Cyber Assurance Paramètres et Souscription

Critères de souscription et exigences techniques

Les assureurs cyber évaluent systématiquement lors de la souscription les contrôles de sécurité suivants : MFA — implémentée pour tous les accès à distance (VPN, RDP, portails web), les comptes email (Microsoft 365, Google Workspace), et les comptes administrateurs (Active Directory, cloud) ; EDR (Endpoint Detection and Response) — déployé sur 100% des endpoints Windows et macOS (outils acceptés : CrowdStrike Falcon, SentinelOne, Microsoft Defender for Endpoint, Trend Micro, Palo Alto Cortex XDR) ; Sauvegardes — backup des données critiques, avec copies isolées du réseau principal (air-gapped ou immutables — Veeam Immutable Backup, Rubrik, Zerto), testées et restaurables en cas de sinistre ; Segmentation réseau — isolation des zones critiques pour limiter la propagation d'un ransomware.

Des exigences complémentaires de plus en plus courantes : gestion des vulnérabilités (patch management avec des délais de correction des CVE critiques documentés), formation et sensibilisation au phishing (simulation de phishing avec taux de clic documenté), plan de réponse aux incidents testé, et contrats avec des prestataires de réponse aux incidents préidentifiés (accordées de crise prénégociées avec un prestataire PRIS ou MSSP). La certification ISO 27001 est un atout significatif pour la souscription et peut réduire les primes.

Couvertures et exclusions clés

Garanties habituellement incluses : frais de gestion de crise (forensique, conseil, communication — souvent avec liste de prestataires agréés par l'assureur), pertes d'exploitation (plafond et franchise spécifiques), frais de notification RGPD (envoi de lettres, centre d'appels pour les victimes), cyber extorsion/ransomware (remboursement ou prise en charge du paiement de rançon — avec controverses légales croissantes). Garanties optionnelles : responsabilité civile cyber (tiers affectés par la violation de données), cyber terrorism, fraude aux ordres de virement (BEC).

Exclusions courantes à surveiller : incidents résultant de vulnérabilités connues non patchées (guerre cyber — cyberattaques attribuées à des États souverains : Lloyd's a modifié ses clauses en 2022-2023 pour exclure ou limiter les cyber opérations étatiques, avec débats autour de la cyber war exclusion), violations de données dues à une negligence grossière ou à une violation intentionnelle des conditions de la police (non-respect des mesures de sécurité promises dans le questionnaire de souscription — fausse déclaration), et amendes RGPD (selon les pays et les contrats).

Déclaration de sinistre et gestion de la relation assureur

La gestion de la relation avec l'assureur cyber est critique lors d'un sinistre. Points essentiels : délai de notification du sinistre à l'assureur (souvent 72h maximum, parfois 24h — lire attentivement le contrat), accord préalable de l'assureur pour toute dépense significative (forensique, communication de crise — les dépenses non approuvées peuvent ne pas être remboursées), et utilisation des prestataires agréés de l'assureur (liste de PRIS, avocats, consultants en communication de crise approuvés par l'assureur — souvent moins cher que d'autres prestataires mais parfois moins adaptés à l'organisation).

La coordination entre la réponse technique à l'incident et les obligations contractuelles vis-à-vis de l'assureur est un enjeu majeur. Le RSSI et le DSI doivent connaître les obligations contractuelles d'assurance et les intégrer dans les procédures de réponse aux incidents : qui appelle l'assureur, quand, avec quelles informations. Des exercices de simulation d'incident (tabletop exercises) doivent inclure la dimension assurance pour former les équipes à ces obligations.