Samuel Durand (Databack) : « en cyber, le coût de l’impréparation est toujours supérieur à celui des investissements initiaux »

Les coûts des attaques cyber sont désormais bien mesurés

Le manque de culture cyber des entreprises françaises reste persistant : les investissements dans la sécurité numérique peinent à dépasser les 2000 euros en moyenne et les plans de continuité cyber équipent encore trop peu d’entreprises. Autre signe d’un manque de conscience du risque, la part d’ETI assurées contre le risque cyber ne serait que de 20 %. Une part encore trop faible, alors que les conséquences financières d’une cyberattaque sont aujourd’hui bien documentées : de plusieurs milliers d’euros pour une PME à plusieurs millions pour une grande entreprise. Depuis plusieurs années, des outils de quantification du risque cyber (CRQ) permettent même de mesurer l’exposition potentielle des organisations et, surtout, d’estimer les conséquences économiques d’une attaque. « C’est aussi l’occasion, pour les responsables cyber, de démontrer l’intérêt d’un solide budget dédié à la sécurité informatique en interne », souligne Samuel Durand de chez Databack.

Dans son premier baromètre mondial issu des réponses de plus de 3000 décideurs IT et rendu public au début du mois de novembre, Cohesity, un acteur de la gestion des données basée sur l’IA, démontre ainsi que 83 % des entreprises françaises cotées ont dû revoir à la baisse leur chiffre d’affaires après une cyberattaque majeure. Pour 70 % d’entre elles, le cours de l’action a chuté, tandis que des budgets fléchés vers l’innovation ont dû, de toute urgence, être déportés vers la gestion de la crise cyber et la reprise d’activité.

Pour les PME, structurellement moins résistantes aux chocs économiques, les attaques cyber constituent un accélérateur de faillite : « Les analyses démontrent qu’une attaque cyber peut augmenter de 40 à 60 % le risque de défaillance de l’entreprise dans les 6 mois après la crise », souligne Samuel Durand. Un risque qui s’accroît logiquement pour les entreprises déjà économiquement fragiles. « En cyber, le coût de l’impréparation est toujours supérieur au coût des investissements initiaux », affirme le cofondateur de Databack.

L’intelligence artificielle dope les capacités cybercriminelles

Dans son Cybersecurity Forecast Report, publié le 4 novembre, Google Cloud constate un double phénomène : l’avènement de l’intelligence artificielle, désormais pleinement intégrée dans les modes d’action des hackers, rend les acteurs hostiles de plus en plus agiles et sophistiqués. Le cybercrime s’étend, avec une hausse en volume des attaques, et adopte une approche toujours plus complète, fondée sur le triptyque vols de données, chiffrement et extorsion.

Avec une efficacité de plus en plus redoutable : les études menées par la division de recherche et de renseignement sur les menaces de Palo Alto Networks ont prouvé que le délai entre la compromission d’un système de sécurité et la récupération de données est passé de 44 jours en 2021 à quelques jours en 2024. « Mais d’un autre côté, les technologies des spécialistes de la récupération de données sont désormais matures », tempère Samuel Durand, dont l’entreprise est en capacité de récupérer entre 90 % et 100 % des données après une cyberattaque. Et des méthodes relativement simples de sauvegarde de données permettent de limiter les risques : « La bonne pratique est d’associer supports physiques et numériques et de tester régulièrement ses sauvegardes pour en assurer le bon fonctionnement. Car une sauvegarde sans test de restauration n’est qu’une illusion de sécurité », affirme le co-fondateur de Databack.

Poussée réglementaire au niveau européen

D’autant qu’au niveau européen, les exigences se font de plus en plus fortes. Le règlement Dora, applicable depuis janvier dernier à tous les acteurs des secteurs financiers et assuranciels européens, contraint ainsi les entreprises à multiplier les tests de résilience sur l’ensemble des supports de données, y compris ceux hors-ligne. Et des obligations similaires tendent à s’imposer à d’autres secteurs, la Commission européenne cherchant à renforcer la résilience cyber du tissu économique européen dans un contexte technologique et géopolitique incertain. Charge aux acteurs économiques de s’engager dans la voie de la conformité.