Avec l’émergence quotidienne de nouvelles menaces, dont la complexité et le niveau de sophistication ne cessent de croître, la cybersécurité est devenue une priorité absolue pour toutes les organisations : chaque entreprise, quelles que soient sa taille et sa localisation, est exposée au risque de cyberattaque. En conséquence, la plupart d’entre elles ont commencé à opter pour une cyberassurance afin de couvrir les pertes que de telles attaques pourraient entraîner, parfois assortie d’une garantie spécifique contre les ransomwares, cette menace représentant environ 75 % des sinistres liés à la cyberassurance (AM Best 2021). Outre les ransomwares, la cyberassurance peut couvrir des domaines tels que les demandes d’extorsion et les mesures de remédiation.
Mais ce marché est sous pression, avec un ratio pertes/primes encaissées s’élevant à 73 % en 2021 selon Fitch Ratings, et des difficultés à diversifier les risques, les cyberattaques ne connaissant pas de frontières. De plus, l’absence de données historiques complique la réalisation du type de prévisions de risques auquel le secteur de l’assurance a habituellement recours pour fixer ses tarifs. Conjugués, ces facteurs menacent en fin de compte la rentabilité du secteur et, par conséquent, la protection qu’il offre – tout en alimentant la hausse des primes pour les clients.
Les garanties contre les ransomwares, qui font la une des journaux, constituent également un domaine qui nécessite des recherches plus approfondies et une lecture attentive des clauses en petits caractères. Ce qui peut sembler une offre alléchante (et souvent une évidence) ne donnera, dans de nombreux cas, jamais lieu à un dédommagement et pourrait conduire à une complaisance dangereuse.
Par ailleurs, les clauses relatives à l’assurance cybersécurité se durcissent de plus en plus, comme l’a souligné la récente annonce deLloydsof London concernant la limitation des garanties : par exemple, ses produits d’assurance ne couvriront plus les conséquences des cyberattaques menées entre États-nations. De nombreux assureurs imposent également des exigences de protection plus strictes, ce qui, bien que contribuant à renforcer les niveaux de défense en matière de cybersécurité, peut également exposer certaines organisations, en particulier les PME, car celles-ci sont moins à même de respecter les nouveaux seuils minimaux exigés.
Il est donc impératif, tant sur le plan commercial que technologique, de savoir exactement ce qui est couvert par toute police d’assurance que vous possédez aujourd’hui ou que vous envisagez de souscrire à l’avenir. Les entreprises doivent savoir que les polices d’assurance cyber et les garanties de protection contre les ransomwares ne couvrent pas tous les aspects des attaques et que, dans la plupart des cas, les conditions de déclenchement, les limites, les clauses et les garanties varient selon les types de sinistres, ce qui peut entraîner un refus ou une réduction de l’indemnisation, créant ainsi un écart entre les attentes et la réalité. L’information et la sensibilisation sont ici essentielles : vous devez savoir précisément ce qui n’est pas couvert par votre cyberassurance aujourd’hui, afin d’éviter toute mauvaise surprise plus tard. Roy May aborde très bien ce point précis.
Examinons tour à tour certaines des questions clés afin d’étayer précisément cette idée.
- Erreurs de tiers : les assureurs spécialisés dans la cyberassurance ne vous couvrent pas si une cyberattaque touche un système tiers et cause un préjudice à votre activité principale. Ces logiciels ou services tiers peuvent concerner votre hébergement web, votre messagerie électronique, vos services cloud, la gestion de votre service client ou toute autre relation commerciale en ligne importante.
- Sinistres survenus pendant le « délai de carence » : Dans le domaine de l’assurance, on parle souvent d’une franchise liée à un délai, appelée « période d’attente ». Seuls les sinistres survenant après l’expiration de cette période d’attente sont couverts par l’assurance. Cette période d’attente est généralement comprise entre 10 et 12 heures. Cela signifie que si votre réseau subit une cyberattaque pendant la période d’attente, vous ne pourrez pas demander d’indemnisation à votre assureur.
- Pertes liées à l’arrêt d’activité : les pertes subies pendant la période d’interruption d’activité ne sont pas couvertes par les principales polices d’assurance. Cet arrêt d’activité peut nuire à votre entreprise de multiples façons, entraînant une perte de productivité, ainsi qu’une perte de confiance et de fidélité de la part de vos clients, et, à terme, une perte de chiffre d’affaires. Quel que soit le montant des pertes de chiffre d’affaires que cet arrêt d’activité vous coûte, celles-ci ne seront pas couvertes.
- Atteinte à la réputation : Il s’agit de l’un des risques les plus importants auxquels une entreprise est confrontée en cas de cyberattaque ou de fuite de données. En effet, un client sur trois est prêt à se détourner d’une marque qu’il apprécie après une seule mauvaise expérience, et ce chiffre grimpe à plus de 90 % après deux ou trois interactions négatives. (AJOUTER LA RÉFÉRENCE). Toute attaque survenant lors d’événements particuliers, comme les Cyber Monday, peut causer encore plus de tort à l’entreprise. Comme il est difficile de quantifier ce type de préjudice, les assureurs spécialisés dans la cybercriminalité ne le prennent pas en charge dans leurs polices.
- Blessures corporelles ou dommages matériels : les cyberattaques ont des conséquences concrètes. À mesure que le monde évolue vers l’IoT (l’Internet de tout), les connexions entre les objets se multiplient, ce qui peut entraîner des blessures corporelles ou des dommages matériels. Cela peut paraître inhabituel, mais de nombreuses entreprises de production fonctionnent aujourd’hui entièrement à l’aide d’ordinateurs.
Toutes les étapes, de la collecte des matières premières à l’expédition des produits finis, sont gérées par des systèmes automatisés. Si une cyberattaque venait à se produire à n’importe quelle étape de ce processus, cela entraînerait une catastrophe. Si une entreprise se retrouvait dans une telle situation, l’assurance cyber ne couvrirait probablement pas l’intégralité des besoins.
- Nouveau matériel : en règle générale, les polices d’assurance contre les cyberrisques ne couvrent pas les dommages matériels, tels que le remplacement du matériel informatique et d’autres équipements, résultant d’une cyberattaque. La situation devient problématique lorsque le matériel est endommagé à un point tel qu’il est impossible de le réparer. Dans ce cas, la meilleure solution consiste à remplacer le matériel par du neuf, mais c’est l’entreprise elle-même qui devra en assumer les frais.
- Mises à jour logicielles : les dernières versions des logiciels ne sont généralement pas couvertes par les polices d’assurance cyber. En cas de cyberattaque, les principaux assureurs cyber ne vous aideront qu’à restaurer le logiciel dans l’état où il se trouvait avant l’attaque.
- Perte de matériel : la plupart des polices d’assurance cyber ne couvrent pas les cybercrimes résultant de la perte d’un appareil portable, tel qu’un ordinateur portable ou une tablette d’entreprise. Rares sont les polices d’assurance qui limitent leur couverture aux seuls appareils chiffrés ; par conséquent, tous les appareils utilisés au sein de l’organisation doivent disposer des correctifs de sécurité appropriés.
- Amendes et sanctions imposées par les émetteurs de cartes : l’une des principales préoccupations en cas de violation de données concerne les sanctions et les amendes potentielles infligées à une entreprise par des émetteurs de cartes tels que MasterCard, Visa, etc., ou encore aux dirigeants de l’entreprise en vertu du RGPD et d’autres réglementations similaires. Ces amendes ou sanctions peuvent atteindre des montants considérables, pouvant aller jusqu’à six chiffres. Certaines compagnies d’assurance excluent la couverture de ce type d’amendes, ce qui pourrait entraîner de lourdes pertes financières.
- Attaques ciblées : De nombreuses polices d’assurance ne couvrent que les attaques commises par des cybercriminels cherchant à en tirer un profit personnel, ou un profit collectif lorsque des acteurs malveillants collaborent dans un but lucratif commun. Elles refusent la couverture si l’attaque est menée à des fins terroristes ou par un acteur étatique à des fins politiques, un domaine où les études montrent une augmentation de l’ampleur et du volume des attaques visant à échapper à la détection (Microsoft 2021)
Conclusion Alors, l’assurance cyber vaut-elle le coup ?
La résilience d’une entreprise est étroitement liée à sa cyber-résilience, ce qui rend indispensable une attention soutenue et généralisée à la cybersécurité à l’échelle de l’organisation, qu’il s’agisse des technologies, des processus, de la culture ou des compétences. Dans ce contexte, l’assurance cyber joue un rôle de protection en imposant des avancées en matière de « sécurité dès la conception » dans le cadre de conditions de plus en plus strictes, et en soutenant la Recovery des activités de l’organisation en cas de violation, à condition que toutes ces obligations aient été respectées. Cependant, toutes les polices d’assurance cyber ne se valent pas, car elles présentent des différences significatives en termes de couverture et de conditions. Vous devez donc bien comprendre à la fois vos besoins et vos obligations avant de prendre une décision définitive.
Les start-ups et les PME disposant d’un portefeuille restreint ou d’actifs numériques limités pourraient ne pas être en mesure de justifier le coût d’une assurance cybersécurité, un meilleur retour sur investissement pouvant être obtenu, par exemple, en mettant l’accent sur les mesures de défense en matière de sécurité.« Zero Trust »les pratiques, ainsi que la formation et la sensibilisation des employés. Pour les grandes entreprises qui gèrent un volume important d’informations financières sensibles ou de données à caractère personnel (DCP) concernant leurs clients, l’investissement dans une police d’assurance cyber de renom peut se justifier pleinement – mais uniquement dans le cadre d’une stratégie globale de cybersécurité. Aucune police ne permettra d’empêcher ni de résoudre spontanément les problèmes liés à la sécurité ; elle peut toutefois constituer la dernière pièce d’un programme de défense proactif axé à la fois sur l’identification précoce des risques et sur une Recovery rapide lorsque (et non pas « si ») une attaque, quelle qu’en soit la forme, se produira inévitablement.
À propos de l’auteur
Le Dr Sally Eaves est présidente du programme « Global Cyber Trust » au sein du prestigieux groupe de réflexion GFCYBER, et conseillère en décentralisation numérique, démocratie et sécurité pour le Centre for a New American Security (CNAS), qui rend compte au gouvernement des États-Unis. Fort d’une solide expérience en tant que directrice technique, professeure en technologies de pointe et conseillère stratégique mondiale en matière de transformation numérique, Sally est spécialisée dans l’application des technologies émergentes, notamment l’IA, la sécurité, la 5G, le cloud et l’IoT, au service de la transformation des entreprises et des systèmes informatiques, tout en favorisant un impact social à grande échelle.
Conférencière internationale de renom et autrice, Sally a été la première lauréate du prix « Frontier Technology and Social Impact », décerné aux Nations Unies. Souvent décrite comme la « porte-drapeau de la technologie éthique », elle a fondé Aspirational Futures afin de promouvoir l’inclusion, la diversité, l’équité et le sentiment d’appartenance dans le secteur technologique et au-delà.
