communiquer le risque cyber au conseil d’administration

Un conseil d’administration n’attend pas une liste de vulnérabilités. Il veut savoir ce qui est en jeu, si l’équipe le gère et quelles preuves étayent ce jugement. Une évaluation quantifiée le fournit dans un langage que les administrateurs peuvent appréhender : coût le plus probable, perte maximale, exposition annualisée, principaux scénarios à l’origine de ces chiffres et plan de réduction assorti de jalons mesurables.