Lors d’un comité de direction, un client m’a montré un tableau simple : licences de sécurité, assurance cyber, prestations ponctuelles, formation. La ligne totale semblait conséquente. Pourtant, personne ne pouvait répondre à trois questions très concrètes : quels risques ce budget réduisait-il, qui vérifiait son efficacité et que se passerait-il en cas d’incident majeur ? C’est le vrai sujet d’un budget cybersécurité entreprise : pas le montant seul, mais la capacité à financer des décisions qui tiennent dans la durée.

Un budget trop faible crée des angles morts. Un budget mal orienté crée une fausse impression de protection. Entre les deux, il existe une approche pragmatique : partir des risques réels, des obligations de l’organisation et de ses capacités opérationnelles.

Un budget cybersécurité entreprise ne commence pas par des outils

Le premier réflexe consiste souvent à lister des solutions techniques : protection des postes, sauvegardes, filtrage des courriels, supervision, authentification forte. Ces briques ont leur place. Mais elles ne constituent pas un plan de financement à elles seules.

Avant de chiffrer, il faut savoir ce que l’entreprise cherche à protéger. Une organisation qui traite des données de santé, opère un service public ou s’appuie sur une chaîne logistique très tendue ne portera pas les mêmes risques qu’une société de services avec peu de données sensibles. Le coût d’un arrêt d’activité, d’une fraude au paiement, d’une fuite de données ou d’un accès administrateur détourné doit être discuté avec les équipes finance, opérations, informatique et conformité.

Cette analyse évite deux erreurs fréquentes. La première est d’acheter une technologie parce qu’elle est devenue attendue dans le secteur, sans vérifier son intégration ni son exploitation. La seconde est de repousser les sujets de gouvernance, parce qu’ils paraissent moins visibles qu’une nouvelle plateforme. Or, sans règles d’accès, responsabilités désignées et processus de contrôle, même un bon outil produit peu de résultats.

Une évaluation des risques ciblée fournit une base saine. Elle n’a pas besoin de durer des mois pour être utile. Elle doit identifier les actifs prioritaires, les scénarios vraisemblables, les dépendances critiques, les faiblesses connues et les mesures déjà en place. Le budget devient alors défendable : chaque poste répond à un risque, à une exigence ou à une capacité à maintenir.

Répartir les dépenses entre prévention, détection et reprise

Un budget équilibré ne finance pas uniquement la prévention. Les attaques réussissent parfois malgré les contrôles. La question est donc aussi de savoir quand l’organisation le verra, qui prendra les décisions et comment l’activité reprendra.

Pour construire cette répartition, quatre familles de dépenses méritent d’être distinguées :

• la réduction des vulnérabilités, avec la gestion des correctifs, la sécurisation des configurations, la protection des identités et la sensibilisation ciblée ;
• la détection et la réponse, avec la journalisation utile, la surveillance des événements, les procédures d’escalade et les exercices de gestion d’incident ;
• la continuité, avec des sauvegardes testées, des plans de reprise réalistes et la préparation des équipes opérationnelles ;
• la gouvernance et la conformité, avec les politiques, les analyses de risque, les contrôles, les preuves d’audit et le suivi des fournisseurs.

La pondération dépend du contexte. Une entreprise qui ne sait pas restaurer ses données après une attaque doit souvent consacrer une part immédiate à la reprise. Une autre, déjà bien équipée mais incapable de savoir qui accède à quoi, gagnera davantage en traitant la gestion des identités et des accès. Ajouter une solution de surveillance sans équipe, ni processus pour qualifier les alertes, peut au contraire augmenter le bruit et la frustration.

Il faut aussi distinguer les dépenses initiales des dépenses récurrentes. Déployer l’authentification multifacteur ou remettre à niveau des sauvegardes peut être un projet ponctuel. Administrer les accès, examiner les alertes, revoir les droits lors des départs et tester la reprise sont des activités continues. Les oublier dans le budget revient à financer l’installation sans financer l’usage.

Le coût caché des contrôles non exploités

J’ai vu des organisations détenir des licences pour des fonctions avancées qui n’avaient jamais été configurées. L’investissement figurait bien dans les comptes, mais pas dans la réalité opérationnelle. Ce décalage vient souvent d’une estimation incomplète : temps des équipes, compétences nécessaires, coordination avec les applications, documentation et contrôle périodique.

Avant chaque achat, trois questions suffisent souvent à clarifier la décision : qui administrera la mesure, comment vérifiera-t-on qu’elle fonctionne et que fera-t-on lorsqu’elle signalera un problème ? Si les réponses restent floues, le budget doit inclure l’accompagnement, la formation ou une capacité externe adaptée.

Donner la priorité aux identités et aux accès

Dans de nombreux incidents, l’accès initial ne passe pas par une faille technique spectaculaire. Il repose sur un compte compromis, un droit trop large, un accès conservé après un changement de fonction ou un prestataire insuffisamment encadré. C’est pourquoi la gestion des identités mérite une place particulière dans le budget.

Le financement doit couvrir plus que l’authentification forte. Il faut prévoir l’inventaire des comptes sensibles, la revue des habilitations, la gestion des comptes à privilèges, le raccordement des arrivées et départs aux processus RH, ainsi que le contrôle des accès des partenaires. L’objectif est simple : limiter les accès au nécessaire et être capable de démontrer que cette règle est appliquée.

Pour une structure de taille moyenne, un programme progressif est souvent préférable à un grand projet trop ambitieux. On peut commencer par les comptes administrateurs, les applications financières, les services exposés et les accès distants. Les résultats sont mesurables : moins de comptes orphelins, moins de privilèges excessifs, une meilleure traçabilité et des décisions d’accès plus rapides.

Prévoir les fournisseurs dans le budget

Les applications en nuage, les infogérants, les éditeurs et les sous-traitants étendent la surface d’exposition de l’entreprise. Pourtant, l’évaluation des tiers est fréquemment traitée au moment de la signature, puis oubliée jusqu’au prochain audit ou incident.

Un budget réaliste prévoit le temps et les moyens de qualifier les fournisseurs selon leur criticité. Tous ne demandent pas le même niveau d’examen. Un prestataire qui héberge des données sensibles ou intervient sur un système de production doit faire l’objet d’exigences plus précises qu’un fournisseur sans accès aux informations internes.

Cela peut inclure des questionnaires ciblés, l’analyse de preuves, des clauses contractuelles, le suivi des plans de correction et une réévaluation en cas de changement majeur. La dépense est modeste au regard du coût potentiel d’une dépendance mal maîtrisée. Elle évite aussi de découvrir, trop tard, qu’aucune obligation de notification, de sauvegarde ou de réversibilité n’a été formalisée.

Construire une trajectoire sur 12 à 24 mois

Chercher à tout corriger sur un exercice produit généralement des arbitrages confus. Une trajectoire en plusieurs étapes rend le budget plus lisible et laisse aux équipes le temps d’absorber les changements.

Les premiers mois doivent traiter les écarts qui exposent directement l’activité : sauvegardes non testées, comptes à privilèges mal contrôlés, absence de réponse à incident, systèmes non corrigés ou accès de tiers non suivis. La phase suivante peut structurer les politiques, les revues d’accès, les indicateurs et la gestion des fournisseurs. Les initiatives plus ambitieuses, comme une certification ou une transformation étendue de la gestion des identités, trouvent ensuite une base plus stable.

Chaque étape doit avoir un résultat observable. Par exemple : taux de restauration validé, délai de désactivation d’un compte, couverture de l’authentification forte, pourcentage de fournisseurs critiques évalués, délai de traitement des vulnérabilités. Ces indicateurs ne remplacent pas le jugement, mais ils permettent de vérifier que les dépenses produisent une amélioration concrète.

Pour les organisations qui ne disposent pas en interne de toutes les compétences nécessaires, une intervention spécialisée à temps partiel peut être plus pertinente qu’un recrutement précipité ou qu’une succession de missions isolées. L’enjeu est de conserver une vision d’ensemble, tout en faisant avancer les chantiers prioritaires.

Défendre le budget auprès de la direction

La direction n’attend pas une liste de sigles ni un catalogue de scénarios anxiogènes. Elle doit pouvoir comprendre le risque financier, opérationnel, réglementaire et réputationnel traité par chaque investissement. Présenter les choix en langage d’activité facilite l’arbitrage.

Plutôt que de demander un montant pour « renforcer la sécurité », il est plus clair d’expliquer qu’un financement permettra de restaurer les systèmes critiques dans un délai défini, de réduire les accès administrateurs non justifiés, de contrôler les prestataires manipulant des données sensibles ou de préparer les éléments attendus lors d’un audit. Cette formulation rend également les renoncements visibles : si une dépense est reportée, quel risque l’entreprise accepte-t-elle temporairement ?

Un bon budget ne promet pas l’absence d’incident. Il donne à l’organisation des moyens proportionnés pour prévenir, détecter, décider et reprendre son activité. Votre budget actuel finance-t-il vraiment ces capacités, ou additionne-t-il surtout des achats historiques ?

Source : ANSSI, Guide d’hygiène informatique, recommandations pour renforcer la sécurité des systèmes d’information.