Ce que l’assureur cyber attend vraiment

La logique de l’assureur

Un assureur ne vous demande pas d’être invulnérable. Il cherche à savoir si vous avez mis en place les quelques mesures qui, statistiquement, évitent les sinistres les plus coûteux : rançongiciel, fraude au virement, piratage de messagerie.

Les mêmes questions reviennent donc chez la plupart des assureurs et des courtiers.

Les mesures presque toujours demandées

• Double authentification sur la messagerie, les accès à distance (VPN, bureau à distance) et les comptes administrateurs.
• Sauvegardes régulières, dont une copie déconnectée ou non modifiable, et des tests de restauration.
• Mises à jour de sécurité appliquées selon une règle définie, en particulier sur les équipements exposés à Internet.
• Protection des postes et serveurs, de préférence supervisée (outil de détection et réponse).
• Comptes à privilèges limités et séparés des comptes de tous les jours.
• Sensibilisation des équipes au hameçonnage et à la fraude.
• Une procédure de réponse à incident : qui appeler, quoi faire.
• Une double validation des virements et des changements de coordonnées bancaires.

Répondre au questionnaire : l’exactitude avant tout

Le questionnaire de souscription sert à évaluer le risque. Une réponse inexacte peut avoir des conséquences lourdes au moment d’un sinistre : réduction de l’indemnité, voire nullité du contrat en cas de fausse déclaration intentionnelle (Code des assurances, articles L113-8 et L113-9).

Répondre « oui » à « double authentification sur tous les accès » alors qu’un seul compte administrateur en est dépourvu, c’est prendre un risque.

Une règle à connaître : la plainte sous 72 heures

Depuis le 24 avril 2023, l’indemnisation des pertes et dommages causés par une cyberattaque (intrusion dans vos systèmes, rançongiciel) est conditionnée au dépôt d’une plainte auprès des autorités compétentes (police, gendarmerie ou procureur) au plus tard 72 heures après la connaissance de l’atteinte (Code des assurances, article L12-10-1). La règle vise les entreprises et les personnes agissant dans le cadre de leur activité professionnelle, et s’applique même si votre contrat ne la mentionne pas. Ce délai doit figurer dans votre procédure d’incident.

Transformer la contrainte en levier

1. 1Récupérer le questionnaire de votre assureur ou courtier le plus tôt possible avant l’échéance.
2. 2Mesurer l’écart, mesure par mesure, avec preuves à l’appui.
3. 3Traiter en priorité les mesures demandées : ce sont aussi les plus efficaces.
4. 4Présenter un dossier clair : mesures en place, preuves, plan daté pour les écarts. Un dossier solide aide à discuter les conditions.