Mesurer le retour sur investissement de la cybersécurité

6 minutes de lecture

Prouver qu'un investissement de sécurité était rentable pose un problème particulier : quand tout se passe bien, il n'y a justement rien à montrer. Voici comment aborder cette question sans tomber dans des indicateurs artificiels.

01La situation en clair

Un investissement commercial se mesure généralement par ce qu'il rapporte : plus de ventes, plus de clients. Un investissement de sécurité, lui, vise à éviter une perte qui, par définition, n'arrive pas s'il fonctionne. Cette absence d'incident, difficile à quantifier, complique la démonstration classique de retour sur investissement, ce qui pousse parfois à négliger la question, ou à bricoler des indicateurs peu convaincants.

02Pourquoi ça compte

Sans capacité à démontrer sa valeur, un budget de sécurité reste structurellement vulnérable aux arbitrages, en particulier en période de restrictions budgétaires : ce qu'on ne peut pas justifier finit souvent par être réduit en premier. Développer des indicateurs adaptés protège la pérennité même de l'investissement dans le temps.

03Ce qu'il faut faire

1. 1

   Raisonnez en coût évité, pas en gain généré

   Plutôt que de chercher un gain financier direct, estimez le coût qu'aurait représenté un incident évité, en s'appuyant sur des données sectorielles ou des incidents survenus ailleurs dans des organisations comparables. C'est une estimation, pas une preuve absolue, mais elle donne un ordre de grandeur parlant.

2. 2

   Suivez des indicateurs de progression, pas seulement d'absence d'incident

   Le temps moyen de détection d'une intrusion, le pourcentage de systèmes à jour, le taux de signalement des e-mails suspects : ces indicateurs progressent visiblement dans le temps, même en l'absence d'incident majeur, et démontrent une amélioration réelle et mesurable.

3. 3

   Reliez chaque action à une échéance concrète pour l'entreprise

   Une amélioration de la sécurité qui permet de remporter un appel d'offres exigeant une certification, ou de rassurer un client stratégique, a une valeur business directe et facilement démontrable, au-delà du seul argument défensif.

4. 4

   Acceptez qu'une part de l'argument reste qualitative

   Toute la valeur de la sécurité ne se traduit pas en chiffre. La confiance des clients, la réputation, la tranquillité d'esprit des équipes dirigeantes ont une valeur réelle, même si elle résiste à la quantification stricte : ne cherchez pas à tout transformer artificiellement en un seul chiffre.