Calculer le ROI d'un MSSP : guide et grille de calcul
Vous avez identifié un MSSP qui correspond à vos besoins, mais votre direction demande des chiffres avant de valider le budget. Ce guide vous donne une méthode concrète pour construire un business case solide, avec les bonnes variables et les arguments qui font mouche.
Les composantes du TCO sécurité
Avant de parler ROI, il faut poser les bases du TCO (Total Cost of Ownership). Beaucoup de projets MSSP échouent parce qu'on compare des pommes et des oranges : le coût mensuel du prestataire face au salaire d'un analyste SOC, sans intégrer tout le reste.
Coûts directs
Ce sont les dépenses visibles sur vos factures :
- Abonnement mensuel ou annuel du MSSP
- Frais de setup et d'intégration initiale
- Options supplémentaires (threat hunting, forensic, astreinte 24/7)
- Licences des outils inclus ou non (SIEM, EDR, SOAR)
Pour bien comprendre comment se structure la tarification d'un MSSP, consultez notre guide dédié aux modèles économiques du secteur.
Coûts indirects
Ceux qu'on oublie systématiquement dans les premières estimations :
- Temps interne de pilotage du prestataire (réunions, reporting, escalades)
- Formation des équipes internes aux nouveaux process
- Coût de la transition (période de recouvrement, double run éventuel)
- Adaptation des procédures internes (PRA, gestion des incidents)
Nous avons documenté les frais souvent omis dans les devis MSSP : un passage obligé avant de finaliser votre grille de calcul.
Coûts évités
C'est là que le calcul devient intéressant. Un MSSP vous fait économiser :
- Recrutement d'analystes SOC (salaire + charges + turnover)
- Formation continue en cybersécurité
- Achat et maintenance d'outils (SIEM, EDR, plateforme de ticketing)
- Coût d'un incident évité (ransomware, fuite de données, arrêt d'activité)
Méthode de calcul du ROI MSSP
Le ROI d'un MSSP se calcule en comparant son coût aux pertes évitées (incident, arrêt d'activité, amende) mais aussi aux coûts internes qu'il remplace (recrutement, formation, outils).
Formule de base
La formule classique du ROI s'applique :
ROI = (Gains - Coût du MSSP) / Coût du MSSP × 100
Les "gains" regroupent :
- Économies sur les coûts internes remplacés
- Valeur du risque évité (probabilité × impact)
- Gains de conformité (évitement d'amendes, accès à certains marchés)
Comme le souligne HarfangLab dans son analyse des services MSSP, l'intégration d'un EDR managé dans le périmètre modifie significativement l'équation économique.
Variables à estimer
Voici les données à collecter pour alimenter votre calcul :
- Coût d'un analyste SOC : comptez 55 000 à 75 000 € chargés/an en région parisienne, 45 000 à 60 000 € en région
- Coût moyen d'un incident : selon votre secteur, de 50 000 € pour une PME à plusieurs millions pour une ETI (arrêt d'activité inclus)
- Probabilité d'incident sur 3 ans : les études sectorielles donnent 30 à 50% pour les PME de plus de 50 salariés
- Coût des outils : un SIEM seul coûte 30 000 à 100 000 €/an selon le volume de logs
Les données du marché mondial des services managés de cybersécurité confirment cette tendance à l'externalisation pour des raisons économiques autant que techniques.
Grille de calcul commentée
Voici une grille type que vous pouvez adapter à votre contexte. Les montants sont indicatifs pour une PME de 150 salariés.
| Poste | Sans MSSP | Avec MSSP |
|---|---|---|
| Analyste SOC (1 ETP) | 65 000 € | 0 € |
| SIEM + EDR (licences) | 45 000 € | Inclus |
| Formation continue | 8 000 € | 0 € |
| Abonnement MSSP | 0 € | 48 000 € |
| Pilotage interne (0.2 ETP) | 0 € | 12 000 € |
| Total annuel | 118 000 € | 60 000 € |
| Économie directe | 58 000 €/an | |
À cette économie directe, ajoutez la valeur du risque évité :
Coût moyen d'un ransomware PME : 150 000 € (source : études sectorielles 2024)
Probabilité sur 3 ans : 35%
Valeur du risque évité : 150 000 × 0.35 = 52 500 € sur 3 ans, soit 17 500 €/an
ROI annuel estimé : (58 000 + 17 500 - 60 000) / 60 000 = 26%
Arguments pour présenter à la direction
"J'ai présenté mon projet MSSP uniquement sous l'angle coût. Refusé. J'ai refait la présentation en incluant le coût d'un ransomware. Validé en 2 semaines."
— Un DSI membre du collectif
Nous constatons que le ROI d'un MSSP est souvent mal argumenté. Les équipes techniques parlent fonctionnalités, les directions veulent des chiffres de risque évité.
Sur 8 business cases MSSP présentés à des directions que nous avons suivis, ceux qui incluaient le coût d'un incident évité avaient un taux d'acceptation 3 fois supérieur.
Structurez votre présentation ainsi :
- Le contexte de menace : statistiques d'attaques dans votre secteur, exemples récents médiatisés
- L'écart de capacité : ce que vous ne pouvez pas faire aujourd'hui (monitoring 24/7, threat intelligence, réponse rapide)
- Le calcul économique : grille TCO comparée, avec le risque évité chiffré
- La conformité : obligations réglementaires (NIS2, RGPD) et conséquences du non-respect
Le ROI d'une assurance est par nature incertain. Personne ne peut garantir que vous aurez un incident. L'approche probabiliste est plus honnête que les garanties absolues.
Avant de finaliser votre dossier, assurez-vous d'avoir les bons critères pour sélectionner votre prestataire. Un mauvais choix de MSSP ruinerait votre calcul de ROI.
Checklist : éléments à inclure dans le calcul du TCO sécurité
- ✓ Coût du MSSP (abonnement + setup + options)
- ✓ Coût d'un SOC interne équivalent (si applicable)
- ✓ Coût moyen d'un incident de sécurité dans votre secteur
- ✓ Probabilité d'incident sur 3 ans
- ✓ Économies sur recrutement et formation
- ✓ Économies sur outils (SIEM, EDR si inclus)
- ✓ Valeur de la conformité réglementaire
FAQ
Comment justifier le ROI si on n'a jamais eu d'incident ?
Utilisez les statistiques sectorielles : coût moyen d'un ransomware, probabilité d'attaque par taille d'entreprise. Un MSSP est une assurance, le ROI se calcule aussi en risque évité.