Points clés
- Au-delà des frais de licence, des facteurs comme le personnel, les intégrations, la charge liée à la gouvernance et la coordination de la remédiation pèsent sur le coût des scanners de vulnérabilités.
- Le volume d’actifs, les obligations de reporting et la complexité des intégrations sont les principaux facteurs de coût des solutions d’analyse de vulnérabilités.
- Les scanners open source coûtent moins cher au départ, mais la maintenance, les intégrations et l’expertise qu’ils exigent peuvent les rendre plus onéreux que les plateformes commerciales.
- Les coûts opérationnels indirects, comme la coordination de la remédiation, le reporting de conformité et la maintenance de l’infrastructure, s’accumulent avec le temps et gonflent le coût total d’un programme de gestion des vulnérabilités.
- Les plateformes destinées aux grandes entreprises appliquent généralement une tarification par paliers, fondée sur les terminaux, les actifs, les charges de travail cloud, la fréquence des analyses et l’accès aux fonctions.
- Le ROI (retour sur investissement) d’un scanner sur le long terme dépend de l’adéquation entre les capacités de la plateforme, vos processus opérationnels et vos objectifs de maturité.
L’analyse de vulnérabilités automatise l’identification et le reporting des vulnérabilités dans toute l’entreprise, ce qui en fait une pratique fondamentale en cybersécurité. Pourtant, beaucoup d’entreprises évaluent le coût de l’analyse de vulnérabilités à l’aune des seuls frais de licence. C’est une vision incomplète, qui laisse de côté les coûts opérationnels.
Les facteurs qui pèsent sur le coût de l’analyse de vulnérabilités
Le coût de la gestion des vulnérabilités varie selon le périmètre opérationnel. Identifier l’ensemble de ces facteurs de coût avant de s’engager sur une plateforme évite les mauvaises surprises budgétaires.
Volume de terminaux et d’actifs
Le volume d’actifs constitue généralement le premier facteur de coût des plateformes d’analyse de vulnérabilités, mais son influence dépasse le simple palier de licence, car la tarification dépend souvent des éléments suivants :
- l’ensemble des postes de travail, toutes unités opérationnelles et tous sites confondus
- les serveurs, y compris l’infrastructure sur site et les machines virtuelles
- les services cloud sur AWS, Azure, GCP ou dans des environnements multicloud
- les systèmes exposés à Internet, qui exigent des analyses fréquentes
- les charges de travail conteneurisées, qui compliquent la gestion des actifs
À mesure que votre volume d’actifs augmente, d’autres facteurs évoluent dans les mêmes proportions, notamment les fenêtres d’analyse et la charge de travail des équipes. De plus, comme les charges de travail conteneurisées et cloud-native évoluent rapidement, il faut projeter le nombre d’actifs sur 12 à 24 mois avant d’évaluer la tarification d’une plateforme, afin d’éviter les dépassements en cours de contrat.
Obligations de reporting et de gouvernance
Les obligations de reporting et de gouvernance couvrent généralement les points suivants :
- reporting pour la direction : tableaux de bord synthétiques sur la posture de risque, qui traduisent les constats techniques en indicateurs métier utiles aux dirigeants.
- visibilité sur la conformité : reporting à la demande ou en continu et correspondance avec les référentiels de sécurité
- suivi des SLA (contrats de niveau de service) : surveillance des délais de remédiation et prise en charge des workflows d’escalade selon la gravité des vulnérabilités et les politiques internes.
- appui aux audits : historique des analyses, journaux d’exceptions et documentation d’acceptation du risque qui satisfont les auditeurs
- tableaux de bord de risque : visibilité sur les tendances des vulnérabilités et l’exposition au risque sur l’ensemble des actifs gérés, via un reporting et des tableaux de bord mis à jour en continu.
Les exigences de gouvernance influent sur votre coût opérationnel global, et elles s’alourdissent à mesure que votre entreprise gagne en maturité, en raison des ressources nécessaires au travail manuel.
L’évaluation d’un logiciel de gestion des vulnérabilités doit tenir compte de vos obligations de conformité actuelles et à venir, surtout si vous opérez dans plusieurs juridictions ou plusieurs secteurs.
Complexité des intégrations
Les intégrations relient le logiciel de gestion des vulnérabilités aux autres outils informatiques : le partage d’informations, la production de rapports et la coordination des activités s’en trouvent facilités. Par exemple :
- des outils de gestion des correctifs pour automatiser ou accélérer les workflows de remédiation
- des plateformes ITSM qui aident à attribuer automatiquement les vulnérabilités détectées aux équipes chargées de les traiter
- des plateformes de gestion des terminaux qui fournissent des informations sur les appareils pour aider à identifier et hiérarchiser les vulnérabilités.
- des outils d’opérations de sécurité qui alimentent des plateformes SIEM, SOAR ou XDR afin de mieux hiérarchiser les alertes et les réponses automatisées
- des inventaires d’actifs synchronisés avec des bases de données de gestion des configurations (CMDB) ou des plateformes de découverte, pour des analyses fiables et un minimum d’angles morts
Une plateforme aux intégrations limitées accroît le travail manuel et la complexité opérationnelle à chaque nouvel outil ou processus introduit. À l’inverse, une plateforme bien intégrée réduit les transferts manuels entre l’analyse, la gestion des tickets et les workflows de remédiation, ce qui abaisse le temps moyen de réparation (MTTR).
Scanner open source ou commercial : quel coût ?
Le coût total de possession englobe le personnel, les personnalisations et la maintenance, autant de postes qui peuvent faire grimper le coût d’une solution open source au-delà de celui d’une plateforme commerciale.
Les coûts opérationnels des plateformes open source
Les scanners de vulnérabilités open source affichent généralement un coût initial faible. Mais cette façade avantageuse peut être annulée par les ressources nécessaires au maintien de leur fiabilité opérationnelle, en particulier dans les environnements de grandes entreprises.
La maintenance de l’infrastructure, par exemple, mobilise des ressources dédiées, auxquelles s’ajoute l’administration continue de la plateforme. Les plateformes open source exigent aussi un travail de configuration et d’intégration pour répondre aux besoins de l’entreprise en matière de mise à jour, de reporting et de workflows.
À mesure que les environnements s’étendent, les plateformes open source peuvent réclamer davantage d’infrastructure, d’administration et de soutien opérationnel pour évoluer efficacement. Avec le temps, le besoin de connaissances spécialisées et de documentation augmente lui aussi, ne serait-ce que pour maintenir la plateforme de façon cohérente.
Les coûts opérationnels des plateformes commerciales
Les plateformes commerciales d’analyse de vulnérabilités transfèrent une grande partie de la charge opérationnelle des équipes informatiques internes vers le fournisseur du service. Voici les principaux domaines pris en charge par les fournisseurs, qui éclairent le coût initial plus élevé des plateformes commerciales :
- des niveaux d’assistance dédiés avec des SLA (contrats de niveau de service) définis, qui évitent aux équipes informatiques internes de gérer les problèmes de plateforme et de mise à niveau
- des cadres de reporting prêts à l’emploi pour la conformité et la direction, qui aident les entreprises dans leurs activités d’audit, de conformité et de gouvernance.
- l’acceptation du risque, la gestion des exceptions et le suivi des SLA (contrats de niveau de service) en natif
- des intégrations prêtes à l’emploi avec les plateformes ITSM, de gestion des correctifs et de gestion des terminaux, qui fluidifient les workflows de remédiation et réduisent le travail manuel.
- une visibilité unifiée sur tous les appareils gérés
Si les capacités d’une plateforme commerciale correspondent à vos exigences de gouvernance et d’intégration, un coût de licence plus élevé peut alléger la charge opérationnelle sur le long terme.
Gardez à l’esprit que les besoins en personnel et en expertise ne disparaissent pas avec une plateforme commerciale : ils se déplacent. Avec une plateforme commerciale, les équipes informatiques peuvent se concentrer sur le pilotage du programme et la coordination de la remédiation, plutôt que sur la maintenance de plateformes sur mesure et la gestion des intégrations.
Les coûts cachés de l’analyse et de la gestion des vulnérabilités
Les workflows suivants alimentent les coûts opérationnels indirects lorsqu’il s’agit de choisir un outil de gestion des vulnérabilités. Ces coûts n’apparaissent ni dans les devis de licence ni pendant l’onboarding chez le fournisseur : ils émergent après le déploiement et se cumulent d’une équipe à l’autre.
Coordination de la remédiation
Les entreprises dépourvues de workflows de remédiation structurés risquent d’accumuler des constats non traités et des vulnérabilités qui restent ouvertes au-delà des délais fixés par les SLA (contrats de niveau de service). À l’échelle des grandes entreprises, la coordination de la remédiation est une fonction de pilotage qui exige des effectifs et un budget suffisants pour être efficace.
Conformité et reporting
Quand une plateforme manque de capacités de gouvernance natives, les équipes informatiques compensent en exportant manuellement les données et en agrégeant des feuilles de calcul pour suivre le rythme. Ce travail récurrent consomme des ressources qui auraient pu servir aux efforts de remédiation.
Plus vos obligations de conformité s’étendent, plus la charge augmente pour prouver que les constats ont été corrigés dans les délais définis. Cela dit, une couche de reporting trop limitée peut nuire à votre capacité à démontrer une gestion efficace des risques.
Infrastructure et maintenance
Les scanners de vulnérabilités autogérés exigent un investissement continu pour rester fiables : maintenance, mises à niveau, ajustement des politiques d’analyse et contrôles d’intégrité.
L’entretien d’une infrastructure autogérée représente un coût opérationnel important, qui augmente en général à mesure que l’environnement grandit et se transforme. Sans maintenance adéquate, la couverture des analyses et l’efficacité de la plateforme peuvent se dégrader avec le temps.
Les modèles de tarification des services d’analyse de vulnérabilités
De nombreuses plateformes commerciales d’analyse de vulnérabilités appliquent une tarification par paliers, articulée autour des éléments qui déterminent l’usage de la plateforme et son coût.
Les modèles de tarification les plus courants reposent sur les critères suivants :
| Modèle de tarification | Principe | À considérer en grande entreprise |
| Terminaux | Tarification à l’appareil, selon le nombre total de terminaux gérés | C’est le modèle le plus prévisible dans les environnements stables de grandes entreprises, mais il est difficile à anticiper en cas de forte rotation de l’emploi ou de gestion du BYOD. |
| Actifs | Couverture plus large incluant serveurs, appareils réseau et ressources cloud | Plus représentatif des environnements de grandes entreprises, mais plus difficile à prévoir à mesure que l’infrastructure grandit. |
| Charges de travail cloud | Tarification à la consommation ou à l’instance, liée à l’infrastructure cloud | Introduit une variabilité des coûts dans les environnements à évolutivité automatique, mais exige un suivi de la consommation pour éviter les dépassements. |
| Fréquence des analyses | La tarification dépend de la fréquence à laquelle les actifs sont analysés | Crée un arbitrage direct entre la cadence de couverture et le coût, mais peut inciter à analyser trop peu. |
| Paliers de fonctions pour grandes entreprises | Les capacités de gouvernance, de conformité et d’intégration sont réservées aux paliers premium | La tarification d’entrée de gamme reflète rarement le coût réel pour répondre aux exigences opérationnelles des grandes entreprises. |
Examinez la façon dont la tarification d’une solution de gestion des vulnérabilités évolue en fonction de vos besoins opérationnels, actuels et futurs. Un modèle qui paraît économique aujourd’hui peut devenir très coûteux avec votre croissance.
Garantir le ROI de la gestion des vulnérabilités sur le long terme
Le prix de licence initial n’est qu’un critère parmi d’autres dans le choix d’une plateforme de gestion des vulnérabilités. Dans certains cas, une plateforme dont les licences coûtent plus cher offre une valeur supérieure sur la durée, parce qu’elle accompagne la croissance sans exiger une hausse proportionnelle de l’effort opérationnel ou des effectifs.
Un coût initial plus élevé se justifie quand la plateforme retenue produit des résultats constants tout en renforçant votre maturité opérationnelle. Pour obtenir le meilleur retour sur investissement possible, vérifiez d’abord que les points suivants correspondent à vos objectifs opérationnels :
- La plateforme contribue-t-elle à réduire les workflows manuels pour gagner en efficacité opérationnelle ?
- Ses workflows de gouvernance et ses capacités d’application des politiques peuvent-ils suivre la croissance que vous anticipez ?
- Offre-t-elle des capacités de surveillance et de reporting de conformité en continu, et non seulement une préparation ponctuelle aux audits ?
- Fournit-elle assez de contexte pour permettre à votre équipe de hiérarchiser en toute connaissance de cause ?
- Produit-elle des résultats fiables et reproductibles pour l’ensemble de vos exigences de conformité et d’audit ?
- Les intégrations natives, l’automatisation des workflows et l’application des SLA (contrats de niveau de service) réduisent-elles le temps moyen de réparation (MTTR) ?
- Ses exigences opérationnelles sont-elles proportionnées aux capacités actuelles de votre entreprise ?
Le coût réel des plateformes d’analyse de vulnérabilités
Pour choisir un scanner de vulnérabilités, s’en tenir au coût initial ne suffit pas. Prendre en compte d’autres facteurs, comme la charge en personnel, la maturité de la gouvernance, la complexité du reporting et l’évolutivité à long terme, vous aidera à optimiser le rapport coût-efficacité.
Sujets connexes :
