Répondre au questionnaire de votre assureur cyber, sans bluffer

Pourquoi les assureurs ont durci leurs exigences

Parce que la sinistralité cyber a rendu le modèle initial intenable. Les polices ont longtemps été souscrites sur simple déclaration ; les assureurs ont depuis resserré à la fois les conditions d'accès, les vérifications et les exclusions. Le questionnaire n'est plus une formalité administrative, c'est un instrument de sélection.

Ce durcissement a une conséquence directe pour les PME : des contrôles qui relevaient auparavant des grandes organisations sont désormais demandés à tout le monde. Une entreprise de trente personnes se voit poser des questions sur sa journalisation, sa gestion des comptes à privilèges et ses tests de restauration.

Il a aussi une conséquence moins visible. Beaucoup d'organisations découvrent leurs propres lacunes en remplissant le formulaire, et le remplissent quand même, en cochant ce qu'elles pensent être vrai. C'est précisément là que se crée le risque le plus coûteux.

Quels prérequis reviennent systématiquement ?

Six, avec des variantes de formulation d'un assureur à l'autre : authentification à plusieurs facteurs sur les accès distants, sauvegardes isolées et restaurées, protection des postes et serveurs, journalisation conservée, gestion des correctifs et des comptes à privilèges, et procédure de réponse à incident écrite.

Aucun n'est propre au monde de l'assurance. Ce sont les mesures que recommandent aussi les autorités publiques, ce qui explique qu'elles se recoupent d'un questionnaire à l'autre. Les traiter une fois sert donc plusieurs fois.

• Authentification à plusieurs facteurs. Sur tous les accès distants et sur les comptes d'administration, sans exception tolérée pour les dirigeants : c'est l'exemption la plus fréquemment demandée et la plus dangereuse.
• Sauvegardes isolées et restaurées. L'assureur demande de plus en plus la date du dernier test de restauration, pas seulement l'existence d'une sauvegarde.
• Protection des postes et des serveurs. Solution de détection déployée sur l'ensemble du parc, y compris sur les machines oubliées : postes de production, serveurs anciens, équipements de sous-traitants.
• Journalisation conservée. Des traces existantes, conservées assez longtemps pour être exploitables après un incident, souvent le point le plus faible en PME.
• Correctifs et comptes à privilèges. Un processus de mise à jour et un inventaire des comptes qui disposent de droits étendus.
• Procédure de réponse à incident écrite. Qui décide, qui prévient, dans quel ordre. Un plan improvisé le jour J ne vaut pas une procédure écrite à froid.

Que risque-t-on avec une réponse approximative ?

Le contrat d'assurance repose sur la sincérité des déclarations. Une réponse inexacte sur un point matériel peut fonder une réduction d'indemnité ou un refus de garantie, y compris lorsque l'inexactitude était de bonne foi. Le moment où cela se découvre est le pire possible : après le sinistre, pendant l'expertise.

Le cas typique n'est pas la fraude, c'est l'imprécision. Une organisation coche « authentification à plusieurs facteurs activée » parce qu'elle l'est sur la messagerie, sans réaliser que l'accès distant au serveur comptable en est dépourvu. La déclaration est sincère et inexacte à la fois.

La parade est simple mais demande de la méthode : vérifier chaque affirmation avant de la cocher, et conserver la preuve de cette vérification. C'est ce que nous appelons le dossier de preuves.

Nous vous recommandons par ailleurs de faire relire les clauses par votre courtier ou votre conseiller juridique. Notre travail porte sur la réalité technique déclarée, pas sur l'interprétation du contrat.

Que contient le dossier de preuves ?

Pour chaque affirmation du questionnaire, l'élément qui la démontre : une capture de configuration, un rapport de couverture, un compte rendu de test de restauration daté, la procédure écrite. Le dossier se constitue une fois, se met à jour périodiquement, et sert autant à l'assureur qu'aux donneurs d'ordre.

Sa valeur tient à sa datation. Un dossier constitué au moment de la souscription et jamais revu perd son sens en quelques mois, parce que le parc bouge : nouveaux postes, départs, changement de prestataire.

Il sert aussi à autre chose qu'à l'assurance. Les questionnaires fournisseurs que font circuler les grands donneurs d'ordre portent sur les mêmes points, dans un ordre différent. Une organisation qui tient ce dossier répond en quelques heures à des demandes qui immobilisent habituellement une semaine.

Questions fréquentes