Combien coûte un incident de sécurité ?

Au-delà des chiffres avancés régulièrement par certains dans le cadre d’études annuelles, combien faut-il vraiment compter pour nettoyer et ramener en conditions opérationnelles un poste de travail ? La question a été évoquée lors des rencontres Amrae qui se déroulaient la semaine dernière à Deauville. Olivier Coppermann, chargé des relations presse de l’association s’en est fait l’écho sur Twitter : 8000 € pour « un poste de travail infecté pour sa remédiation après intervention des professionnels de la chaîne IT avec indisponibilité de travail du collaborateur ».

Dans un débat commencé à cette occasion, Gérôme Billois, chez Wavestone, ne cache pas son étonnement : « je trouve ce coût énorme ! Ce doit être un coût total, tout tout compris, et en situation nominale », à savoir où l’équipe support prend le temps de transférer les données, notamment, plutôt que de simplement écraser la machine pour la ramener en conditions opérationnelles à partir d’une image de base. Car pour le directeur de la practice sécurité de Wavestone, « en crise, ça va beaucoup plus vite et ça coûte moins cher ».

8 000 €. Coût total d'un poste de travail infecté pour sa remédiation après intervention des professionnels de la chaîne IT avec indisponibilité de travail du collaborateur. Issu de l'atelier sur les attaques cyber de #AMRAE2019 @AMRAE_officiel @fbeaume @gbillois @cyberguerre

— Olivier COPPERMANN (@OCoppermann) February 7, 2019

Gérôme Billois n’est pas le seul à penser ainsi. Vincent Balouet, consultant formateur spécialiste en cybersécurité et gestion de crise évoque un chiffre bien inférieur : de l’ordre de 500 € pour un poste en client léger à 2000 € pour un système dédié spécifique comme un distributeur automatique de billets (DAB).

Et de s’appuyer pour cela sur l’expérience acquise lors des exercices Cyberfenua. La dernière édition de ces exercices de simulation de crise de cybersécurité en Polynésie française s’est déroulée tout début octobre. Autour d’un scénario digne d’un cyber-Pearl Harbor mondial. Vincent Balouet en était l’organisateur.

Sur les exos Cyberfenua on a estimé à 500€ (poste client léger) à 2k€ (poste complex type dab) le cout apres crypto par poste. Verifié sur le terrain ensuite.... https://t.co/qPHVtFuhGn

— Vincent Balouet (@vbalouet) February 10, 2019

Gérome Billois trouve les chiffres avancés là « beaucoup plus réalistes ». Alors certes, comme le relève Xavier Leschaeve dans l’échange, « il y a toujours plein d’hypothèses dans ces calculs ». Certains préfèrent y aller « large » avec la louche. De quoi éviter d’avoir à annoncer des dépassements. Mais cela sert-il bien le discours des RSSI auprès de leurs directions ?