Assurance cyber : préparer les questions avant l’incident

Un incident informatique peut toucher une entreprise de toute taille : vol de données, rançongiciel ou attaque par déni de service peuvent affecter l’activité et entraîner des frais. Une assurance cyber mérite d’être étudiée selon vos données, vos dépendances et votre capacité financière ; elle ne remplace pas les mesures de sécurité.

Personne à capuche devant plusieurs écrans dans une mise en scène de cyberattaquePoste informatique équipé de quatre écrans

Qu’est-ce que l’assurance cyber risques ?

L’assurance cyber risques peut prévoir des prestations d’assistance et une prise en charge de conséquences financières ou de responsabilités définies au contrat. Vérifiez les incidents assurés, les frais admissibles, les plafonds, les franchises et les exclusions ; toutes les formules ne couvrent pas les mêmes situations.

Incidents à examiner dans les garanties proposées :

  1. Le piratage informatique : Accès non autorisé aux systèmes d’information de l’entreprise.

  2. Les rançongiciels (ransomware) : Logiciels malveillants qui chiffrent les données et exigent une rançon pour les restituer.

  3. Le vol de données sensibles : Informations clients, données financières, secrets industriels.

  4. Les attaques par déni de service (DDoS) : Surcharge des serveurs pour rendre les services inaccessibles.

  5. Le phishing (hameçonnage) : Tentatives de tromperie pour obtenir des informations confidentielles.

Trois rôles à organiser sans les confondre

Avant un incident, identifiez qui décide et quels contacts sont disponibles. Cette organisation pratique doit rester cohérente avec vos procédures, les contrats techniques et les conditions de la police.

  • Réponse technique : qui qualifie les systèmes touchés, conserve les traces et organise la reprise ? Demandez au prestataire les accès et éléments dont il aurait besoin, puis ce qu’il faut éviter de modifier avant son intervention.
  • Données personnelles : qui examine si des données sont concernées et évalue les conséquences pour les personnes ? La CNIL recommande d’intégrer les violations de données à la gestion des incidents ; les démarches éventuelles ne se déduisent pas du simple fait de détenir une assurance.
  • Assurance : qui donne avis selon le contrat et rassemble les informations disponibles ? Où trouver le contact d’assistance, les conditions de recours aux intervenants et les frais à faire préciser avant de les engager ?

Un même incident peut mobiliser ces trois rôles. Une assistance contractuelle ne transfère pas toutes les décisions de l’entreprise à l’assureur et ne démontre pas que chaque coût sera remboursé.

Quels types de garanties offre l’assurance cyber risques ?

Les garanties à examiner, lorsqu’elles sont proposées, comprennent notamment :

  1. Remise en état informatique : restauration des données et des systèmes, selon les frais et moyens admis au contrat.

  2. Pertes d’exploitation cyber : pertes admissibles selon le déclenchement, la franchise et la période maximale définis dans cette garantie.

  3. Responsabilité civile : conséquences de responsabilités entrant dans le contrat ; toutes les demandes de tiers ne sont pas automatiquement garanties.

  4. Cyberextorsion : assistance et frais éventuels selon le contrat et les règles applicables. Ne présumez jamais le remboursement d’une rançon ; faites préciser les conditions légales et contractuelles avant toute décision.

Comparer la réponse proposée pour un incident décrit

Présentez vos applications essentielles, les données traitées, les prestataires et les moyens de reprise réellement disponibles. Pour comparer deux propositions, demandez les réponses aux mêmes questions et leur emplacement dans les conditions reçues.

  1. Quels événements sont définis : intrusion, erreur, indisponibilité ou autre cause ? Le fait de constater une panne ne permet pas d’en présumer l’origine ni la garantie.
  2. Quels frais peuvent être examinés : investigation, restauration, conseil, communication ou défense ? Quelles conditions encadrent le choix des intervenants et les dépenses ?
  3. Quelles pertes d’exploitation sont visées, avec quel déclenchement, quelle franchise et quelle durée ? La panne d’un prestataire et celle de votre installation doivent être décrites pour lire les clauses correspondantes.
  4. Quelles mesures de sécurité ont été demandées lors de la souscription ? Vos réponses décrivent-elles les pratiques présentes, notamment les accès et les sauvegardes ?
  5. Quels plafonds, sous-limites et exclusions restent à examiner ? Quels frais ou événements n’ont pas de réponse identifiée ?

Exemple pédagogique : accès à une messagerie compromis

Imaginez qu’un collaborateur signale des connexions inhabituelles et des messages envoyés à son insu. La liste des informations lues ou exportées n’est pas encore connue. Il faut conserver les éléments disponibles, faire qualifier l’incident et documenter les décisions, plutôt que promettre aux clients qu’aucune donnée n’a été exposée.

La fiche de suivi peut consigner l’heure du signalement, les observations, les personnes contactées et les mesures décidées. Elle peut être complétée quand des éléments nouveaux sont établis. Ni cette fiche ni la qualification technique ne certifient une indemnisation. L’examen des données et les démarches applicables restent distincts de la déclaration à l’assureur.

Bonnes pratiques pour renforcer la cybersécurité de votre entreprise

L’assurance peut compléter une organisation de sécurité, avec des garanties adaptées. Les bonnes pratiques suivantes visent à réduire l’exposition et à préparer la réponse aux incidents :

  1. Former vos équipes : Sensibilisez vos employés aux risques cyber, aux bonnes pratiques de gestion des mots de passe et à la reconnaissance des tentatives de phishing.

  2. Mettre à jour régulièrement vos systèmes : Assurez-vous que vos logiciels et pare-feu sont toujours à jour pour prévenir les vulnérabilités.

  3. Sauvegarder les données : Effectuez des sauvegardes régulières de vos données critiques sur des supports sécurisés.

  4. Mettre en place des protocoles de sécurité : Utilisez des outils de chiffrement, des solutions antivirus performantes et des accès restreints aux données sensibles.

  5. Plan de réponse aux incidents : Élaborez un plan d’action pour réagir rapidement en cas d’attaque.

Décider ce qui relève du contrat et de votre organisation

Retenez une proposition dont vous pouvez expliquer les événements, les frais, les limites et la procédure d’assistance. Faites préciser les zones encore ambiguës au regard de vos dépendances et de vos moyens de reprise. L’assurance ne remplace ni une organisation de sécurité ni l’analyse des obligations relatives aux données.

Pour préparer cette dernière, la fiche CNIL sur les incidents et les violations décrit les procédures et l’examen des risques pour les personnes.

À lire aussi sur Menelas

Repère contractuel

L’article L. 112-4 du Code des assurances porte notamment sur les risques, la durée, le montant de garantie et la prime mentionnés dans la police, ainsi que la présentation des exclusions. Ce texte ne prouve pas qu’une formule comprend une garantie particulière : vérifiez les conditions générales et particulières du contrat proposé.