Il n'existe pas de coût moyen transposable à votre organisation. Une violation coûte ce que coûtent votre secteur, votre volume de données, votre niveau de préparation et votre exposition réglementaire — quatre paramètres qui varient dans un rapport de un à plusieurs dizaines. La question utile n'est donc pas « combien ça coûte » mais « quels postes s'activent, dans quel ordre, et lesquels sont chiffrables chez nous ».
Pourquoi les violations par identifiants ont un profil de coût particulier
Le Verizon DBIR place constamment les identifiants volés, réutilisés ou partagés parmi les tout premiers vecteurs d'intrusion. Ce type de compromission présente trois caractéristiques qui pèsent sur la facture :
- Elle est discrète. L'attaquant utilise un accès légitime. Les mécanismes de détection fondés sur la signature d'un logiciel malveillant ne se déclenchent pas, ce qui allonge le délai de découverte — et le délai est le principal multiplicateur de coût.
- Elle est difficile à délimiter. Reconstituer ce qu'un compte légitime a consulté suppose une journalisation fine et conservée. À défaut, l'analyse retient l'hypothèse la plus large, donc la plus coûteuse en notifications et en remédiation.
- Elle se propage latéralement. Un compte compromis en amène d'autres. Le périmètre à assainir dépasse presque toujours le point d'entrée.
Les postes de coût, dans leur ordre d'apparition
| Phase | Poste | Où chercher la donnée chez vous |
|---|---|---|
| Détection | investigation initiale, expertise externe, outillage | contrat de réponse à incident, coût jour d'un prestataire |
| Confinement | mobilisation des équipes, réinitialisations de masse, coupures | effectif mobilisable, coût horaire chargé, historique d'astreinte |
| Investigation | analyse forensique, reconstitution des accès | devis prestataire, jours-homme internes |
| Obligations légales | notification à l'autorité, information des personnes concernées | volume de personnes potentiellement concernées, coût unitaire d'un envoi |
| Interruption d'activité | indisponibilité, production dégradée, commandes perdues | chiffre d'affaires par heure, plan de continuité |
| Juridique | conseil, contentieux, réclamations contractuelles | honoraires horaires, clauses de vos contrats clients |
| Remédiation | correctifs, réarchitecture, renforcement d'urgence | budget projet accéléré, dette technique révélée |
| Régulateur | procédure, éventuelle sanction | exposition RGPD, NIS2, DORA selon votre statut |
| Durable | perte de clients, coût d'acquisition, prime d'assurance, appels d'offres perdus | taux d'attrition, coût d'acquisition client, historique de renouvellement |
Les trois dernières lignes sont les plus mal estimées, parce qu'elles apparaissent des mois plus tard, sur d'autres lignes budgétaires que celles du projet de sécurité. Elles sont pourtant, dans beaucoup de cas, supérieures au coût technique de l'incident.
Les variables qui font varier la facture d'un ordre de grandeur
Plutôt qu'un montant, ce sont ces multiplicateurs qu'il faut instruire :
- Le délai de détection. Chaque semaine supplémentaire élargit le périmètre à investiguer et à notifier. C'est la variable la plus déterminante, et l'une des rares sur lesquelles un investissement produit un effet direct.
- La nature des données. Données de santé, données financières, données de catégorie particulière au sens du RGPD : les obligations et l'exposition contentieuse changent de niveau.
- Le nombre de personnes concernées. Il commande le coût de notification et le risque d'action collective.
- Votre statut réglementaire. Entité essentielle ou importante au titre de NIS2, entité financière soumise à DORA depuis janvier 2025 : les obligations de déclaration et leurs délais modifient l'organisation de la réponse, donc son coût.
- La qualité de la journalisation. C'est le paramètre le plus sous-estimé. Des journaux insuffisants transforment une compromission circonscrite en compromission présumée totale.
- L'état de préparation. Plan testé, contrat de réponse à incident déjà signé, interlocuteurs identifiés : l'écart de coût entre une organisation préparée et une organisation improvisant se joue dans les 48 premières heures.
Construire votre propre estimation
Une méthode en quatre temps, réalisable en un atelier d'une demi-journée :
- Choisissez un scénario précis plutôt qu'une violation générique : compromission d'un compte d'administration, exfiltration via une session volée, fraude au virement après usurpation. Chaque scénario active des postes différents.
- Remplissez les postes du tableau avec vos coûts internes. Coût horaire chargé, honoraires connus, chiffre d'affaires horaire, volume de personnes concernées. Vous obtenez un ordre de grandeur dont chaque ligne est traçable.
- Testez trois hypothèses de délai de détection — quelques jours, quelques semaines, quelques mois. L'écart obtenu constitue, à lui seul, l'argument le plus parlant pour la direction générale.
- Documentez ce que vous ne savez pas chiffrer. Un poste explicitement marqué « non estimé » est plus crédible qu'un poste rempli par une moyenne empruntée.
Relier l'estimation aux décisions d'authentification
L'intérêt de l'exercice n'est pas le montant final, mais l'identification des points où un investissement modeste réduit un multiplicateur important :
| Levier | Multiplicateur réduit |
|---|---|
| Retirer les valeurs rejouables des parcours sensibles | probabilité d'entrée par identifiants |
| Renforcer récupération de compte et reset au helpdesk | probabilité d'entrée par le chemin le plus faible |
| Journaliser finement les accès et les inscriptions de facteurs | périmètre présumé lors de l'investigation |
| Réduire la durée de vie des sessions | fenêtre d'exploitation après vol de jeton |
| Valider les opérations irréversibles sur l'action | perte financière directe |
La dernière ligne est celle qui touche le poste le plus visible pour une direction générale. Quand la fraude passe par une opération autorisée par un utilisateur manipulé, aucun contrôle de session ne la détecte : seule une preuve portant sur l'action, comme celle recherchée par l'authentification cognitive, s'interpose au bon endroit.
FAQ
Peut-on utiliser un coût moyen publié dans une étude ?
Comme repère de discussion, éventuellement ; comme base d'un dossier d'investissement, non. Les moyennes agrègent des secteurs, des tailles et des régimes réglementaires trop hétérogènes pour être transposées à une organisation particulière.
Faut-il inclure les sanctions réglementaires dans l'estimation ?
Il faut les mentionner comme exposition, sans en avancer un montant. La sanction dépend de la gravité, de la coopération et des mesures antérieures. La présenter comme une certitude affaiblit le reste du raisonnement.
Quel est le poste le plus souvent oublié ?
Le coût interne de mobilisation. Une cellule de crise mobilise des directions entières pendant des semaines, sur du temps qui n'apparaît dans aucune facture — mais qui a bien été payé, et qui n'a pas été consacré à autre chose.
Comment convaincre sans dramatiser ?
En présentant une fourchette assumée, en distinguant ce qui est mesuré de ce qui est estimé, et en montrant l'effet du délai de détection. Un raisonnement sobre et traçable résiste mieux à la contradiction qu'un montant spectaculaire.
Aller plus loin : pilier : authentification cognitive · ROI d'une authentification forte · statistiques du vol d'identifiants · NIS2, DORA, CRA et authentification