Faites le calcul avec vos chiffres
Les valeurs par défaut décrivent une organisation de taille moyenne qui fait déjà mieux que la moyenne publiée. Remplacez-les par les vôtres : les deux données qui pèsent le plus sur le résultat sont la part de vos collaborateurs qui cliquent dans l’année et la fréquence à laquelle un clic devient un incident significatif. Les montants sont exprimés en dollars américains.
Personnes qui reçoivent des e-mails dans votre organisation.
Des personnes, pas des e-mails — la part de vos effectifs qui se fait piéger par au moins un lien de phishing en douze mois. C’est la même grandeur qu’un taux de vulnérabilité au phishing : le taux de référence de 33,2 % publié par KnowBe4 s’y reporte directement. La valeur par défaut de 12 % suppose une organisation déjà meilleure que cette moyenne.
La plupart des clics ne coûtent rien — identifiants non réutilisés, MFA qui tient, charge utile qui échoue. C’est la donnée la plus incertaine de la page et elle fait varier le résultat de façon linéaire : déplacez-la et voyez quelle part de votre résultat en dépend.
Réponse, interruption, frais juridiques et notification. Votre courtier en cyberassurance peut vous donner un chiffre sectoriel ; la valeur par défaut est volontairement bien inférieure aux coûts moyens de violation publiés.
Licence plus le temps interne pour le faire vivre. Comptez les heures, pas seulement la facture.
Tout ce qui précède est de l’arithmétique sur vos propres chiffres. Ce nombre-là est une affirmation sur le monde, et il décide de toute la réponse. Déplacez-le et regardez le résultat passer sous zéro.
Les benchmarks des éditeurs sont élevés — KnowBe4 fait état d’un taux passant de 33,2 % à 4,2 % en douze mois de formation et de simulation combinées. Le plus vaste essai indépendant place le plancher honnête à zéro pour la formation annuelle de conformité. Les deux scénarios ci-dessous utilisent vos données ; ils ne diffèrent que par ce nombre.
Suppose que le programme réduit le taux de clic de 40 % — la valeur réglée ci-dessus.
- Perte évitée
- 96 000 $US
- Coût du programme
- − 12 500 $US
Suppose une baisse de 0 % du taux de clic. Ce n’est pas du pessimisme : c’est ce que le plus vaste essai indépendant a mesuré pour le format que la plupart des organisations utilisent réellement.
- Perte évitée
- 0 $US
- Coût du programme
- − 12 500 $US
Un résultat négatif est un vrai résultat de ce modèle, pas une erreur. Si c’est la situation de votre organisation, le programme tel que décrit n’est pas rentable.
Rien n’est envoyé nulle part. Le calcul s’exécute dans votre navigateur, il n’y a aucun formulaire à remplir et nous ne voyons pas vos données.
Le modèle, en toutes lettres
Si vous ne pouvez pas vérifier le calcul, le chiffre ne vaut rien. Le voici en entier.
clics = collaborateurs × part qui clique dans l'année
incidents significatifs = clics × probabilité qu'un clic devienne significatif
perte annuelle attendue = incidents significatifs × coût d'un incident
perte évitée = perte annuelle attendue × baisse relative du taux de clic
net, première année = perte évitée − (collaborateurs × coût du programme par personne)
Quatre de ces cinq lignes sont de l'arithmétique sur les chiffres que vous fournissez. Une seule, la baisse relative du taux de clic, est une affirmation sur le monde réel, et c'est elle qui décide si le résultat est positif ou négatif. C'est pourquoi elle a son propre réglage et son propre curseur, au lieu d'être enfouie dans un coefficient.
Notez ce qui est volontairement absent du modèle : le nombre d'e-mails de phishing reçus. Un taux de clic est une part de personnes ; multiplier une part de personnes par un nombre de messages est une erreur d'unité qui gonfle discrètement chaque chiffre en aval. Combiner les deux honnêtement exigerait de modéliser l'exposition répétée de chaque personne, ce que cet outil ne fait pas, et il ne prétend pas le faire.
D’où viennent les chiffres
Deux sources publiées sous-tendent les deux scénarios. Aucune des deux n’émane de nous. Les deux sont en anglais.
L'écart entre ces deux résultats n'est pas une contradiction. L'un a mesuré des modules annuels de conformité ; l'autre, des tests continus associés à de la formation. Ce sont deux interventions différentes qui portent le même nom, et c'est précisément pour cela qu'un ROI moyen du secteur ne veut rien dire et que cet outil refuse d'en afficher un.
Ce que cet outil ne fera pas
Questions
Ce qu’on demande avant de faire confiance au calculateur d’un éditeur.