Les violations de données coûtent de plus en plus cher

Les analystes d’ExtraHop ont passé au peigne fin des centaines de pages de documents déposés auprès de la SEC pour se faire une idée précise des coûts de bout en bout associés à plusieurs violations de données très médiatisées. Le réveil est douloureux ! Alors que les recherches classiques indiquaient en 2023 que le coût moyen d’une violation de données tournait autour de 9 millions de dollars, une analyse a mis en évidence des violations dont les coûts à long terme s’élevaient en moyenne
à 531 millions de dollars.

Pour arriver à ce résultat, ExtraHop s’est centré sur 6 violations de données différentes qui ont fait l’objet de médiatisations et leur impact financier à long terme. ExtraHop soupçonnait que les recherches conventionnelles sur le coût d’une violation de données sous-estimaient largement le coût réel et cette recherche quantitative minutieuse a confirmé cette hypothèse.

Insolvabilité

Le rapport de cette année apporte de nouvelles données sur le coût de plusieurs violations survenues en 2023 et 2024. Le coût total estimé de l’une de ces brèches devrait dépasser les 2,8 milliards de dollars, ce qui porterait le coût moyen d’une brèche à 677 millions de dollars. Lorsqu’un incident de sécurité se produit, il entraîne souvent une série de coûts directs et indirects inattendus pour l’organisation touchée : le coût de l’embauche d’une société tierce d’investigation numérique et de réponse à l’incident (DFIR-digital forensics and incident response), le coût de la remise en état de l’infrastructure.

Quelles sont les conséquences pour ces organisations ? Une étude publiée en septembre 2024 par Kovrr et évaluant la cyberrésilience des entreprises de l’indice S&P 500 a révélé que huit entreprises présentaient un risque accru d’insolvabilité en cas de cyberattaque. Kovrr affirmait qu’une violation pouvait infliger des dommages qui engendreraient des coûts dépassant 10 % de leurs bénéfices annuels.

Une visibilité à 360 degrés

Dans son rapport, ExtraHop cite le cas d’une entreprise spécialisée dans la santé.
La violation de données a eu un impact significatif sur la situation financière de la société mère de l’organisation.

La cyberattaque a causé des pertes de revenus de plus de 700 millions de dollars depuis la découverte de la faille (voir l’illustration ci-dessus). Le dernier rapport trimestriel indique que l’entreprise s’attend à encourir au moins 400 millions de dollars de coûts directs et indirects liés à la cyberattaque d’ici à la fin de 2024. En conclusion, ce rapport constate que les scénarios d’attaque de plus en plus courants exigent une visibilité à 360 degrés du réseau dans les environnements sur site et hybrides, la découverte d’actifs, la capture continue de paquets, etc.