Garantie contre les infections : Crowdstrike s’y met aussi

Les éditeurs de solutions de sécurité sont-ils appelés à proposer de plus en plus des garanties financières d’efficacité de leurs produits ? La question se pose aujourd’hui avec l’annonce de Crowdstrike.

L’éditeur indique ainsi offrir désormais une couverture jusqu’à 1 million de dollars dans le cas où sa protection des points de terminaison - Falcon EPP Complete, pour serveurs et postes de travail - échouerait à empêcher leur compromission par un maliciel.

Le montant effectif de la garantie est « déterminé par le montant dépensé par le client sur sa souscription annuelle » à la solution. Il peut s’appliquer à la réponse à incident, aux pénalités réglementaires, comme aux activités de notification ou encore d’investigation, voire au paiement dans le cadre d’opérations de cyber-extorsion – une offre qui n’est là pas isolée, même si elle est loin de faire consensus. Crowdstrike s’appuie sur les services de l’assureur AIG.

Dans un communiqué, George Kurtz, co-fondateur et Pdg de l’éditeur, affiche la confiance qu’il accorde à la qualité de sa solution : « contrairement à d’autres éditeurs, Crowdstrike fait pleinement confiance aux capacités de détection [de Falcon EPP Complete], et c’est pourquoi nous sommes heureux d’annoncer cette offre de garantie à compter d’aujourd’hui ».

Ce n’est toutefois pas le seul éditeur à proposer cela. SentinelOne propose ainsi, depuis l’été 2016, jusqu’à 1000 $ par poste de travail contaminé, ou 1 M$ par entreprise, si sa solution échoue à bloquer une attaque de rançongiciel, pour protéger des conséquences financières. Cymmetria offre également jusqu’à million de dollars dans le cas où sa solution de leurres échouerait à débusquer un attaquant infiltré sur le réseau de son client.

Reste que, si ces initiatives peuvent avoir de quoi frapper les esprits, et même séduire, il convient de les mettre en perspective avec les coûts effectivement supportés en cas de vaste incident.

Fin avril, la facture pour la ville d’Atlanta, affectée par un ransomware un mois plus tôt, s’élevait déjà à plus de 2,6 M$. Aujourd’hui, elle apparaît se préparer à une rallonge de près de 10 M$... Mais ce n’est encore rien par rapport à ce que l’épisode NotPetya, l’an passé, a pu coûter à certaines entreprises : Merck, FedEx, Maersk ou encore Saint Gobain ont avancé des montants en centaines de millions de dollars.

Dans de tels scénarios, une garantie à un million de dollars peut paraître bien modeste, et assurément trop modeste pour constituer un élément véritablement différentiateur.