Résumé technique : Évaluer le ROI de la Cyber Threat Intelligence (CTI)

1. Énoncé du problème

La quantification du retour sur investissement (ROI) des programmes de Cyber Threat Intelligence (CTI) se heurte à un problème de mesure fondamental : une prévention réussie se traduit par des « non-événements » qui ne laissent aucun signal financier observable. Par conséquent, les dépenses en CTI résistent à l'analyse traditionnelle coût-bénéfice. De plus, la valeur de la CTI est souvent indirecte, agissant comme un multiplicateur de force pour les contrôles en aval (ex. : pare-feu, EDR, analystes) plutôt que comme un contrôle technique autonome. Cela complique l'attribution causale et la définition de la limite de l'investissement. Les modèles économiques traditionnels, tels que le modèle de Gordon–Loeb (GL), sont conçus pour des contrôles techniques indépendants et ne parviennent pas à capturer les effets de réduction probabiliste des risques et de levier inhérents aux flux de travail pilotés par l'intelligence. Sans un modèle défendable, les programmes de CTI risquent d'être perçus comme des centres de coûts, entraînant un sous-financement et une mauvaise allocation des ressources.

2. Méthodologie

Le document propose un cadre multicouche combinant des mesures quantitatives, des indicateurs qualitatifs et une approche spécifique de modélisation financière pour combler l'écart de mesure.

2.1 L'Indice d'Efficacité de la Threat Intelligence (TIEI)

Pour opérationnaliser la maturité de la CTI, les auteurs introduisent l'Indice d'Efficacité de la Threat Intelligence (TIEI). Contrairement aux moyennes arithmétiques pondérées traditionnelles, qui supposent une linéarité et permettent à des scores élevés dans un domaine de compenser des défaillances dans un autre, le TIEI utilise une moyenne géométrique pondérée. Cette formulation pénalise les maillons faibles, reflétant la réalité selon laquelle une déficience dans une dimension (ex. : mauvaise intégration) peut annuler la valeur des autres.

Le TIEI agrège quatre dimensions :

1. Qualité de l'intelligence : Précision, actualité, pertinence et exhaustivité.
2. Enrichissement : Correspondance avec les TTP (ATT&CK), corrélation interne, liaison d'entités et actionnabilité.
3. Intégration et automatisation : Couverture des contrôles, succès de la livraison, taux d'automatisation et respect des SLA.
4. Impact opérationnel : Réductions du temps moyen de détection (MTTD) et du temps moyen de réponse (MTTR), réduction des faux positifs et gain de couverture.

Les scores sont normalisés sur une échelle de [1, 100] en utilisant des cibles définies ou une normalisation multi-ancres (niveaux inacceptable, référence, ambitieux) pour garantir la reproductibilité.

2.2 Cadre financier : Approche axée sur le seuil de rentabilité (Breakeven-First)

Le document délaisse la prédiction de valeurs de ROI spécifiques pour définir une frontière de faisabilité du seuil de rentabilité. Cette approche reconnaît que la probabilité annuelle spécifique à l'organisation d'un événement de perte matérielle ($p_0$) et la fraction de mitigation attribuable à la CTI ($M$) sont des inconnues qui ne peuvent être estimées de manière fiable à partir de rapports de prévalence sectorielle globale.

Le modèle définit le Coût Total de Possession (TCO) de la CTI ($TCO_{CTI}$) pour inclure non seulement les coûts des plateformes et des flux de données, mais aussi les coûts marginaux en aval nécessaires pour opérationnaliser l'intelligence (intégration, ingénierie, automatisation).

La condition pour un ROI positif est dérivée comme suit :
$$p_0 \times M > \kappa$$
Où $\kappa = \frac{TCO_{CTI}}{L_M}$, et $L_M$ est la magnitude de la perte conditionnelle de l'événement.

Cela crée une frontière à deux inconnues : une organisation doit justifier que le produit de sa probabilité d'événement spécifique et de sa capacité de mitigation spécifique dépasse le ratio coût-perte.

2.3 Simulation conditionnelle

Pour illustrer la propagation de l'incertitude, les auteurs utilisent une simulation PERT conditionnée par le score TIEI. Le facteur de mitigation ($M$) est modélisé comme une distribution PERT dont les bornes (pessimiste, plus probable, optimiste) sont des fonctions affines du score TIEI. Cela lie la maturité opérationnelle directement à la plage de résultats financiers plausibles sans affirmer une valeur déterministe unique.

3. Principales contributions

Le document présente deux contributions majeures :

1. L'Indice d'Efficacité de la Threat Intelligence (TIEI) : Une mesure de maturité structurée, pondérée et géométrique qui capture la qualité de l'intelligence, l'enrichissement, l'intégration et l'impact opérationnel. Elle pénalise explicitement les performances déséquilibrées et fournit une base reproductible pour suivre l'évolution du programme.
2. Un cadre de décision financière axé sur le seuil de rentabilité (Breakeven-First) : Une méthode qui traite $p_0$ et $M$ comme des inconnues, caractérisant les combinaisons requises pour un ROI positif. Ce cadre inclut une définition complète de la limite d'investissement (TCO) et démontre comment dériver des exigences de seuil de rentabilité adaptées au périmètre sans dépendre de données de prévalence sectorielle trompeuses.

4. Résultats et application

Le cadre a été appliqué à des scénarios illustratifs dans les secteurs des services financiers et de la santé.

• Services Financiers : En utilisant un coût de violation estimé ($L_M$) de 5,82 M$ et un investissement annuel global ($TCO_{CTI}$) de 0,40 M$, la constante de faisabilité $\kappa$ est de 6,87 %. L'analyse montre que pour qu'un programme de CTI atteigne son seuil de rentabilité avec une capacité de mitigation de 20 % ($M=0,20$), la probabilité annuelle de l'événement, adaptée au périmètre de l'organisation, doit être supérieure à 34,4 %.
• Santé : Avec un coût de violation plus élevé estimé à 8,595 M\ et un investissement de 0,60 M\, $\kappa$ est de 6,98 %. De même, une capacité de mitigation de 20 % nécessite une probabilité d'événement supérieure à 34,9 %.

Le document souligne que ces chiffres ne sont pas des prédictions de risque sectoriel mais des frontières de faisabilité. Ils définissent le niveau de preuve minimal qu'une organisation doit fournir pour justifier l'investissement. La simulation PERT conditionnelle illustre également que pour un programme mature (TIEI = 80), la probabilité d'obtenir un ROI positif augmente considérablement à mesure que la probabilité d'événement supposée ($p_0$) s'élève, bien que la simulation repose sur la fourniture par l'organisation d'un $p_0$ défendable.

5. Signification et affirmations

Les auteurs affirment que ce cadre fournit une base reproductible pour les décisions d'investissement en CTI en liant la maturité opérationnelle (TIEI) à une frontière financière auditable.

• Recadrage du ROI : Le document soutient que le ROI doit être perçu comme une mesure de la « fragilité évitée » plutôt que du profit gagné, répondant ainsi au « paradoxe de la prévention » où la sécurité réussie est invisible.
• Cohérence causale : En refusant de substituer la prévalence sectorielle globale par des probabilités d'événements propres à l'organisation, le cadre évite l'« erreur de catégorie » consistant à appliquer des modèles de contrôle traditionnels à des actifs informationnels.
• Valorisation holistique : L'approche intègre des indicateurs de performance quantitatifs (MTTD, MTTR), de la valeur stratégique qualitative (protection de la marque, conformité réglementaire) et de la modélisation financière (réduction des risques basée sur FAIR).
• Modestie des affirmations : Le document précise explicitement qu'il n'estime pas un ROI sectoriel universel. Les frontières numériques sont des bornes de sensibilité déterministes basées sur des scénarios d'entrée, et non des intervalles de confiance. La simulation PERT conditionnée par le TIEI est présentée comme une illustration secondaire et conditionnelle aux hypothèses, plutôt que comme un outil prédictif.

L'étude conclut que, bien que des défis de mesure importants existent (attribution, surcharge de données, intangibles), une approche multicouche combinant le TIEI avec un modèle financier axé sur le seuil de rentabilité permet aux responsables de la sécurité de communiquer la valeur de la CTI en tant qu'investissement stratégique défendable plutôt qu'en tant que centre de coûts.