Rapport Cost of a Data Breach (IBM et Ponemon)

En 2024, IBM annonce un coût moyen mondial de 4,88 millions de dollars par violation de données, en hausse de 10 % sur les 4,45 millions de 2023. L'année suivante, le chiffre redescend à 4,44 millions, premier recul en cinq ans, pendant que la moyenne des États-Unis monte à 10,22 millions. Le Cost of a Data Breach Report est l'étude annuelle que le Ponemon Institute conduit pour IBM. Elle interroge des organisations qui ont subi une violation, puis reconstitue leurs coûts par catégorie (détection et escalade, notification, réponse après la violation, perte d'activité). Le chiffre fait les titres, les présentations commerciales et une bonne part des budgets de sécurité. Pour un assureur, il sert de repère de sévérité, et il s'arrête là. L'échantillon est déclaratif et penche vers les grandes entreprises ; une partie des coûts indirects, la perte de clients en tête, est estimée par les répondants eux-mêmes, sans pièce comptable. Une moyenne tirée par quelques très gros dossiers décrit mal le sinistre d'une PME de cinquante salariés. Elle ne sépare pas non plus ce qu'une police cyber rembourse de ce qui reste à la charge de l'assuré. Le chiffre ne sert donc pas tel quel de base de prime : les tarificateurs partent de leur propre sinistralité, des données de marché et des modèles de cumul. Sa valeur est ailleurs, dans la tendance d'une année sur l'autre et dans les écarts qu'il mesure entre pays ou secteurs. À ne pas confondre avec le DBIR de Verizon, qui compte les violations et leur chemin d'entrée sans les chiffrer : l'un donne une fréquence par vecteur, l'autre une sévérité moyenne.