Coût moyen des pertes de données par les entreprises françaises en 2010: 2,2 millions d’euros

Symantec et le Ponemon Institute publient aujourd’hui les résultats de l’édition 2010 de l’étude sur les coûts des pertes de données en France, intitulée 2010 Annual Study: French Cost of a Data Breach.

Selon cette étude, le coût des pertes de données a augmenté par rapport à celui constaté l’année dernière lors de la première édition de l’étude. Le coût moyen d’une perte de données pour les entreprises a augmenté de 16 % par rapport à 2009, s’élevant à 2,2 M €, et le coût par donnée perdue atteint 98 €, soit 9 € de plus qu’en 2009. Il ressort également de cette étude que, comme l’année dernière, la nécessité pour les entreprises de réagir rapidement face à la perte de données augmente les coûts associés. Ce deuxième rapport annuel de Ponemon sur le sujet est basé sur les pertes de données subies par 21 entreprises françaises représentant 11 secteurs d’activité différents.
 
Points clés de l’étude:

• Pour la deuxième année consécutive, le coût des pertes de données a augmenté: le coût des pertes de données augmente chaque année. Le coût moyen de la perte de données pour les entreprises françaises a augmenté de 16 % en 2010 par rapport à 2009, passant de 1,9 à 2,2 M €. En 2010, les pertes de données ont coûté 98 € en moyenne par donnée concernée, soit 9 € (10 %) de plus qu’en 2009.
• Le coût des pertes de données est plus important, aussi bien en haut qu’en bas de l’échelle, mais surtout au plus haut niveau: La perte de données la plus coûteuse constatée en 2010 dans le cadre de cette étude s’élève à 8,6 M €, en hausse de 2,2 M € (35 %) par rapport à l’an dernier. La moins coûteuse s’élève à 282 000 €, en hausse de 26 000 € (10 %) par rapport à 2009.
• Les pertes de données imputables à des erreurs de tiers (comme des sous-traitants) sont les plus fréquentes et, à ce titre, restent une source majeure de problèmes et de dépenses: 43 % des infractions sont liées à des erreurs de tiers, contre 41 % en 2010. Le coût de ces infractions a également augmenté, passant à 147 € par donnée, soit une hausse de 17 € (+13 %).
• Les actes malveillants sont toujours à l’origine de nombreuses pertes de données coûteuses: 38 % des pertes de données recensées dans le cadre de l’étude résultent d’actes malveillants, contre 35 % en 2009. Le coût des pertes de données résultant d’actes malveillants est relativement stable : 141 € en moyenne par donnée concernée en 2010, soit 3 € (2 %) de plus qu’en 2009. Ce coût élevé souligne le danger que représentent les actes malveillants.
• Les fuites de données associées à la perte ou au vol d’appareils sont coûteuses et reflète les inquiétudes liées à l’utilisation non sécurisée des technologies mobiles: 38 % des infractions sont liées à des appareils mobiles contenant des données sensibles, contre 35 % en 2009. Le coût moyen par donnée de ces infractions a augmenté de 17 € (14 %), passant à 139 €. Selon l’édition 2010 du rapport intitulé Les tendances de chiffrement en Entreprise, les entreprises craignent l’utilisation non sécurisée des technologies mobiles autant ou plus que les cyber attaques directes de leurs systèmes informatiques.
• Les pertes de données associées à la négligence sont de moins en moins fréquentes: elles représentent désormais 29 % des infractions, en baisse de 6 points, ce qui en fait le type d’infraction le moins fréquent en 2010. Leur coût moyen par donnée est de 87 €, soit 2 € (2 %) de plus qu’en 2009. La baisse de ces infractions est liée à une prise de conscience des problèmes associés aux pertes de données et à leur prévention par des efforts centrés sur la sensibilisation et la règle de conformité.
• Les mesures prises par les entreprises pour éviter et pallier ces infractions sont toujours axées sur les contrôles manuels, les procédures et les programmes de sensibilisation, mais l’utilisation des technologies gagne du terrain: en 2010, 51 % des personnes interrogées ont déployé des procédures et contrôles manuels supplémentaires, et 44 % ont mis en place des programmes de formation et de sensibilisation. La légère baisse de ces mesures non technologiques est compensée par les gains constatés du côté des solutions technologiques. Le chiffrement est toujours le type de technologies la plus utilisée : 28 %, en hausse de 5 points. L’utilisation de solutions de protection des terminaux et de systèmes de gestion des événements de sécurité a doublé en un an. Les entreprises préfèrent encore de loin les approches traditionnelles, mais perçoivent mieux la valeur des technologies de protection contre les pertes de données, probablement en raison des problèmes de sécurité informatique et de leurs incidences économiques.

Symantec recommande aux entreprises de mettre en œuvre les meilleures pratiques suivantes, qu’elles aient été ou non victimes de pertes de données:

1. Évaluer les risques en identifiant et en classant les informations confidentielles
2. Éduquer et responsabiliser le personnel en ce qui concerne la protection des données
3. Déployer des technologies de prévention des pertes de données qui permettent l’application de règles de sécurité
4. Chiffrer proactivement les ordinateurs portables pour réduire les impacts de leur perte
5. Intégrer la protection des données aux processus métier

Cette étude, réalisée indépendamment par le Ponemon Institute à la demande de Symantec, tient compte des divers coûts associés aux pertes de données, y compris des dépenses liées à la détection des incidents, leur qualification et hiérarchisation en interne, leur notification, ainsi qu’aux mesures prises a posteriori. Elle analyse également l’impact économique de la perte de confiance des clients, mesurée par le nombre de clients perdus.
 
Le rapport sur le coût des pertes de données en France résulte d’une analyse de 21 cas de pertes de données, représentant entre 3.900 et 72.000 données touchées. Ce rapport souligne le lien existant entre le nombre de fichiers perdus et le coût d’un incident. Les entreprises interrogées représentaient 11 secteurs d’activité.
 
Les entreprises peuvent analyser leurs risques avec le calculateur des risques de perte de données développé par Symantec. Reposant sur six années de données sur les tendances, ce calculateur tient compte de la taille de l’entreprise, de son secteur d’activité, de sa situation géographique et de ses méthodes de sécurité pour estimer combien lui coûterait une perte de données, globalement et par fichier touché.
 
"Nous constatons cette année encore une hausse des coûts des entreprises associés aux pertes de données", déclare Larry Ponemon, président et fondateur du Ponemon Institute. "Les organismes de réglementation font pression pour que les entreprises mettent en place les contrôles nécessaires pour la protection des données ou soient plus sévèrement sanctionnées. Face aux menaces internes et externes, malveillantes ou non, les entreprises doivent mettre en œuvre proactivement des stratégies et des technologies permettant de réduire le risque de pertes de données coûteuses".
 
"La protection des données reste un défi pour les entreprises, mais la plupart des pertes de données peuvent être évitées", souligne Laurent Heslault, Directeur des Technologies de Sécurité de Symantec en Europe de l’Ouest. "Les entreprises doivent non seulement protéger les données partout où elles sont stockées ou utilisées, mais également développer une culture de la sécurité, avec des formations, des règles et des actions. Les résultats de cette étude montrent que les entreprises qui appliquent les meilleures pratiques en matière de protection des données sont en mesure de réduire considérablement le coût potentiel des pertes de données".