Combien coûte la cybersécurité pour une PME ? La réponse honnête

Pourquoi nous n'affichons pas de tarif

Parce qu'un prix affiché serait exact pour une poignée d'organisations et trompeur pour toutes les autres. Deux entreprises de trente personnes peuvent demander un travail du simple au quintuple selon leur nombre de sites, leur secteur, leurs obligations et l'état de leur existant. Afficher une moyenne reviendrait à mentir à presque tout le monde.

Il existe une autre raison, moins avouée dans la profession. Un prix d'appel sert surtout à obtenir le rendez-vous ; il est ensuite corrigé à la hausse une fois le périmètre réel découvert. Le procédé fonctionne commercialement et détruit la confiance exactement au moment où elle devient nécessaire.

Nous préférons la position inverse, qui a un coût : certains visiteurs quittent cette page sans chiffre. Nous l'assumons, parce qu'un prestataire de sécurité qui commence par une approximation confortable pose mal la relation.

Cela ne veut pas dire que la question est taboue. Elle se traite, avec des ordres de grandeur, dès le premier échange, mais après avoir compris de quoi on parle, pas avant.

Quelles variables déterminent réellement le périmètre ?

Quatre, et une seule est évidente. L'effectif et le nombre de sites donnent la volumétrie. Le secteur et les obligations réglementaires fixent le niveau d'exigence. L'existant (ce qui est déjà en place, licencié, ou déjà payé sans être activé)fait varier le travail davantage que les trois premières réunies.

• L'effectif et les sites. Ils déterminent le nombre de postes, de comptes et de liens à traiter. C'est la variable la plus visible, et paradoxalement pas la plus structurante.
• Le secteur et les obligations. Une organisation qui traite des renseignements de santé, qui répond à des appels d'offres publics ou qui dépend d'un donneur d'ordre exigeant n'a pas le même niveau de preuve à produire qu'un commerce de détail.
• L'existant. C'est la variable dominante. Beaucoup d'organisations disposent déjà, dans leurs licences en cours, de fonctions de sécurité qu'elles n'ont jamais activées. Le constat change alors complètement la nature du travail : configurer plutôt qu'acquérir.
• Le niveau de service attendu. Une intervention ponctuelle, un accompagnement périodique ou une surveillance continue ne mobilisent pas les mêmes moyens, et ce choix vous appartient.

Comment se construit une proposition, concrètement ?

Elle part toujours du constat, jamais d'un catalogue. Nous établissons d'abord votre exposition réelle et vos obligations, nous convenons ensemble de ce qui entre dans le périmètre et de ce qui en sort, puis nous décrivons le travail correspondant. Le chiffrage vient en dernier, une fois ces trois points arrêtés.

Ce que vous recevez décrit les livrables, ce qui reste de votre côté, les hypothèses retenues et ce qui les ferait bouger. Cette dernière partie compte autant que le reste : une proposition dont les hypothèses ne sont pas écrites est une proposition qui se révisera sans que personne puisse dire pourquoi.

Nous indiquons aussi ce que nous ne ferons pas. Certaines demandes relèvent d'un autre métier (juridique, assurance, développement applicatif)et le dire tout de suite évite de vendre un accompagnement qui déçoit.

Enfin, une proposition n'est pas un engagement de durée déguisé. Les conditions de sortie y figurent explicitement, parce qu'une relation de sécurité qui ne tient que par un contrat ne protège personne.

À quel moment parle-t-on d'argent ?

Au premier échange, dès que le contexte est posé. Nous donnons des ordres de grandeur oralement, en expliquant ce qui les ferait varier, plutôt que de renvoyer la question à une proposition écrite. Vous devez pouvoir arbitrer tôt si le sujet n'est pas finançable cette année.

Reporter la question du budget est une pratique courante et coûteuse pour les deux parties. Elle consomme des semaines de discussions pour aboutir à un écart qui aurait été visible au premier quart d'heure.

Si l'ordre de grandeur ne correspond pas à ce que vous pouvez engager, deux issues existent et nous les proposons franchement : réduire le périmètre à ce qui écarte le plus de risque pour le moins d'effort, ou étaler le travail sur plusieurs exercices. Aucune des deux n'est un échec.

Il arrive aussi que la réponse honnête soit que nous ne sommes pas le bon interlocuteur. Nous le disons.

Questions fréquentes