Avec l’émergence quotidienne de nouvelles menaces, dont la complexité et le niveau de sophistication ne cessent de croître, la cybersécurité est devenue une priorité absolue pour toutes les organisations : chaque entreprise, quelles que soient sa taille et sa localisation, est exposée au risque de cyberattaque. En conséquence, la plupart d’entre elles ont commencé à opter pour une cyberassurance afin de couvrir les pertes que de telles attaques pourraient entraîner, parfois assortie d’une garantie spécifique contre les ransomwares, cette menace représentant environ 75 % des sinistres liés à la cyberassurance (AM Best 2021). Outre les ransomwares, la cyberassurance peut couvrir des domaines tels que les demandes d’extorsion et les mesures de remédiation.
Mais ce marché est sous pression, avec un ratio pertes/primes encaissées s’élevant à 73 % en 2021 selon Fitch Ratings, et des difficultés à diversifier les risques, les cyberattaques ne connaissant pas de frontières. De plus, l’absence de données historiques complique la réalisation du type de prévisions de risques auquel le secteur de l’assurance a habituellement recours pour fixer ses tarifs. Conjugués, ces facteurs menacent en fin de compte la rentabilité du secteur et, par conséquent, la protection qu’il offre – tout en alimentant la hausse des primes pour les clients.
Les garanties contre les ransomwares, qui font la une des journaux, constituent également un domaine qui nécessite des recherches plus approfondies et une lecture attentive des clauses en petits caractères. Ce qui peut sembler une offre alléchante (et souvent une évidence) ne donnera, dans de nombreux cas, jamais lieu à une indemnisation et pourrait conduire à une complaisance dangereuse.
Par ailleurs, les clauses relatives à l’assurance cybersécurité se durcissent de plus en plus, comme l’a souligné la récente annonce de Lloyds of London concernant la limitation des garanties : par exemple, ses produits d’assurance ne couvriront plus les conséquences des cyberattaques menées entre États-nations. De nombreux assureurs imposent également des exigences de protection plus strictes, ce qui, bien que contribuant à renforcer les niveaux de défense en matière de cybersécurité, peut également exposer certaines organisations, en particulier les PME, car celles-ci sont moins à même de respecter les nouveaux seuils minimaux exigés.
Il est donc impératif, tant sur le plan commercial que technologique, de savoir exactement ce qui est couvert par toute police d’assurance que vous détenez aujourd’hui ou que vous envisagez de souscrire à l’avenir. Les entreprises doivent savoir que les polices d’assurance cyber et les garanties de protection contre les ransomwares ne couvrent pas tous les aspects des attaques et que, dans la plupart des cas, les conditions de déclenchement, les limites, les conditions générales et les couvertures varient selon les types de sinistres, ce qui peut entraîner un refus ou une réduction de l’indemnisation, créant ainsi un écart entre les attentes et la réalité. L’information et la sensibilisation sont ici essentielles : vous devez être pleinement conscient de ce qui n’est pas couvert par votre cyberassurance aujourd’hui, afin d’éviter toute mauvaise surprise plus tard. Roy May aborde très bien ce point précis.
Examinons tour à tour certaines des questions clés afin d’étayer précisément cette idée.
- Erreurs de tiers : les compagnies d’assurance cyber ne vous couvrent pas si une cyberattaque vise un système tiers et cause un préjudice à votre activité principale. Ces logiciels ou services tiers peuvent être votre hébergement web, votre messagerie électronique, vos services cloud, votre système de gestion du service client ou toute autre relation commerciale en ligne importante.
- Pertes subies pendant le « délai de carence » : dans le domaine de l’assurance, il existe souvent un délai de carence appelé « période d’attente ». Seules les pertes subies après l’expiration de ce délai de carence sont couvertes par l’assurance. Ce délai de carence est généralement de 10 à 12 heures. Cela signifie que si votre réseau subit une cyberattaque pendant le délai de carence, vous ne pourrez pas demander d’indemnisation à votre assurance.
- Pertes liées à l’indisponibilité : les pertes subies pendant la période d’interruption d’activité ne sont pas couvertes par la plupart des polices d’assurance. L’indisponibilité peut nuire à votre entreprise de multiples façons, entraînant une perte de productivité, ainsi qu’une perte de confiance et de fidélité de la part de vos clients, et, à terme, la perte de votre clientèle. Quel que soit le montant des pertes de chiffre d’affaires que cette indisponibilité vous coûte, celles-ci ne seront pas couvertes.
- Atteinte à la réputation : il s’agit de l’un des risques les plus importants auxquels une entreprise est confrontée en cas de cyberattaque ou de fuite de données. En effet, un client sur trois est prêt à se détourner d’une marque qu’il apprécie après une seule mauvaise expérience, ce chiffre passant à plus de 90 % après deux ou trois interactions négatives. (AJOUTER RÉFÉRENCE). Toute attaque survenant lors d’événements particuliers, tels que les « Cyber Mondays », peut causer encore plus de préjudice à l’organisation. Comme il est difficile de quantifier ce type de préjudice, les assureurs spécialisés dans la cybercriminalité ne le couvrent pas dans leurs polices.
- Préjudice corporel ou dommages matériels : les cyberattaques ont des conséquences tangibles. À mesure que le monde évolue vers l’IoT (Internet des objets), les connexions entre les objets se multiplient, ce qui peut entraîner des préjudices corporels ou des dommages matériels. Cela peut paraître inhabituel, mais de nombreuses entreprises de production fonctionnent aujourd’hui entièrement à l’aide d’ordinateurs.
Toutes les étapes, de la collecte des matières premières à l’expédition des produits finis, sont gérées par des systèmes automatisés. Si une cyberattaque venait à se produire à n’importe quelle étape de ce processus, cela entraînerait une catastrophe. Si une entreprise se retrouvait dans une telle situation, l’assurance cyber ne couvrirait probablement pas l’intégralité des besoins.
- Matériel neuf : en règle générale, les polices d’assurance cyber ne couvrent pas les dommages matériels, tels que le remplacement du matériel et d’autres équipements, causés par une cyberattaque. La situation devient problématique lorsque le matériel est endommagé à un point tel qu’il est impossible de le réparer. Dans ce cas, la meilleure solution consiste à remplacer le matériel par du neuf, mais c’est l’entreprise elle-même qui devra en assumer les frais.
- Mises à jour logicielles : les dernières versions des logiciels ne sont généralement pas couvertes par les polices d’assurance cyber. En cas de cyberattaque, les principales assurances cyber vous aideront uniquement à restaurer les logiciels dans l’état où ils se trouvaient avant l’attaque.
- Perte de matériel : la plupart des polices d’assurance cyber ne couvrent pas les cybercrimes résultant de la perte d’un appareil portable, tel qu’un ordinateur portable ou une tablette d’entreprise. Rares sont les polices d’assurance qui incluent uniquement les appareils chiffrés dans leur couverture ; tous les appareils utilisés au sein de l’entreprise doivent donc disposer des correctifs de sécurité appropriés.
- Amendes et sanctions imposées par les émetteurs de cartes : l’une des principales préoccupations en cas de violation de données concerne les sanctions et les amendes potentielles infligées à une entreprise par les émetteurs de cartes tels que MasterCard, Visa, etc., ou encore infligées aux dirigeants de l’entreprise en vertu du RGPD et de réglementations similaires. Ces amendes ou sanctions peuvent atteindre des montants considérables, pouvant aller jusqu’à six chiffres. Certaines compagnies d’assurance excluent la couverture de ce type d’amendes, ce qui pourrait entraîner de graves pertes financières.
- Attaques ciblées : De nombreuses polices d’assurance ne couvrent que les attaques commises par des cybercriminels cherchant à en tirer un profit personnel, ou un profit collectif lorsque des acteurs malveillants collaborent pour un gain partagé. Elles refusent la couverture si l’attaque est menée à des fins terroristes ou par un acteur étatique à des fins politiques, un domaine où les recherches montrent une augmentation de l’ampleur et du volume des attaques visant à échapper à la détection (Microsoft 2021).
Conclusion – Alors, l’assurance cyber en vaut-elle la peine ?
La résilience d’une entreprise est étroitement liée à sa cyber-résilience, ce qui rend indispensable une attention soutenue et généralisée à la cybersécurité à l’échelle de l’organisation, qu’il s’agisse des technologies, des processus, de la culture ou des compétences. Dans ce contexte, l’assurance cyber joue un rôle protecteur en imposant des progrès en matière de « sécurité dès la conception » dans le cadre de conditions de plus en plus strictes, et en soutenant la Recovery des activités de l’organisation en cas de violation, à condition que toutes ces obligations aient été respectées. Cependant, toutes les polices d’assurance cyber ne se valent pas, car elles présentent des différences significatives en termes de couverture et de conditions. Vous devez donc bien comprendre à la fois vos besoins et vos obligations avant de prendre une décision définitive.
Les start-ups et les PME disposant d’un portefeuille restreint ou d’actifs numériques limités pourraient ne pas être en mesure de justifier le coût d’une assurance cybersécurité, un meilleur retour sur investissement pouvant être obtenu en se concentrant sur les mesures de défense, par exemple les pratiques « Zero Trust » ainsi que la formation et la sensibilisation des employés. Pour les grandes entreprises gérant un volume important d’informations financières sensibles ou de données à caractère personnel (DCP) concernant leurs clients, l’investissement dans une police d’assurance cyber réputée peut être pleinement justifié – mais uniquement dans le cadre d’une stratégie globale de cybersécurité. Aucune police ne permettra d’empêcher ni de résoudre spontanément les problèmes liés à la sécurité ; elle peut toutefois constituer la dernière pièce d’un programme de défense proactif axé à la fois sur l’identification précoce des risques et sur une Recovery rapide lorsque (et non pas « si ») une attaque, sous une forme ou une autre, se produira inévitablement.
À propos de l’auteur
Le Dr Sally Eaves est présidente du programme « Global Cyber Trust » au sein du prestigieux groupe de réflexion GFCYBER, et conseillère en décentralisation numérique, démocratie et sécurité pour le Centre for a New American Security (CNAS), qui rend compte au gouvernement des États-Unis. Forte d’une solide expérience en tant que directrice technique, professeure en technologies de pointe et conseillère stratégique mondiale en matière de transformation numérique, Sally est spécialisée dans l’application des technologies émergentes, notamment l’IA, la sécurité, la 5G, le cloud et l’IoT, au service de la transformation des entreprises et des systèmes informatiques, tout en favorisant un impact social à grande échelle.
Conférencière internationale de renom et autrice, Sally a été la première lauréate du prix « Frontier Technology and Social Impact », décerné par les Nations Unies. Souvent décrite comme la « figure de proue de la technologie éthique », elle a fondé Aspirational Futures afin de promouvoir l’inclusion, la diversité, l’équité et le sentiment d’appartenance dans le secteur technologique et au-delà.
