Justifier l'intérêt de Remote Browser Isolation

La plupart des RSSI comprennent intuitivement que le navigateur constitue la surface d’attaque la plus exposée de l’entreprise. Pour convaincre un directeur financier de cette réalité, il faut employer un vocabulaire différent : coût total de possession, pertes évitées et délais de rentabilité mesurables. Ce guide propose un cadre structuré et adapté au langage financier pour élaborer l’analyse de rentabilité de remote browser isolation (RBI) — en traduisant la réduction des menaces dans le langage du retour sur investissement (ROI) qui permet d’obtenir l’approbation du budget.

Conditions préalables : ce dont vous avez besoin avant la discussion sur le budget

Avant de vous rendre à une réunion budgétaire, vous devez disposer de chiffres que votre directeur financier pourra vérifier. Des diapositives génériques du type « le navigateur présente des risques » ne résisteront pas à un examen financier. Commencez par trois ensembles de données internes.

Évaluez vos coûts actuels liés aux incidents. Récupérez les tickets des 12 derniers mois concernant la correction de logiciels malveillants, les opérations de réinstallation des terminaux et les heures de travail des analystes du SOC liées aux menaces provenant du Web. Si votre outil de gestion des services informatiques classe les incidents par vecteur, isolez le sous-ensemble de ceux qui ont débuté par une session de navigation : un lien de hameçonnage sur lequel l'utilisateur a cliqué dans Chrome, un téléchargement involontaire depuis un site non classé ou l'exécution d'un code JavaScript malveillant au sein d'une application SaaS. Multipliez le nombre d’heures de résolution par le coût total d’un analyste. Pour la plupart des entreprises de taille moyenne, cet exercice suffit à lui seul à mettre en évidence des dépenses annuelles à six chiffres que l’isolation du navigateur permettrait d’éviter.

Évaluez le coût de vos blocages excessifs. Contactez le service d'assistance. Combien de tickets par mois concernent des demandes d'« accès refusé » pour des sites légitimes ? Un responsable des ressources humaines qui recherche des informations sur les prestations de santé se voit bloqué parce que le SWG classe le site dans la catégorie « santé ». Un analyste marketing ne parvient pas à accéder à la page d’accueil d’un concurrent car celle-ci est classée dans la catégorie « non classé ». Chaque ticket coûte entre 15 et 25 dollars en main-d’œuvre au service d’assistance, mais le coût réel réside dans les heures de productivité perdues par les travailleurs du savoir, qui n’apparaissent jamais dans aucun ticket. Les organisations qui bloquent un tiers ou plus des catégories Web — une pratique courante dans les secteurs réglementés — génèrent des centaines de tickets évitables par mois et des milliers d’heures de production perdues par an.

Répertoriez les dépenses liées à l'accès Web de votre infrastructure de postes de travail virtuels (VDI). De nombreuses entreprises gèrent une infrastructure de postes de travail virtuels dans le but précis d'offrir aux prestataires, aux utilisateurs pratiquant le BYOD ou aux postes à haut risque un environnement de navigation isolé. Les coûts par utilisateur ne cessent d’augmenter, et le passage à une VDI dans le cloud n’élimine pas les problèmes d’infrastructure : les responsables informatiques doivent toujours faire face à des pics d’utilisation imprévisibles, à des transferts de données coûteux et aux exigences de performance des utilisateurs expérimentés. Si votre organisation paie entre 30 et 50 dollars par utilisateur et par mois pour des postes VDI dans le cloud utilisés principalement pour la navigation sur le Web, RBI peut répondre à ce même besoin pour une fraction de ce coût, tout en réduisant les frais généraux d’exploitation.

Phase 1 : Quantifier le coût de la situation actuelle

La viabilité du dossier commercial dépend entièrement du chiffre « avant ». Votre directeur financier ne s'intéresse pas aux menaces potentielles : ce qui l'intéresse, ce sont les dépenses actuelles de l'entreprise et les pertes qu'elle subit en raison des risques liés aux navigateurs.

Référence en matière de coût des incidents. Le coût moyen mondial d’une violation de données s’élevait à 4,44 millions de dollars en 2025 (rapport IBM/Ponemon sur le coût des violations de données, 2025). Cette moyenne inclut les violations initiées par tous les vecteurs possibles. Si l’on se concentre sur les accès initiaux via un navigateur — liens de hameçonnage, téléchargements involontaires, publicités malveillantes et pages SaaS piratées —, le coût par incident peut être inférieur à la moyenne, mais la fréquence est plus élevée. Prenons un scénario : un commercial clique sur un lien malveillant dans un InMail LinkedIn ; la session de navigation télécharge un programme de vol d’informations ; et le SOC consacre 40 heures de travail d’analyste à la maîtrise de l’incident, à la réinstallation du système, à la rotation des identifiants et à la documentation de l’incident. Au tarif horaire d’un analyste du SOC à pleine charge de 85 dollars, ce seul incident coûte 3 400 dollars en main-d’œuvre directe — sans compter la perte de productivité commerciale ni le risque de propagation latérale.

Les coûts liés aux risques internes sont influencés par l’activité des navigateurs. Le coût annuel moyen des cyberincidents causés par des initiés a atteint 17,4 millions de dollars en 2025, le coût moyen des mesures de confinement s’élevant à 211 000 dollars et celui de la gestion des incidents à 154 000 dollars par incident (Ponemon Institute, 2025). Tous les incidents impliquant des personnes internes ne sont pas liés au navigateur, mais l’exfiltration de données via des téléchargements depuis le navigateur, le copier-coller dans des applications SaaS non autorisées et le partage accidentel excessif via des outils basés sur le navigateur en constituent une part importante.

Évaluez la perte de productivité liée aux blocages. Faites une estimation réaliste. Si 5 000 employés perdent chacun 15 minutes par semaine à contourner des sites bloqués, à rechercher des solutions informatiques parallèles ou à attendre l'assistance technique, cela représente 65 000 heures par an. En supposant un tarif horaire moyen de 65 $ pour un employé qualifié à pleine charge, cela correspond à une perte de productivité annuelle de 4,2 millions de dollars — un chiffre qui ne manquera pas d'attirer l'attention des directeurs financiers.

Phase 2 : Modélisation de l'investissement dans le RBI à l'aide du cadre TEI de Forrester

Les directeurs financiers ont vu suffisamment d'outils de calcul du retour sur investissement proposés par les fournisseurs pour se montrer sceptiques. La méthodologie TEI de Forrester offre une vision complète de l'impact économique global des décisions d'achat en évaluant quatre éléments : les avantages, les coûts, la flexibilité et les risques. Voici comment appliquer chacun de ces éléments au RBI.

Avantages

Répartissez les avantages entre les trois catégories de coûts que vous avez définies lors de la phase 1 :

Économies réalisées sur les coûts liés à la résolution des incidents de logiciels malveillants. Si votre environnement actuel enregistre en moyenne 8 incidents liés à des logiciels malveillants provenant de navigateurs par mois, et que chaque incident coûte entre 3 000 et 5 000 dollars en main-d'œuvre du centre d'opérations de sécurité (SOC), en réinstallation des terminaux et en réinitialisation des identifiants, la technologie RBI, en éliminant la grande majorité de ces incidents, vous permet d'économiser entre 260 000 et 430 000 dollars par an.

Gain de productivité grâce à la réduction des blocages excessifs. RBI vous permet de remplacer les politiques de « blocage » trop générales par des politiques d’« isolement ». Au lieu de bloquer tous les sites non classés, vous les affichez dans un conteneur d’isolement doté de contrôles en lecture seule et d’une inspection DLP. Le responsable des ressources humaines accède au site consacré aux avantages sociaux. L’analyste marketing consulte la page d’un concurrent. Le nombre de tickets d’assistance diminue et les heures de travail des employés sont à nouveau consacrées à des tâches productives.

Réduction des coûts liés à la VDI. Pour chaque groupe de 500 utilisateurs qui utilisent actuellement des postes VDI dans le cloud à raison de 40 $ par utilisateur et par mois, uniquement pour la navigation Web en environnement isolé, RBI permet de réduire les dépenses liées à la VDI de 240 000 $ par an. Contrairement à la VDI, RBI s’intègre de manière native à une secure web gateway ne nécessite ni provisionnement, ni application de correctifs, ni gestion de la capacité GPU.

Coûts

Faites preuve de transparence quant à ce qu'apporte RBI : frais d'abonnement par utilisateur, efforts d'intégration à la plateforme SSE, travail de configuration des politiques et communication avec les utilisateurs lors du déploiement. Pour gagner en crédibilité, vous devez montrer au directeur financier que vous avez pris en compte les coûts de mise en œuvre, et pas seulement le prix catalogue du fournisseur.

Flexibilité

La technologie RBI s'étend naturellement à des cas d'utilisation allant au-delà de la simple navigation sur le Web : isolation des applications SaaS à risque, protection de l'accès des appareils non gérés aux applications cloud, ouverture des liens contenus dans les e-mails dans une session isolée, et contrôle de l'exposition des données dans les outils d'IA générative. Chaque extension apporte une valeur ajoutée sans nécessiter d'infrastructure supplémentaire.

Risques

Prenez conscience des risques liés à la mise en œuvre. Si RBI entraîne une latence perceptible ou perturbe le fonctionnement d'applications web essentielles, les utilisateurs se rebelleront et le projet sera bloqué. Limitez ces risques en commençant par un isolement sélectif — en ciblant d'abord les sites non classés et les catégories à risque — plutôt que par un isolement total d'Internet dès le premier jour.

Phase 3 : Recenser les points d'intégration dans l'architecture de sécurité existante

Le RBI n'existe pas en vase clos (sans jeu de mots). Sa valeur est décuplée lorsqu'il est intégré au sein du Security Service Edge (SSE). Gartner estime que le marché du SASE connaîtra un taux de croissance annuel composé de 26 %, pour atteindre 28,5 milliards de dollars d’ici 2028 (Gartner, 2025) — une trajectoire portée par les entreprises qui regroupent la sécurité Web, le CASB, le ZTNA et la protection des données au sein de plateformes unifiées.

Scénario : un prestataire travaillant sur un ordinateur portable non géré. Un cabinet de conseil envoie trois analystes travailler sur un projet de due diligence. Ils ont besoin d’accéder à l’instance Salesforce de l’entreprise et à plusieurs applications web internes. Sans RBI, l’entreprise doit soit leur fournir des ordinateurs portables gérés (plusieurs semaines de retard, 1 500 dollars par appareil), soit leur attribuer des postes VDI (coût récurrent par utilisateur, problèmes liés à l’afflux de connexions), soit leur accorder un accès direct et accepter le risque d’exfiltration de données à partir de terminaux non contrôlés. Grâce à l’intégration de RBI dans la plateforme SSE, les prestataires se connectent via une passerelle ZTNA, et leurs sessions de navigateur sont exécutées en isolation. Les politiques DLP inspectent chaque opération de téléchargement, de chargement et d’utilisation du presse-papiers. Le copier-coller des données clients est bloqué. La mission démarre dès le premier jour, et non à la troisième semaine.

Liste de contrôle relative à l'intégration pour votre dossier d'analyse de rentabilité :

Liste de contrôle pour l'intégration

Phase 4 : Définir les indicateurs de réussite et élaborer le plan de suivi

Une analyse de rentabilité sans plan de mesure n'est qu'une simple présentation PowerPoint. Définissez les indicateurs avant le déploiement, et non après.

Scénario : une banque régionale déploie le système RBI auprès de 3 000 collaborateurs. Le responsable de la sécurité des systèmes d'information (RSSI) s'engage auprès du directeur financier (CFO) à ce que, dans les six mois suivant le déploiement complet, la banque constate :

Indicateurs de réussite : situation actuelle par rapport aux objectifs

Associez chaque indicateur à une valeur monétaire. La réduction des heures consacrées au SOC se traduit soit par une réaffectation vers des tâches à plus forte valeur ajoutée (recherche de menaces, détection proactive), soit par une limitation de la croissance des effectifs. La suppression de postes VDI se traduit directement par des économies au niveau de l'infrastructure. La rapidité d'intégration des prestataires se traduit par une accélération de la mise en œuvre des projets — un chiffre que les responsables des unités opérationnelles ne manqueront pas de mettre en avant en votre faveur.

Les erreurs courantes qui compromettent la rentabilité d'un projet

Erreur n° 1 : Miser sur la peur. « Les navigateurs sont dangereux » ne constitue pas un argument commercial valable. « Nous avons dépensé 380 000 dollars l’année dernière pour remédier à des incidents liés aux navigateurs, et RBI en prévient la grande majorité pour un coût de 180 000 dollars » : voilà un argument commercial valable. Votre directeur financier a peut-être lu des gros titres sur la baisse des coûts liés aux violations de données et en a conclu que la situation s’améliorait. Contrez cet argument en lui présentant les données spécifiques à votre organisation concernant les incidents, ainsi que le coût cumulé que représente ne serait-ce qu’un seul incident de rançongiciel.

Erreur n° 2 : Négliger l'aspect productivité. Les responsables de la sécurité ont tendance à tout aborder sous l'angle de la réduction des risques. Les directeurs financiers, quant à eux, sont sensibles aux gains de productivité. Si la solution RBI vous permet de débloquer une grande partie des catégories Web actuellement restreintes — en rétablissant l'accès aux études sectorielles, aux plateformes sociales à des fins de marketing, à la documentation destinée aux développeurs et aux environnements d'essai SaaS —, les gains de productivité ainsi récupérés dépassent souvent les économies réalisées en matière de sécurité.

Erreur n° 3 : comparer RBI à un remplacement complet des navigateurs d'entreprise. Certaines approches en matière de sécurité des navigateurs impliquent de remplacer Chrome, Edge ou Firefox par un navigateur propriétaire pour l’ensemble du personnel. Il s’agit là d’un projet de gestion du changement de grande envergure, susceptible de rencontrer d’importantes résistances à l’adoption. La solution RBI fonctionne au sein même des navigateurs que les employés utilisent déjà, ce qui évite toute formation supplémentaire, tout test de compatibilité avec chaque application web et toute révolte des utilisateurs. Précisez clairement cette distinction dans votre analyse de rentabilité : la comparaison entre les navigateurs d’entreprise et la solution RBI est une question fréquemment soulevée au niveau du conseil d’administration.

Erreur n° 4 : négliger la simplification de la mise en conformité. La norme NIST SP 800-53, révision 5, comprend des mesures de contrôle relatives à la protection des périmètres (SC 7), à l’isolation des fonctions de sécurité (SC 3) et à l’application des flux d’informations (AC 4), que l’isolation des navigateurs prend directement en charge. Si votre organisation consacre du temps à la préparation des audits pour documenter les mesures de contrôle compensatoires relatives aux risques liés au Web, la technologie RBI simplifie cette documentation et peut réduire la durée du cycle d’audit.

Erreur n° 5 : élaborer l'analyse de rentabilité sans tenir compte de la feuille de route SSE. Une analyse de rentabilité du RBI considérée isolément ressemble à un produit ponctuel de plus. En revanche, une analyse de rentabilité du RBI qui s'inscrit dans la stratégie globale de l'organisation en matière de sécurité du Web et du cloud apparaît comme une étape supplémentaire d'un parcours déjà approuvé. Positionnez le RBI comme une fonctionnalité intégrée à la plateforme SSE, et non comme un achat isolé.

Tout rassembler : le résumé de direction d'une page

Votre directeur financier a besoin d'une seule page. Voici la structure :

Exposé du problème (2 phrases). Les menaces liées aux navigateurs nous ont coûté X dollars l'année dernière en mesures correctives, et notre politique actuelle de blocage excessif nous coûte Y dollars en perte de productivité. Les postes VDI utilisés exclusivement pour un accès sécurisé au Web nous coûtent Z dollars par an.

Solution proposée (2 phrases). Remote browser isolation le contenu Web dans un conteneur basé sur le cloud et ne transmet à l'utilisateur, via son navigateur existant, que les données de sortie sécurisées. Elle évite tout blocage excessif, remplace la VDI pour les cas d'utilisation liés à l'accès au Web et s'intègre à notre plateforme SSE existante.

Synthèse financière (tableau). Présentez une comparaison du coût total de possession (TCO) sur trois ans : situation actuelle (coûts liés aux incidents + surcoût lié au blocage excessif + dépenses liées à la VDI) par rapport à la situation proposée (abonnement RBI + mise en œuvre + risque résiduel). Indiquez les économies nettes, la durée d'amortissement et le taux de retour sur investissement (ROI) en utilisant le modèle TEI à quatre éléments de Forrester.

Risque en cas d'inaction (1 phrase). Le coût total moyen d'un incident lié à un rançongiciel ou à une extorsion s'élevait à 5,08 millions de dollars en 2025 (IBM/Ponemon, 2025) ; notre posture actuelle expose l'organisation aux menaces provenant des navigateurs, qui sont le plus souvent à l'origine de ces conséquences.

Engagement en matière de mesure (1 phrase). Nous mesurerons chaque mois les incidents liés aux navigateurs, le volume des tickets du service d'assistance, les heures de travail du SOC et le nombre de postes VDI, et nous en rendrons compte au directeur financier chaque trimestre.