CYBER/ PROJET SI
Priorisation des investissements cyber d'un projet Human Capital Management
Groupe international déployant une nouvelle plateforme Human Capital Management (HCM) contenant environ 230 000 enregistrements de données personnelles d'employés. Mise en production prévue à fin d'année, avec une forte pression calendaire portée par les métiers.
+1500%
ROI d'un renforcement cyber
/
2025
Le problème
Aller vite ou bien faire ? Une question sans référentiel commun
À la demande du Group CISO, une évaluation stratégique de la posture cyber du programme devait être menée avant la mise en production. La question à trancher : les contrôles projetés à la date de go-live sont-ils suffisants au regard de l'appétence au risque du Groupe, et sinon, quel investissement de renforcement est justifié ?
Sans référentiel financier, le débat entre la sécurité (qui poussait pour un renforcement des contrôles) et les métiers (qui poussaient pour tenir le calendrier) restait bloqué sur des positions qualitatives.
NOTRE APPROCHE
54 contrôles critiques, 4 paliers de priorité, deux sanctions RGPD comme repères
Deux scénarios de risque ont été identifiés avec le concours d'experts métiers : indisponibilité de l'infrastructure SaaS et compromission des données personnelles par un cybercriminel. Le premier scénario a été évalué comme non structurant. L'analyse s'est donc concentrée sur le second.
L'exposition a été modélisée sur la base d'un référentiel de 54 contrôles critiques, évalués selon quatre paliers de priorité (Tier 0 à Tier 3). Les hypothèses ont été calibrées à partir de sinistres RGPD documentés publiquement dans le secteur : sanctions de 35 M€ et 32 M€ prononcées en 2020 et 2024.
Les catégories de pertes retenues couvrent l'atteinte à la marque employeur et à l'attractivité des talents, ainsi que les sanctions réglementaires. L'impact sur la valorisation boursière et les recours collectifs de salariés ont été explicitement exclus, sur la base de précédents médiatisés du secteur.
NOS RÉSULTATS
Une exposition ramenée de 4 M€ à 1,5 M€ pour 160 k€ investis
Exposition annuelle
4 M€ à la mise en production (Tier 0), avec un scénario extrême à 111 M€, soit un dépassement de la Risk Tolerance du Groupe.
Réduction de 62,5%
De l'exposition grâce au passage aux contrôles de priorité élevée (Tier 1).
ROI supérieur à 1500%
Pour l'investissement de renforcement (160 k€) — défendu chiffres à l'appui en COMEX.
Trajectoire complète
Tier 0 → Tier 3 avec exposition résiduelle et ROI marginal calculés à chaque palier.
Cadre d'arbitrage explicite
Entre sécurité renforcée, coût des contrôles et calendrier de mise en production.
Méthode réutilisable
Sur les prochains projets critiques du Groupe, sans dépendance externe.
conclusion
Un calendrier tenu, une trajectoire de renforcement partagée
Le référentiel chiffré a permis d'aligner la direction sécurité, la direction financière et les métiers sur une trajectoire de renforcement des contrôles cohérente avec l'appétence au risque du Groupe, tout en préservant le calendrier de mise en production.
COntactez-nous
Un enjeu similaire ?
Le Sprint est notre format clé en main pour répondre à un besoin précis : un périmètre cadré, un prix défini, un livrable exploitable en COMEX.
À partir de 5000€.
Discuter d'une mission