Le prix d’une évaluation de la cybersécurité varie suffisamment d’un prestataire à l’autre pour qu’il vaille la peine de comprendre ce qui détermine réellement le chiffre, plutôt que de comparer des devis comme s’ils représentaient un périmètre identique.

Ce que vous allez apprendre

  • Ce qui détermine réellement le coût d’une évaluation
  • Pourquoi la profondeur compte autant que la taille de l’organisation
  • Comment comparer les devis équitablement

La taille de l’organisation et le nombre de systèmes

Le nombre de systèmes, de sites et d’utilisateurs évalués est un facteur principal. L’examen d’un seul bureau avec quelques systèmes coûte moins qu’une évaluation multisite couvrant un environnement plus large et plus complexe.

La profondeur de l’évaluation

Une revue de base qui identifie les failles évidentes et courantes coûte moins qu’une évaluation approfondie qui teste l’exploitabilité réelle des constats, c’est-à-dire qui confirme qu’une vulnérabilité est réellement atteignable et pas seulement présente en théorie. Ce sont des volumes de travail nettement différents, ce que reflète le coût.

Le périmètre : ce qui est réellement examiné

Une évaluation de la cybersécurité peut couvrir la configuration du réseau, la sécurité des postes, la gestion des identités et l’examen des politiques, ou une partie seulement. Confirmez exactement ce qui est inclus avant de comparer le prix à un autre devis qui pourrait couvrir moins.

Des constats priorisés et expliqués

Un rapport qui classe les constats selon le risque réel et justifie chaque point demande plus de travail, et sert davantage à l’action, qu’une simple liste brute de tout ce qui a été techniquement trouvé. Cela influe sur le coût et, surtout, sur l’utilité réelle du livrable.

Ce qui n’est généralement pas inclus

La remédiation, c’est-à-dire la correction effective de ce que l’évaluation révèle, est généralement cadrée et chiffrée séparément, car l’objet de l’évaluation est d’établir ce qui demande de l’attention avant de s’engager à tout corriger.

Les facteurs en un coup d’œil

Facteur Effet sur le coût
Nombre de systèmes et de sites Plus de systèmes et de sites élargissent le périmètre et le coût
Profondeur de l’évaluation Tester l’exploitabilité coûte plus qu’une revue de base des failles
Détail du rapport Des constats priorisés et justifiés demandent plus de travail
Remédiation de suivi Cadrée et chiffrée séparément de l’évaluation

À quoi ressemble un calendrier d’évaluation raisonnable

À titre indicatif, l’évaluation d’un bureau unique demande généralement trois à cinq jours entre le lancement et la remise du rapport, ce qui donne une idée de l’effort réellement nécessaire. C’est un repère utile quand un devis paraît anormalement bas pour le périmètre annoncé.

Obtenir une comparaison équitable

Demandez précisément à chaque prestataire quels systèmes et quelle profondeur couvre son devis, et si le livrable comprend des recommandations priorisées ou seulement une liste de constats. Un devis nettement moins cher couvrant un périmètre plus restreint n’est pas forcément plus avantageux : c’est un produit différent et plus étroit, comparé injustement à un produit plus complet.

Pourquoi l’option la moins chère n’est pas non plus automatiquement le mauvais choix

Une évaluation plus étroite et plus ciblée peut être tout à fait appropriée si vous avez une préoccupation précise plutôt que le besoin d’un examen complet de tout. L’essentiel est de savoir ce que vous achetez réellement, et de vérifier que le périmètre correspond aux questions auxquelles vous avez réellement besoin de réponses, plutôt que de supposer que le prix seul vous le dit.