Les coûts directs et indirects d’une cyberattaque

Les coûts directs et indirects d’une cyberattaque

Selon une étude publiée par Hicox, les coûts d’une cyberattaque sont compris entre 15 000 euros (pour les plus petites entreprises) et peuvent gripper jusqu’à plus de 4 millions d’euros (pour les plus grandes structures). Suite à une cyberattaque, ces coûts peuvent être divisés en deux catégories : les coûts directs (partie émergée de l’iceberg) et coûts indirects (partie immergée de l’iceberg).

Coûts directs et indirects d'une cyberattaques

Si les coûts directs associés aux cyberattaques peuvent être variés, ils sont, la plupart du temps, relatifs :

 

  • Aux enquêtes techniques

Il s’agit généralement du premier coût direct suite à la cyberattaque. En effet, il conviendra de faire appel à un prestataire en cybersécurité afin d’établir rapidement et avec précision la liste des données qui ont fuité et les raisons pour lesquelles vous avez été visés : est-ce lié à des lacunes dans la protection initiale de vos données ?

  • Aux relations publiques

Il ne s’agit pas d’un coût financier direct, mais du fait de l’attaque, l’image de votre organisation peut être affectée. Après une cyberattaque une communication transparente, sur la cyberattaque que votre organisation vient de subir, est fortement conseillée. Cela peut parfois engendrer des coûts financiers indirects par la suite, tel que des coûts de marketing pour restaurer la confiance de vos clients et investisseurs.

➥ Ce coût direct, bien que non-financier, est directement en lien avec le coût indirect “perte de la valeur de la marque”.

  • A la notification de l’intrusion

D’après le Règlement général sur la Protection des Données (RGPD) de l’UE, si des informations et données “susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes physiques” ont fuité et été compromises, votre organisation se trouvera alors dans l’obligation d’en notifier ses clients. La notification de l’intrusion à vos clients peut engendrer un premier coût, peut s’ajouter au coût de mise en place d’une ligne téléphonique dédiée à prendre en charge les questions et réclamations.

➥ La notification de l’intrusion, tout comme le coût porté aux relations publiques, peut également avoir une forte incidence sur les coûts indirects liés à la “baisse de confiance client”, voire potentiellement à la “perte de clients”, ce qui peut se répercuter en une “perte de chiffre d’affaires”.

  • Aux frais de justice et d’avocat

Après l’attaque, vous ou votre entreprise souhaitera certainement porter plainte afin qu’une enquête approfondie soit réalisée. Dans ce cas, il est fort à parier que vous ayez besoin de faire appel à un avocat, en particulier si la procédure mène à des arrestations et à un procès. Suivant la durée des procédures et l’implication de votre avocat, des honoraires conséquents devront être engagés.

  • A l’amélioration de la protection

Une agence en cybersécurité comme UBCOM pourra vous être particulièrement utile pour vous conseiller dans l’amélioration de la protection de vos données. Diverses solutions vous seront proposées, les coûts varient en fonction de l’efficacité de la protection souhaitée. A minima, vous souhaiterez sûrement procéder à un chiffrement de vos données, à un contrôle plus strict des accès à toutes ou partie de vos données et à une formation de votre personnel.

  • A la sécurisation des données saines

Afin de sécuriser les données saines, il conviendra de réaliser des manipulations plus ou moins complexes, allant du changement de tous les mots de passe et du stockage de nouvelles sauvegardes, au formatage des postes de travail et à la restauration des données. Ces étapes sont essentielles pour s’assurer que les données n’ayant pas été touchées par la cyberattaque ne soient pas en position de vulnérabilité si une seconde attaque devait avoir lieu.

Les coûts directs liés à une cyberattaque peuvent donc être considérables — ils ne sont cependant pas les seuls à prendre en compte, ne constituant que la partie émergée de l’iceberg des coûts totaux liés à une cyberattaque. La plus grande partie des coûts sont en effet indirects ; plus compliqués à estimer, ces coûts sont principalement en lien avec la perte de clients du fait de la baisse globale de confiance envers votre entreprise. Pour éviter cela, une communication transparente tant sur la cyberattaque que sur la mise en place de nouveaux protocoles de sûreté cyber, vous permettront d’amoindrir la totalité des coûts.

Comme mentionné ci-dessus, certains coûts indirects dépendent fortement des coûts directs (c’est surtout le cas de la “baisse de la confiance client voire de la “perte de clients”, fortement lié au coût “relations publiques”).

 

Voici la liste des différents coûts indirects. Ces derniers sont principalement liés :

 

  • Aux dettes fiscales

Si votre entreprise dispose de financements par des bailleurs de fonds, il est fort probable que vous assistiez alors à un accroissement du coût de la dette suite à la cyberattaque. De plus, les investisseurs seront à l’avenir plus inquiets à l’idée de vous prêter de l’argent, en particulier si aucune disposition de cybersécurité et de cyberrésilience n’ont été prises.

  • Aux conséquences de l’arrêt d’activité

Suivant l’intensité de l’attaque dont vous avez été victime, il est possible que vos systèmes informatiques soient plus ou moins affectés. Cela peut aller de simples perturbations, à un arrêt des activités et au remplacement de la totalité du matériel. En moyenne, il est possible que votre activité soit impactée (soit ne fonctionne pas normalement, soit ne fonctionne pas du tout), pendant 3 à 7 semaines consécutives. Cela peut avoir une influence plus ou moins conséquente sur votre chiffre d’affaires. Afin de limiter la casse, des outils pour augmenter la résilience de votre entreprise sont à considérer.

  • À la baisse de confiance clients et perte de clients 

La baisse de confliance pouvant aller jusqu’à la perte de clients est particulièrement lié au coût direct “relations publiques”. Après une attaque, vos clients s’inquiéteront de la sécurité de leurs données au sein de votre entreprise. Suivant les données ayant fuité (médicales, bancaires, adresses, etc.), il faut s’attendre à une perte de confiance de vos clients plus ou moins importante, pouvant même aller jusqu’à des résiliations de contrats. Là encore, une communication transparente vous permettra de rassurer vos clients et vos investisseurs et de limiter la perte de chiffre d’affaires.

  • À la perte de la valeur de la marque 

Suivant l’intensité de la cyberattaque, l’image de votre entreprise sera plus ou moins impactée. Si aucune disposition n’est prise ensuite, cela renforcera l’idée que votre entreprise ne se préoccupe pas de la sécurité de ses systèmes numériques. Lors de la vente de votre entreprise, si cette dernière a été la cible d’attaque cyber répétée, sa valeur s’en trouvera fortement impactée.

  • À la perte de chiffre d’affaires

La “baisse de confiance clients” et la “perte de clients”, la “perte de la valeur de la marque” ou encore “l’interruption de l’activité” sont autant d’éléments qui impacteront négativement votre chiffre. Face à cela, une spirale infernale peut vite s’installer, raison pour laquelle il convient de communiquer avec beaucoup de transparence et de mettre en œuvre tous les moyens pour éviter une seconde attaque.

  • À l’augmentation des assurances

Suite à la cyberattaque, vous souhaiterez sans doute prendre toutes les dispositions nécessaires, dans les semaines qui suivent, pour vous assurer ne pas subir de nouvelles attaques. Si votre assurance d’origine aura très probablement déjà augmenté ses primes, il se peut que vous envisagiez de souscrire à une nouvelle assurance spécialisée en cyber. Cela engendrera un coût indirect supplémentaire, mais vous protègera en cas de nouvelle attaque.

Ces éléments constituent l’ensemble des coûts totaux à prendre en compte suite à une cyberattaque. Mais pourquoi attendre d’être la cible d’une cyberattaque ? Il n’est jamais trop tôt pour prendre toutes les mesures nécessaires pour renforcer la sécurité de ses systèmes d’information et garantir à ses clients une protection optimale de leurs données. Notre agence de conseil en cybersécurité est en mesure de vous proposer diverses solutions pour répondre à vos besoins.

Découvrez les solutions de nos experts cyber ainsi que nos offres cyber.