Support technique
Documentation
Connexion
Nous contacter
Accédez directement au résumé généré par l'IA de cet article de blog 
Si le coût de l'endiguement et de l'éradication de la violation est évidemment une nécessité, la perte imprévue et implicite de revenus est également un effet secondaire de la compromission des données. Les effets d'une violation de données s'étendent à tous les services de l'organisation et peuvent également affecter les partenariats avec les fournisseurs et les sous-traitants externes. La perte de confiance des clients peut également durer des années, ce qui fait que le coût d'une violation de données ne se limite pas à une dépense monétaire immédiate. Elle a des effets résiduels durables sur les employés, les fournisseurs, les sous-traitants, les clients et les relations publiques.
Contenu :
- Qu'est-ce qu'une violation de données ?
- Coûts publics d'une violation de données
- Coûts privés
- Coûts internes
- Conclusion
Qu'est-ce qu'une violation de données ?
Si la définition d'une violation de données peut sembler évidente, elle est souvent confondue avec celle d'une violation de sécurité. Une faille de sécurité peut conduire à une violation de données, mais pas toujours. Par exemple, un serveur peut être compromis et un attaquant peut faire planter une application, provoquant un déni de service, mais sans accès aux données, un attaquant ne peut que créer une perte monétaire en raison de la défaillance de l'application et du temps d'arrêt.
Certaines attaques parrainées par des États visent à provoquer un déni de service (DoS) qui entraîne des temps d'arrêt pour des concurrents ou des agences gouvernementales, mais les atteintes à la sécurité ne sont pas aussi lucratives qu'une atteinte à la protection des données pour les attaquants qui cherchent à gagner de l'argent sur les marchés du darknet. Un pirate ayant accès à des données privées peut les vendre sur les marchés du darknet, les utiliser à des fins d'usurpation d'identité pour ouvrir des comptes de crédit et des comptes financiers, ou les utiliser dans des attaques de phishing. Les données privées des entreprises sont bien plus précieuses, surtout s'il s'agit d'informations confidentielles ou de propriété intellectuelle.
Une faille de sécurité peut être plus qu'un déni de service et conduire à une compromission des données. Par exemple, si un attaquant peut installer un logiciel malveillant sur une infrastructure critique, ce logiciel malveillant pourrait être utilisé pour poursuivre d'autres attaques donnant accès à des données. Les violations de mots de passe peuvent être forcées de manière brute, ce qui permet aux attaquants d'obtenir la version en clair des informations d'identification de l'utilisateur. Des campagnes d'hameçonnage réussies peuvent également conduire à la compromission d'un réseau, y compris un ransomware qui retient les données en otage en échange d'un paiement en crypto-monnaie. Dans la plupart de ces cas, la violation commence par un logiciel serveur non corrigé.
Coûts publics d'une violation de données
L'une des principales conséquences imprévues d'une violation de données est l'atteinte à la réputation de l'organisation aux yeux du public. Equifax a été victime d'une importante violation de données au cours de laquelle des pirates ont pu exfiltrer des millions de données personnelles. Des années plus tard, les gens associent toujours Equifax à une organisation qui a divulgué la plupart de leurs données financières et de leurs numéros de sécurité sociale à des attaquants. Des effets durables similaires ont été observés dans la violation de données Welltok, où des données sensibles de consommateurs de soins de santé ont été compromises, et dans la violation de données HealthEC, qui a suscité des inquiétudes quant à l'exposition de dossiers médicaux, ce qui a obligé les gens à geler leurs comptes et à surveiller de près leurs informations financières. Une grande partie du public a perdu confiance en Equifax et ne lui confie plus ses données. Cet effet secondaire d'une violation de données peut être dévastateur pour les organisations qui ont besoin de confiance pour collecter des informations sur les utilisateurs pour les comptes et les ventes de produits.
Après la violation des données d'Equifax, Ponemon a réalisé une étude sur l'impact de la réputation publique d'une organisation lorsqu'elle divulgue des informations sur ses clients à des cybercriminels. L'étude a révélé qu'il fallait au moins dix mois aux organisations pour se remettre de la mauvaise réputation qu'elles avaient acquise aux yeux du public. L'étude a également révélé que 50 % des organisations interrogées ont souffert d'une perte de productivité et 41 % ont indiqué qu'elles avaient perdu la fidélité de leurs clients. La violation de données de MOVEit est un autre exemple récent, où des organisations du monde entier ont été confrontées non seulement à des retombées techniques, mais aussi à un examen public en raison de la divulgation tardive de l'information.
Les entreprises qui stockent des informations privées doivent préserver la confiance par tous les moyens possibles, faute de quoi elles risquent d'assister à un exode massif de leurs clients fidèles. Outre le fait d'éviter une violation de données, la manière dont l'organisation la gère a également un impact sur la confiance des clients. Plus les clients sont informés rapidement de la violation, plus la réputation de l'entreprise s'en trouve améliorée. Les organisations qui la dissimulent pendant des mois perdent une confiance précieuse et risquent de perdre la fidélité de leurs clients si la violation reste cachée trop longtemps. Le signalement d'une violation dans un délai raisonnable est également une responsabilité de conformité pour de nombreux organismes de réglementation standard.
Dans de nombreux scénarios de violation de données, l'exfiltration et la corruption de données dépendent de logiciels malveillants. L'exploitation des logiciels se fait généralement à partir de versions non corrigées et obsolètes, qu'il s'agisse du système d'exploitation, d'outils tiers ou de logiciels personnalisés présentant des vulnérabilités inconnues. Lorsque les clients découvrent les détails d'une violation ou d'une fuite de données causée par des systèmes non corrigés, toute correction logicielle mal gérée peut nuire à la confiance. Si la gestion standard des correctifs n'est pas mise en œuvre, les clients ne seront probablement pas convaincus qu'elle le sera à l'avenir. Ce facteur affecte souvent les grandes entreprises techniques, les instituts financiers et toute autre organisation qui stocke de grandes quantités de données d'utilisateurs.
Dans la journée suivant l'annonce d'une violation de données, les entreprises cotées en bourse ont enregistré une baisse moyenne de 7,5 % de la valeur de leurs actions. Les chercheurs ont également observé une perte de 5,4 milliards de dollars de capitalisation boursière par entreprise et un délai de 46 jours pour que les cours reviennent à la normale. La chute des actions et les relations publiques négatives affectent également les relations avec les fournisseurs et les partenariats. Si l'on ne peut pas faire confiance à l'organisation en matière de données, de nombreux partenariats essentiels risquent d'être détruits.
Coûts privés
Un grand nombre des coûts publics qui affectent les organisations après une violation de données célèbre, comme celle d'Equifax ou de Target, affectent également les revenus privés et l'évaluation de l'entreprise. La chute du cours des actions affecte l'entreprise elle-même, mais il existe plusieurs coûts privés associés à une violation de données. Le rapport 2020 de Ponemon sur le coût d'une violation de données (Cost of a Data Breach Report 2020 ) estime que le coût global moyen s'élève à 3,86 millions de dollars. Après la violation, l'étape suivante consiste à mettre en œuvre un bon plan d'intervention en cas d'incident, mais de nombreuses organisations ne disposent pas d'un bon plan pour contenir et éradiquer la menace.
Les organisations qui ne disposent pas d'une équipe dédiée à la réponse aux incidents doivent faire appel à un service externe pour les aider en cas de compromission. Un attaquant dispose alors de plus de temps pour exfiltrer davantage de données. Pour une réponse immédiate, de nombreuses organisations doivent arrêter des services critiques pour stopper l'extraction de données du système compromis. L'arrêt immédiat des services critiques entraîne un manque de productivité pour les employés internes et un manque de revenus pour les portails destinés aux clients. Elle peut également entraîner la corruption des données et des demandes de service à la clientèle à long terme de la part de clients incapables de passer des commandes.
Les équipes de réponse aux incidents coûtent des centaines de dollars par heure, plus les frais de déplacement. Les organisations peuvent dépenser des milliers d'euros pour qu'une équipe éradique et enquête sur un incident si elles ne disposent pas d'une équipe dédiée pour gérer la situation. La plupart des informaticiens ne sont pas qualifiés pour éliminer complètement une menace de l'infrastructure, en particulier si l'incident implique des menaces persistantes avancées (APT).
Une fois la menace éradiquée, la plupart des organisations doivent mettre à niveau leur infrastructure, qu'il s'agisse de matériel, de logiciels ou des deux. Les "enseignements tirés" sont la dernière étape standard de la réponse aux incidents et de la reprise après sinistre, et ils sont liés à la prise de conscience qu'un élément de la stratégie de cybersécurité de l'organisation n'est pas suffisant pour mettre fin aux menaces. De meilleures stratégies pourraient consister à apprendre aux utilisateurs à mettre fin aux attaques par hameçonnage, à améliorer les logiciels anti-malware, à remédier aux mauvaises configurations ou à mieux gérer les correctifs des logiciels obsolètes qui ont conduit à l'exploit.
L'effet d'entraînement affecte tous les aspects de l'entreprise. L'intervention en cas d'incident permet d'archiver les fichiers et les pistes d'audit pour les remettre aux autorités en vue d'une enquête, mais dans l'intervalle, tout système mis hors service pour se protéger contre d'autres dommages empêchera les employés d'être productifs et, potentiellement, les ventes aux clients.
Pour illustrer la manière dont un système piraté peut affecter l'ensemble de l'organisation, examinons ce qui se passe lorsqu'un serveur de base de données est infecté par un logiciel malveillant ou qu'un pirate réussit à lancer une attaque persistante de type "cross-site scripting" (XSS). Dans le cas d'une attaque XSS persistante, les données sont corrompues et peuvent être utilisées pour obtenir l'accès à des systèmes internes. Dans le cas d'un logiciel malveillant, la base de données peut envoyer des données à un serveur contrôlé par un pirate, donner à ce dernier un accès à distance au système ou crypter des fichiers à l'aide d'un rançongiciel. Même la récupération à partir d'une sauvegarde prend du temps et entraîne des temps d'arrêt pendant que le système se rétablit. Dans les grandes entreprises, un temps d'arrêt ne serait-ce que d'une journée peut coûter à l'entreprise des milliers de dollars en termes de perte de chiffre d'affaires et de productivité des employés. La perte de revenus initiale peut être constatée des mois plus tard.
Coûts internes
La plupart des chercheurs discutent des effets d'une violation de données sur le chiffre d'affaires de l'entreprise, le cours des actions, la perte de clients et les prix des interventions en cas d'incident, mais ils ne parlent pas des effets sur les relations interpersonnelles entre les employés et le personnel informatique. Étant donné qu'une violation de données est un événement annoncé publiquement, les employés sont sensibilisés au problème et doivent être inclus dans les changements apportés aux processus organisationnels et à la formation.
Si la base de l'attaque est une campagne de phishing, les employés ciblés qui ont été victimes de l'attaque doivent être formés à identifier les messages malveillants et à les signaler. Il n'est pas rare que les employés fassent confiance aux services informatiques pour les protéger contre les logiciels malveillants. Ainsi, même dans le cas d'une campagne d'hameçonnage ayant abouti à une atteinte à la protection des données, les employés pourraient perdre confiance dans l'entreprise, et plus particulièrement dans les services informatiques. La perte de confiance peut être pire si l'échec de la protection de l'infrastructure résulte d'une mauvaise configuration, d'une infrastructure anti-malware inefficace ou d'une erreur informatique.
Les professionnels de l'informatique et de la sécurité savent qu'aucune stratégie de cybersécurité ne réduit les risques à 100 %, mais les employés internes ne sont pas conscients de la façon dont les cybermenaces fonctionnent. Toute atteinte à la protection des données entraînera une modification des procédures, ce qui alourdira généralement le travail de l'utilisateur. Ces procédures peuvent consister en une modification des systèmes de sécurité affectant la manière dont les employés s'authentifient dans le système, en une modification des processus manuels ou en une formation obligatoire supplémentaire. Toute augmentation significative de la productivité quotidienne d'un employé se heurtera à une certaine résistance, y compris de la part de la direction. La perte de confiance pourrait entraîner des difficultés à obtenir l'approbation d'un changement dans la manière dont les processus actuels sont exécutés.
La mise en œuvre de nouveaux systèmes et procédures de cybersécurité est déjà difficile, car la plupart des employés ne veulent pas faire d'efforts supplémentaires pour assurer la sécurité, mais une violation de données peut laisser les employés sans confiance dans les systèmes nouveaux et existants, ce qui peut finalement conduire à des procédures ignorées et à un risque accru. La formation et l'éducation à la cybersécurité contribuent à réduire les risques, mais il faut du temps pour collaborer et planifier les sessions. Les employés, y compris les cadres, doivent prendre le temps de suivre une formation.
Conclusion
Les entreprises sont conscientes de la valeur de leurs données, mais la manière dont elles gèrent les cyber-risques influe directement sur la probabilité d'une compromission. Les violations de données entraînent des années de récupération, tant sur le plan financier que sur celui de la confiance des utilisateurs. La plupart des organisations se concentrent sur les dommages monétaires immédiats, mais les dommages à long terme affecteront les revenus et les autres coûts pendant des années.
L'atténuation des vulnérabilités avant qu'elles ne soient exploitées est le meilleur moyen de réduire le risque de violation. Cela implique de bonnes pratiques en matière de correctifs et de maintenance. Avec les correctifs en direct, votre organisation ajoute un niveau de commodité et un correctif sans redémarrage plus rapide sur les serveurs vulnérables et obsolètes. Au lieu d'attendre des semaines pour corriger les serveurs vulnérables, ce qui les expose aux derniers exploits, le live patching met à jour le logiciel du serveur et le système d'exploitation lorsque les fournisseurs déploient des mises à jour. KernelCare offre des correctifs en direct pour les principales distributions Linux et peut réduire la fenêtre d'opportunité sur les serveurs non corrigés. Il suffit de déployer KernelCare avec l'outil d'orchestration de votre choix et de tirer parti des avantages des correctifs en direct pour réduire les risques et protéger vos serveurs contre les cybermenaces et les exploits les plus récents.