Les États-Unis ont été le pays le plus coûteux pour un coût total moyen d’une violation de données pour la 12e année consécutive à 9,44 millions de dollars, une augmentation de 4,3 % par rapport à 2021. Le Canada s’est classé troisième avec 5,64 millions de dollars, en hausse de 4,4 % par rapport à l’année dernière.
Le Moyen-Orient figurait également parmi les cinq premiers, deuxième avec 7,46 millions de dollars. Le Royaume-Uni et l’Allemagne complètent la liste, avec respectivement 5,05 millions de dollars et 4,85 millions de dollars.
IBM a étudié 550 organisations touchées par des violations de données entre mars 2021 et mars 2022. Les violations se sont produites dans 17 pays et régions et dans 17 secteurs différents.
« Cette année est la première où nous avons vu des organisations répercuter le coût des violations de données sur leurs clients », a fait remarquer Hamilton, notant que 60 % des organisations ont déclaré avoir augmenté les prix de leurs biens ou services en réponse à une violation.
Une autre découverte unique est que 83 % des organisations de l’étude ont subi plus d’une violation de données au cours de leur vie. Cet « effet obsédant » devrait s’aggraver, les équipes de sécurité gérant chaque année davantage d’incidents cybernétiques.
IBM a découvert que l’impact persiste également sur les organisations longtemps après les cyberattaques, avec près de la moitié des coûts de violation encourus plus d’un an après l’événement.
“Lorsqu’une organisation est victime d’une violation, l’accent est généralement beaucoup plus mis sur le programme de sécurité et la suppression des vulnérabilités. Souvent, ce processus prend du temps, surtout si une organisation a beaucoup d’infrastructures héritées qui nécessitent des mises à jour manuelles du code », a expliqué Hamilton.
« Parfois, vous ne pouvez pas sortir un nouveau logiciel sans tester l’ensemble de l’environnement, en vous assurant qu’il fonctionnera en conséquence. Cela peut donc prendre des semaines, voire des mois, pour passer par ce processus.
“Ce n’est pas payant de payer”
Hamilton a également trouvé « déconcertant » que de nombreuses organisations tombent dans le piège d’un système de ransomware, pour tomber une deuxième fois pour la même attaque des semaines ou des mois plus tard. Les ransomwares n’étaient responsables que de 11 % des violations étudiées par IBM cette année, mais le coût moyen d’une attaque de ransomware – sans compter la rançon elle-même – était de 4,54 millions de dollars, supérieur au coût moyen global d’une violation de données.
Hamilton a expliqué quels facteurs influencent la décision des organisations de payer une rançon : « Certaines organisations ont un plan de résilience très solide. Ils ont des plans de continuité des activités et de reprise après sinistre qu’ils ont testés et mis en œuvre. Ils réalisent [after a data breach] ce [they] peut reprendre les processus métier critiques.
« D’autres n’ont pas ces plans de reprise après sinistre. Ils n’ont pas de sauvegardes de données. Soit ils paient une rançon dans l’espoir de récupérer des données que les pirates ont exfiltrées, soit ils recommencent à zéro – et recommencer à zéro sans sauvegarde peut prendre des semaines, des mois, selon la complexité de l’environnement.
Les organisations qui ont payé une rançon aux cybercriminels ont payé environ 610 000 $ de moins en coûts moyens de violation par rapport à celles qui ont choisi de ne pas payer. Mais le paiement moyen de la rançon en 2021 était de 812 000 $, selon le rapport sur l’état des rançongiciels de Sophos, ce qui signifie que les payeurs de rançon ont des coûts totaux nets plus élevés. Pire encore, ils financent par inadvertance les futures attaques des acteurs de la menace et contribuent au cercle vicieux.
« Nous avons assisté à une évolution substantielle vers des groupes criminels organisés piratant des entreprises. Le front du crime organisé a certainement progressé, en particulier dans le domaine des rançongiciels », a noté Hamilton.
Le cycle de vie moyen d’une attaque de ransomware a également été considérablement raccourci, passant de plus de deux mois à un peu moins de quatre jours, a rapporté IBM. Des durées plus courtes signifient de moins en moins de temps pour les intervenants en cas d’incident de cybersécurité pour détecter et contenir les attaques, ce qui peut entraîner des paiements plus élevés pour les organisations.
Impacts de la COVID-19
Le rapport de cette année sur le coût des violations de données est le troisième d’IBM depuis l’arrivée du COVID-19. Hamilton a déclaré qu’un sous-produit de la pandémie a un impact considérable sur la cybersécurité des organisations : le travail à distance.
“L’un des points forts [in the report] était une forte corrélation entre le travail à distance et le coût d’une violation de données. Plus d’employés travaillant à distance étaient associés à des coûts de violation plus élevés », a déclaré Hamilton.
Pour les organisations dont plus de 80 % des employés travaillent à distance, le coût de la violation de données était de 5,10 millions de dollars. Pour ceux dont moins de 20 % des employés travaillent à distance, le prix moyen était de 3,99 millions de dollars.
«De nombreuses organisations ont essayé de pivoter du jour au lendemain, en mettant en œuvre des politiques de travail à distance, en hébergeant des réunions Zoom et WebEx, et en prenant ce qui était un environnement potentiellement fermé et en le repoussant. Ajoutez à cela le nombre d’employés travaillant potentiellement dans le monde entier », a ajouté Hamilton.
Lorsqu’il s’agit de sécuriser l’infrastructure informatique, l’authentification multifacteur est “absolument critique” pour les organisations, selon Hamilton. Les entreprises doivent également installer un logiciel de sécurité des terminaux, qui permet de supprimer à distance les données critiques d’un ordinateur portable ou d’un appareil en cas de perte ou de vol.
L’étude d’IBM a également mis en évidence l’approche du cloud hybride – où l’architecture informatique d’une entreprise utilise au moins un cloud public et un cloud privé – a aidé les organisations à réduire leurs coûts de violation de données. Avec près de la moitié (45 %) des violations de données se produisant dans le cloud, la sécurité de ces environnements est primordiale.
De plus, les organisations qui ont entièrement déployé l’intelligence artificielle et l’automatisation de la sécurité ont engagé 3,05 millions de dollars de moins en moyenne en dépenses de violation, la plus grande économie de coûts observée dans l’étude, a déclaré IBM.
Pour Hamilton, la sensibilisation à la cybersécurité des employés, en particulier ceux qui travaillent à distance, est un moyen simple et efficace de réduire le risque de violation de données.
“Alors que de plus en plus de personnes travaillent à distance, tout le monde n’est pas assis dans son bureau à domicile ou sur son comptoir de cuisine. Certaines personnes vont dans des cafés ou des espaces de coworking. S’assurer que l’employé pratique une bonne cyber-hygiène, verrouiller son ordinateur portable et s’assurer que les gens ne surfent pas sur l’épaule sont des choses fondamentales qu’un employeur doit garder à l’esprit pour atténuer les cyber-risques », a déclaré Hamilton. Entreprise d’assurance.
Français
