Ce qu’une attaque coûterait : l’exemple chiffré des Ateliers Morvan
Exemple fictif. Ekera relie les applications, les infrastructures et les processus métier d’une ETI industrielle fictive pour répondre à trois questions : où se situe le risque, quel pourrait être l’impact financier, quels travaux financer.
Démonstration · Ateliers Morvan, exemple fictif
Que pourrait coûter une attaque contre votre système d’information ?
Une vulnérabilité technique ne dit pas, à elle seule, quelles activités seraient interrompues ni ce que cela coûterait. Ekera relie les applications, les infrastructures et les processus métier pour répondre à trois questions. Les Ateliers Morvan sont un exemple fictif : leurs chiffres sont illustratifs, hypothèses de démonstration non calibrées, posées pour montrer le fonctionnement du moteur et non calculées par lui.
DiagnosticAteliers Morvan · exemple fictif
81 %de l’activité critique arrêtée dans le pire scénario d’attaque
Indicateur
Situation de référence
Après travaux (simulation)
Arrêt maximal après une attaque
81 %
34 %
Pire scénario
2,4 à 4,9 M€
0,9 à 1,8 M€
Pertes potentielles estimées, par an (voir la note)
150 à 980 k€
40 à 260 k€
Portes d’entrée faibles
5
1
Sauvegardes hors d’atteinte
non
oui
Mesures NIS2 évaluées tenues
4,5 sur 10
8 sur 10
Point unique de défaillance : le poste d’expédition de Nevers. Dépendance : contrat de maintenance, p. 4 ; absence de sauvegarde : rapport de sauvegarde du 3 octobre.
Exemple fictif · montants : pertes potentielles estimées, conditionnelles aux hypothèses retenues (chiffres illustratifs, hypothèses de démonstration non calibrées) · « après travaux » : estimations conditionnelles, pas des réductions de risque garanties · mesures NIS2 : indicateur de progression NIS2 (pas une certification), sur les mesures évaluées
1 · Où se situe le risque ?
81 % de l’activité critique arrêtée
La part des activités critiques qu’arrêterait le pire scénario d’attaque. Point unique de défaillance : le poste d’expédition de Nevers.
Comment c’est calculé
Somme des criticités des processus métier arrêtés dans le pire scénario d’attaque, divisée par celle de tous les processus modélisés. Un processus compte comme arrêté dès qu’un composant dont il dépend est atteint ; le moteur ne distingue pas les processus seulement dégradés. Exemple : l’expédition dépend d’un poste unique à Nevers ; la dépendance vient du contrat de maintenance, l’absence de sauvegarde du rapport de sauvegarde, chacune avec sa date.
2 · Quel pourrait être l’impact financier ?
2,4 à 4,9 M€ dans le pire scénario
Pertes potentielles estimées, conditionnelles aux hypothèses retenues (chiffres illustratifs, hypothèses de démonstration non calibrées) : 150 à 980 k€ par an. Les estimations dépendent des scénarios retenus, des données disponibles et des hypothèses de calcul.
Comment c’est calculé
Les pertes potentielles estimées additionnent, pour chaque porte d’entrée et chaque point unique de défaillance, fréquence annuelle estimée × perte du scénario. La fourchette va des hypothèses basses (fréquences, jours d’arrêt, coûts de réponse) aux hautes. Le pire scénario est la perte de la porte d’entrée la plus coûteuse.
3 · Quels travaux faut-il financer ?
Des mesures comparées, pour trois budgets
Le moteur compare les combinaisons de mesures de son catalogue par coût et par effet estimé sur le risque. Après travaux (simulation), l’arrêt maximal passerait de 81 % à 34 % ; vos équipes jugent de la faisabilité et valident les mesures.
Conditions et indicateur de progression NIS2
Les résultats « après travaux » supposent que ces mesures sont réalisées et produisent les effets modélisés : ce sont des estimations conditionnelles. Les coûts sont des ordres de grandeur, à confirmer par devis. L’indicateur de progression NIS2 (pas une certification) compte les dix mesures de l’article 21 : 1 point par mesure tenue, ½ si partielle ; il porte sur les mesures évaluées.
Découvrez ce que cette analyse donnerait dans votre entreprise.
Les indicateurs dépendent des données disponibles, des hypothèses retenues et du périmètre analysé.
Démonstration en vidéo
Voir Ekera en 3 minutes
Morvelle Industrie, une entreprise industrielle fictive : la carte de son système d’information lue dans 17 pièces, ce qu’une attaque arrêterait, ce que cela coûterait selon le moteur de calcul, et trois scénarios d’investissement proposés, à valider par l’entreprise.
Cas fictif : entreprise, pièces et chiffres inventés. Pertes potentielles estimées, calibration provisoire.
Un premier échange de 30 minutes : le cadrage de votre besoin, le périmètre envisageable et la liste des informations nécessaires au diagnostic. Le diagnostic initial part de vos documents et de vos exports, sans accès direct à votre système d’information.
ekera 