Construire un budget cybersécurité qui tient la route
Un budget de sécurité mal réparti protège mal, quelle que soit sa taille totale. Voici comment le construire sur des bases solides, plutôt qu'en reconduisant simplement celui de l'année précédente.
01La situation en clair
Les pratiques budgétaires en cybersécurité restent très hétérogènes d'une organisation à l'autre : certaines calculent un pourcentage du budget informatique global, d'autres partent des risques identifiés, d'autres encore avancent au fil des urgences, sans réelle logique de construction. Cette hétérogénéité rend la comparaison difficile, mais surtout, elle traduit souvent une absence de méthode claire, plutôt qu'un choix stratégique assumé.
02Pourquoi ça compte
Un budget construit sans méthode a tendance à suivre les modes du moment ou les dernières inquiétudes en date, plutôt que les risques réels de l'organisation. Un budget bien construit, à l'inverse, devient un outil de pilotage : il permet de justifier chaque dépense par un risque précis qu'elle réduit, et de défendre solidement une demande de moyens supplémentaires.
03Ce qu'il faut faire
-
1
Partez des risques, pas d'un pourcentage arbitraire
Un budget calculé uniquement comme un pourcentage du budget informatique global ignore la réalité des risques propres à votre organisation. Une analyse de risques (voir le guide dédié) donne une base bien plus solide pour prioriser les investissements.
-
2
Distinguez ce qui protège de ce qui répare
Un budget équilibré couvre à la fois la prévention (ce qui évite les incidents) et la capacité de réaction (ce qui permet de bien réagir quand ils surviennent malgré tout). Un budget entièrement absorbé par la prévention laisse l'organisation démunie le jour d'une crise.
-
3
Traquez les dépenses redondantes
Plusieurs outils achetés au fil du temps finissent parfois par couvrir les mêmes besoins sans que personne ne s'en aperçoive. Un audit régulier de ce qui est réellement utilisé, par rapport à ce qui est payé, révèle souvent des économies possibles sans réduire le niveau de protection.
-
4
Présentez le budget avec des visuels compréhensibles
Un tableau de chiffres bruts convainc rarement une direction non technique. Représenter visuellement où va l'argent, et surtout quel risque chaque poste de dépense réduit, facilite grandement l'arbitrage et l'adhésion.
L'erreur à ne pas faire
Reconduire le budget de l'année précédente sans le réévaluer, en ajoutant simplement une ligne pour la dernière menace à la mode. Sans revue régulière fondée sur les risques réels, un budget dérive progressivement, sans plus refléter les priorités effectives de l'organisation.
En une phrase
Un budget de sécurité solide se construit à partir des risques réels de l'organisation, pas d'un pourcentage arbitraire ni des habitudes de l'an passé.