Budget et périmètre
Combien coûte la cybersécurité pour une PME ? La réponse honnête
Pourquoi aucun prestataire sérieux ne peut afficher un tarif unique, quelles variables déterminent réellement le périmètre, et comment se construit une proposition chez nous.
L'essentiel
- Le périmètre dépend de votre effectif, de vos sites, de votre secteur et surtout de ce qui existe déjà.
- Un tarif unique affiché serait forcément faux pour la majorité des organisations qui le liraient.
- Nous n'établissons aucune proposition avant d'avoir posé le constat : sinon nous chiffrerions une hypothèse.
- La question du budget se traite au premier échange, franchement, et sans que vous ayez à insister.
Vous demandez un prix, et personne ne vous répond clairement
C'est la première question que pose un dirigeant, et celle qu'on esquive le plus. Un prix affiché serait exact pour une poignée d'organisations et trompeur pour toutes les autres : deux entreprises de trente personnes peuvent demander un travail très différent selon leurs sites, leur secteur et l'état de leur existant.
Il existe une autre raison, moins avouée dans la profession. Un prix d'appel sert surtout à obtenir le rendez-vous ; il est ensuite corrigé à la hausse une fois le périmètre réel découvert. Le procédé fonctionne commercialement et détruit la confiance exactement au moment où elle devient nécessaire.
Nous assumons la position inverse, et son coût : certains visiteurs quittent cette page sans chiffre. Cela ne veut pas dire que la question est taboue. Elle se traite dès le premier échange, avec des ordres de grandeur, mais après avoir compris de quoi on parle.
Quatre variables déterminent le périmètre
Une seule des quatre est évidente. L'effectif et le nombre de sites donnent la volumétrie ; le secteur et les obligations fixent le niveau d'exigence ; l'existant fait varier le travail davantage que les trois autres réunies.
- L'effectif et les sites. Ils déterminent le nombre de postes, de comptes et de liens à traiter. La variable la plus visible, et pas la plus structurante.
- Le secteur et les obligations. Traiter des renseignements de santé, répondre à des appels d'offres publics ou dépendre d'un donneur d'ordre exigeant n'impose pas le même niveau de preuve qu'un commerce de détail.
- L'existant. La variable dominante. Beaucoup d'organisations disposent déjà, dans leurs licences en cours, de fonctions jamais activées. Le travail change alors de nature : configurer plutôt qu'acquérir.
- Le niveau de service attendu. Intervention ponctuelle, accompagnement périodique ou surveillance continue ne mobilisent pas les mêmes moyens, et ce choix vous appartient.
Une proposition part du constat, jamais d'un catalogue
Nous établissons d'abord votre exposition réelle et vos obligations, nous convenons de ce qui entre dans le périmètre et de ce qui en sort, puis nous décrivons le travail correspondant. Le chiffrage vient en dernier.
Ce que vous recevez décrit les livrables, ce qui reste de votre côté, les hypothèses retenues et ce qui les ferait bouger. Cette dernière partie compte autant que le reste : une proposition dont les hypothèses ne sont pas écrites se révisera sans que personne puisse dire pourquoi.
Nous indiquons aussi ce que nous ne ferons pas, car certaines demandes relèvent d'un autre métier, juridique, assurance, développement applicatif. Et les conditions de sortie y figurent explicitement : une relation de sécurité qui ne tient que par un contrat ne protège personne.
L'argent se discute au premier échange
Dès que le contexte est posé, nous donnons des ordres de grandeur oralement, en expliquant ce qui les ferait varier, plutôt que de renvoyer la question à un document. Vous devez pouvoir arbitrer tôt si le sujet n'est pas finançable cette année.
Reporter la question du budget consomme des semaines de discussions pour aboutir à un écart qui aurait été visible au premier quart d'heure.
Si l'ordre de grandeur ne correspond pas à ce que vous pouvez engager, deux issues existent et nous les proposons franchement : réduire le périmètre à ce qui écarte le plus de risque pour le moins d'effort, ou étaler le travail sur plusieurs exercices. Il arrive aussi que la réponse honnête soit que nous ne sommes pas le bon interlocuteur, et nous le disons.
Questions fréquentes
Oui, une fois que nous savons de quoi nous parlons : effectif, nombre de sites, secteur, obligations, et ce qui existe déjà. Cinq minutes de contexte suffisent pour qu'un ordre de grandeur ait un sens. Le donner avant reviendrait à avancer un chiffre que la réalité démentirait.
Non, et il ne conditionne aucune suite. Il comprend un échange et une synthèse écrite de votre exposition principale, qui vous reste acquise même si la discussion s'arrête là. Chiffrer sans avoir regardé reviendrait à facturer une hypothèse.
C'est souvent la meilleure approche. Traiter d'abord ce qui écarte le plus de risque pour le moins d'effort donne un résultat visible vite, et permet d'arbitrer la suite sur des faits plutôt que sur des intentions. Le périmètre se révise à date convenue, dans les deux sens.
Nous ne revendons aucune licence. Lorsque des outils sont nécessaires, vous les acquérez auprès de l'éditeur ou de votre revendeur, et nous vous aidons à dimensionner ce qui est utile. Cette séparation garantit que nos recommandations ne dépendent pas de notre marge.
La phase initiale, cartographie, priorisation, mise en place, représente une charge distincte de l'accompagnement courant, identifiée comme telle dans la proposition. Nous ne la dissimulons pas dans un montant mensuel lissé.
Sources
- Commission d'accès à l'information du Québec · obligations applicables, qui font partie des variables de périmètre
- Centre canadien pour la cybersécurité · mesures de base recommandées aux organisations canadiennes
Votre infrastructure est-elle prête pour la prochaine menace ?
Un diagnostic initial, sans engagement, pour évaluer votre posture de sécurité.