Violation de données : un coût moyen de 3,5 millions ? en France

IBM Security a publié l'édition 2020 de son « Cost of Data Breach Report ».

Globalement, parmi les entreprises concernées*, le coût total moyen d'une violation de données a reculé par rapport à 2019 de 1,5% à 3,86 millions de dollars.

En France, il a baissé de 5,2% à 4,1 M$ (3,6 M?) (dépenses directes et indirectes engagées). Aux États-Unis, en revanche ce coût a augmenté de plus de 5% à 8,54 M$.

Comment expliquer la tendance ?

Les entreprises les plus matures en matière de cybersécurité ont vu baisser la facture. Mais la situation est plus critique pour celles qui sont « à la traîne en matière d'automatisation de la sécurité et des processus de réponse aux incidents », selon le rapport.

Par ailleurs, le coût varie en fonction de la taille des organisations. Ainsi, le coût total moyen d'une violation atteint 5,52 M$ dans les grands groupes de plus de 25 000 employés, contre 2,64 M$ pour les entreprises de moins de 500 employés. Le coût d'une violation est également plus élevé dans le secteur des soins de santé (+10,5% à 7,13 M$).

PII de clients

Le nombre de fichiers/enregistrements (records) compromis analysés dans l'étude 2020 varie de 3400 à 99730 par incident. Et le coût moyen par enregistrement perdu ou volé est passé de 150 à 146 dollars dans le monde et a baissé de 4,1% à 139 euros en France.

Mais 80% de ces incidents ont entraîné l'exposition d'informations personnelles identifiables (PII) de clients. Ils ont aussi coûté plus cher (150 dollars par enregistrement détourné globalement et jusqu'à 175 dollars dans le cas d'une attaque malveillante).

Or, ces violations sont le plus souvent associées à des attaques malveillantes. Les défaillances systèmes et les erreurs humaines suivent. En plus d'identifiants volés ou compromis, les serveurs cloud mal configurés peuvent être des vecteurs d'attaques cyber.

Combien de temps est nécessaire pour se relancer ?

280 jours

Le délai moyen d'identification d'une violation de données est de 207 journées et de 73 jours pour contenir une violation de données. Soit 280 jours au total en moyenne.

Les entreprises, minoritaires (21%), qui s'appuient pleinement sur l'automatisation de la sécurité parviennent à réduire le « cycle de vie » d'une faille de 74 jours par rapport à celles qui n'ont pas opté pour l'automatisation. Et de 46 jours par rapport à la moyenne.

Parallèlement à ces chiffres, le Ponemon Institute a estimé le coût d'une méga-violation portant sur 1 à 10 millions d'enregistrements perdus à 50 millions de dollars. En cas de violation de plus de 50 millions d'enregistrements, le coût moyen bondit à 392 millions de dollars.

_{*L'enquête a été menée par le Ponemon Institute pour IBM. 524 entreprises (dont 33 en France) rapportant une violation de données entre août 2019 et avril 2020 ont participé. Au total, 3200 professionnels ont été interrogés dans 17 pays.}

_{(crédit photo © Shutterstock)}