Assurance cyber
Répondre au questionnaire de votre assureur cyber, sans bluffer
Ce que les assureurs vérifient désormais, pourquoi une réponse approximative se retourne contre vous au sinistre, et comment constituer un dossier qui tient.
L’essentiel
- Les assureurs ne se contentent plus d’une déclaration : ils vérifient, parfois au moment du sinistre.
- Une réponse inexacte peut compromettre l’indemnisation, même de bonne foi.
- Les prérequis se recoupent d’un assureur à l’autre : les traiter sert bien au-delà de la police.
- Le dossier de preuves répond aussi aux questionnaires de vos donneurs d’ordre.
Une police payée ne garantit pas une indemnisation
Vous payez une cyberassurance chaque mois et vous supposez être couvert. Après un sinistre, l’expert en réponse à incident vérifie si les protections déclarées au questionnaire étaient réellement en place. Cochée sans l’être partout, l’authentification à plusieurs facteurs peut suffire à faire refuser la prise en charge.
Les polices ont longtemps été souscrites sur simple déclaration. La sinistralité a rendu ce modèle intenable : les assureurs ont resserré les conditions d’accès, les vérifications et les exclusions. Le questionnaire n’est plus une formalité, c’est un instrument de sélection, désormais posé à une entreprise de trente personnes comme à une grande organisation.
Beaucoup de dirigeants découvrent leurs propres lacunes en le remplissant, et le remplissent quand même, en cochant ce qu’ils pensent être vrai. C’est là que se crée le risque le plus coûteux.
Six prérequis reviennent chez tous les assureurs
Les formulations varient, pas le fond. Aucun de ces prérequis n’est propre au monde de l’assurance : ce sont les mesures que recommandent aussi les autorités publiques, ce qui explique qu’ils se recoupent d’un questionnaire à l’autre. Les traiter une fois sert donc plusieurs fois.
- Authentification à plusieurs facteurs. Sur les accès distants et les comptes d’administration, sans exemption pour les dirigeants : la plus demandée, la plus dangereuse.
- Sauvegardes isolées et restaurées. L’assureur demande la date du dernier test de restauration, pas seulement l’existence d’une sauvegarde.
- Protection des postes et des serveurs. Sur tout le parc, y compris les machines oubliées : serveurs anciens, postes de production, équipements de sous-traitants.
- Journalisation conservée. Des traces gardées assez longtemps pour être exploitables après un incident. Souvent le point le plus faible en PME.
- Correctifs et comptes à privilèges. Un processus de mise à jour, et l’inventaire des comptes qui disposent de droits étendus.
- Procédure de réponse à incident écrite. Qui décide, qui prévient, dans quel ordre. Un plan improvisé le jour J n’en tient pas lieu.
Le dossier de preuves, pièce par pièce
Pour chaque affirmation du questionnaire, l’élément qui la démontre : une capture de configuration, un rapport de couverture, un compte rendu de test de restauration daté, la procédure écrite. Le dossier se constitue une fois et se met à jour, parce que le parc bouge.
Le cas problématique n’est presque jamais la fraude, c’est l’imprécision. Une organisation coche « authentification à plusieurs facteurs activée » parce qu’elle l’est sur la messagerie, sans voir que l’accès distant au serveur comptable en est dépourvu. La déclaration est sincère et inexacte à la fois, et l’inexactitude sur un point matériel peut fonder une réduction d’indemnité.
Ce dossier sert aussi ailleurs : les questionnaires fournisseurs des grands donneurs d’ordre portent sur les mêmes points, dans un autre ordre. Faites par ailleurs relire les clauses par votre courtier ou votre conseiller juridique : notre travail porte sur la réalité technique déclarée, pas sur l’interprétation du contrat.
Ce que nous observons sur le terrain
L’écart le plus fréquent entre le déclaré et le réel
L’écart que nous rencontrons le plus souvent n’est pas l’absence de mesure, mais sa couverture partielle. L’authentification renforcée est activée, sur une partie du parc. La sauvegarde existe, mais pas pour l’application métier hébergée chez un tiers. La détection est déployée, sauf sur trois serveurs que personne n’administre plus.
Ces angles morts concernent les systèmes dont la responsabilité est floue, souvent partagée avec un prestataire. Personne ne les a exclus volontairement, ils sont tombés entre deux périmètres. C’est pourquoi nous commençons par l’inventaire avant de remplir un questionnaire.
Questions fréquentes
Combien de temps faut-il pour être en mesure de répondre honnêtement ?
Cela dépend de votre point de départ, et nous ne l’annonçons pas à l’avance. Certaines organisations découvrent que l’essentiel est en place et qu’il ne manque que la preuve ; d’autres doivent d’abord déployer des mesures absentes. L’inventaire initial, lui, est court : c’est lui qui dit où vous en êtes.
Une assurance cyber remplace-t-elle une politique de sécurité ?
Non, et les deux ne couvrent pas le même risque. L’assurance transfère une partie des conséquences financières d’un incident ; elle n’empêche ni l’arrêt d’activité, ni la perte de données, ni l’atteinte à la réputation. Les assureurs eux-mêmes conditionnent désormais la garantie à des mesures de sécurité.
Pouvez-vous échanger directement avec notre courtier ?
Oui, et c’est souvent le plus efficace. Le courtier connaît les attentes de l’assureur et la formulation des clauses ; nous connaissons l’état réel de vos systèmes. Le dialogue direct évite les malentendus sur ce qu’une question recouvre. Nous restons dans notre rôle technique et ne conseillons pas sur le contrat.
Que faire si nous avons déjà répondu « oui » à tort ?
Le signaler à votre courtier ou à votre assureur, sans attendre le sinistre. Une déclaration rectifiée avant tout incident se traite comme une mise à jour de dossier ; découverte pendant l’expertise, elle se traite tout autrement. Nous vous aidons à établir l’écart exact entre le déclaré et le réel.
Devons-nous acheter de nouveaux outils ?
Pas systématiquement. Nous vérifions d’abord ce que couvrent vos licences en cours : plusieurs des prérequis exigés correspondent à des fonctions présentes mais non activées. Lorsqu’une acquisition est nécessaire, vous la faites auprès de l’éditeur ou de votre revendeur, car nous ne revendons aucune licence.
Savoir ce que vous pouvez déclarer, avant de le déclarer
Un premier échange permet d’identifier les écarts entre ce que le questionnaire demande et ce qui est réellement en place chez vous. Sans engagement de votre part.
Sources
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · recommandations dont s’inspirent largement les questionnaires
- Autorité des marchés financiers (Québec) · encadrement des assureurs et des courtiers
- Commission d’accès à l’information du Québec · obligations de notification, souvent référencées dans les polices
Pour aller plus loin
Les fondations de sécurité TI
La mise en œuvre des prérequis exigés par les assureurs.
Le diagnostic
Établir où vous en êtes, avant de remplir quoi que ce soit.
SIRIS
L’accompagnement qui maintient les prérequis dans le temps.
Votre infrastructure est-elle prête pour la prochaine menace ?
Un appel de découverte, sans engagement, pour comprendre votre réalité avant de recommander quoi que ce soit.