Pourquoi est-ce primordial de réaliser la cartographie des risques Cyber de votre entreprise ?
À l’ère du numérique, les entreprises sont de plus en plus dépendantes de la technologie, ce qui les expose à des risques cyber croissants. Dans un rapport paru en 2021, le sénat estime que 60 % des petites entreprises victimes d’une cyberattaque font faillite dans les six mois.
Réaliser une cartographie des risques Cyber n’est pas seulement une étape préventive, mais une nécessité stratégique. Elle permet d’identifier le niveau de risque (en temps d’arrêt potentiel ou en euros) auquel est exposé votre organisation et ensuite d’évaluer et de prioriser les vulnérabilités, garantissant ainsi une meilleure protection de votre entreprise.
Dans cet article, vous découvrirez tout ce qu’il faut savoir pour réaliser, facilement et rapidement, la cartographie des risques Cyber de votre entreprise.
Première étape dans la cartographie du risque Cyber : Estimez l’exposition au risque de votre entreprise.
Cette première étape peut être réalisée très rapidement et sans aide extérieure. Il s’agit d’identifier le niveau de perte maximale que votre entreprise pourrait subir en cas de survenance d’un sinistre Cyber et ce, peu importe le type d’évènement (ransomware, attaque informatique, phishing …)
Pour estimer cette exposition, l’idéal est de faire appel à un concept assuranciel, le SMP ou sinistre maximum possible. Il s’agit, comme son nom l’indique, du sinistre le plus important que pourrait survenir pour un risque donné. Ce montant intègre les pertes directes et indirectes.
Pour évaluer ce montant simplement, nous allons décomposer en deux parties notre calcul avec les pertes directes d’un côté et les pertes indirectes de l’autre:
Evaluer les pertes directes potentielles de votre entreprise
Elles comprennent les coûts immédiats de restauration du système, les éventuelles rançons payées aux cybercriminels, mais aussi la valeur intrinsèque des données perdues. En effet, le RGPD impose que les entreprises victimes d’une cyber attaque doivent engager des coûts supplémentaires pour la communication et la notification de la violation de données aux parties concernées.
Pour simplifier le calcul des pertes directes, l’usage est de décompter 10 euros par données détenues par une entreprise. Bien entendu il s’agit d’une approximation et elle peut varier d’une entreprise à l’autre mais c’est un montant généralement utilisé par le monde de l’assurance pour évaluer le montant potentiel des pertes directes.
Il suffit donc de multiplier par 10 le nombre de données dont dispose votre entreprise. Par exemple, si votre entreprise à 50 salariés, 2500 clients, 70 fournisseurs et 1500 prospects, le montant sera de :
Pertes directes = (nombre de données x 10€)
Pertes directes exemple : (50 + 2500 + 70 + 1500 ) x 10 = 31 200€
Evaluer les pertes indirectes potentielles de votre entreprise
Les pertes indirectes correspondent à la perte de chiffre d’affaires qui résulte d’une attaque informatique. Ce montant est généralement beaucoup plus important que le montant des pertes directes car il représente un % non négligeable du chiffre d’affaires de l’entreprise.
Là encore, pour simplifier le calcul il est d’usage de compter un mois d’arrêt total de l’entreprise car, d’après les statistiques, près de 90% des entreprises victimes d’une cyber attaque retrouvent 100% de leur activité après un mois d’arrêt.
Il est indéniable que cette approche ne correspond pas au calcul du montant moyen de la perte financière des entreprises mais au montant maximal. C’est logique car, dans une approche de cartographie des risques Cyber de votre entreprise, ce que vous souhaitez évaluer est le montant de perte maximale que votre entreprise pourrait subir afin de vous y préparer.
Pour que le calcul s’adapte à n’importe quel type d’entreprise (et notamment aux entreprises industrielles), il est courant d’utiliser la marge brute et non le chiffre d’affaires, car en cas d’arrêt de l’activité, les achats sont également stoppés.
Reprenons notre exemple. Si l’entreprise présenté ci-dessus réalise 12 M€ de chiffre d’affaires et 7M€ de marge brute annuelle alors le montant sera de :
Pertes indirectes = 1/12 x marge brute annuelle
Pertes directes exemple : 1/12 x 7M€ =585 000€
L’exposition au risque Cyber de l’entreprise en exemple est donc de 31 200 + 585 000 = 616 200 €
Ce montant peut sembler extrêmement important mais, rappelons nous qu’il correspond à l’estimation du SMP (Sinistre Maximum Possible) que pourrait subir l’entreprise.
Il est impératif que chaque dirigeant ait conscience de ce montant et prépare son entreprise à faire face à ce risque.
Seconde étape dans la cartographie du risque Cyber : Mesurez le niveau de maîtrise du risque de votre entreprise.
Après avoir estimé l’exposition au risque cyber de votre entreprise, il est essentiel de mesurer à quel point votre entreprise maîtrise ce risque. Tout d’abord, il est crucial de comprendre que le niveau de maîtrise est inversement proportionnel à la probabilité de survenance d’un sinistre. Autrement dit, plus votre entreprise maîtrise le risque, moins la probabilité qu’un incident cyber se produise est élevée. Votre objectif est donc d’obtenir un niveau de maîtrise le plus élevé possible, généralement représenté par un score en %, avec 100% indiquant une maîtrise totale du risque.
La détermination précise du niveau de maîtrise n’est pas une tâche aisée. Elle requiert une expertise approfondie des systèmes d’information, des processus internes et des menaces cyber. C’est pourquoi il est souvent recommandé de s’appuyer sur des spécialistes en Cartographie des risques Cyber comme Freesk ou d’autres entreprises spécialisées. Ces experts apportent une perspective extérieure et objective des dernières menaces et vulnérabilités. Ils peuvent identifier des faiblesses que des équipes internes, immergées dans le quotidien de l’entreprise, pourraient négliger.
La méthodologie de calcul du niveau de maîtrise s’apparente à celle d’un audit classique. Elle repose sur un questionnaire détaillé, conçu pour évaluer, thématique par thématique, le niveau de maîtrise de l’entreprise. Chaque section du questionnaire se focalise sur un aspect spécifique de la cybersécurité : politiques de gestion de sécurité des données, contrôles d’accès, formation et sensibilisation des employés, procédures de réponse aux incidents, etc.
En répondant à ce questionnaire, l’entreprise peut obtenir un aperçu clair de ses forces et faiblesses en matière de cybersécurité. Les résultats permettent de prioriser les actions à entreprendre pour renforcer la maîtrise du risque. Ils offrent également une base solide pour la communication avec les parties prenantes, qu’il s’agisse d’employés, de partenaires ou d’assureurs.
Certains acteurs peuvent également vous proposer un plan d’action adapté parfaitement à la situation actuelle de votre entreprise et résultant directement de l’audit réalisé.
En conclusion, mesurer le niveau de maîtrise du risque cyber est une étape cruciale dans la cartographie des risques. Elle permet à l’entreprise de comprendre où elle se situe sur le spectre de la cybersécurité et de définir une stratégie adaptée pour renforcer sa posture face aux menaces en constante évolution.
Conclusion : La cartographie des risques Cyber, une démarche essentielle à la portée de toutes les entreprises
Dans un monde où la cybersécurité est primordiale, la cartographie des risques Cyber s’impose comme une étape incontournable pour tout dirigeant d’entreprise responsable. Si cette démarche peut sembler ardue, de nombreuses solutions existent pour vous accompagner dans cette démarche.
Chez Freesk, nous avons opté pour une approche simple, rapide et intuitive. En quelques clics, notre plateforme vous offre une vision claire de votre exposition aux risques, tout en proposant un plan d’action sur mesure. Nous vous guidons pas à pas dans la mise en place des mesures de protection, assurant ainsi la sécurité de vos données et la continuité de vos activités. Opter pour Freesk, c’est choisir la sérénité dans un monde digital en constante évolution.
