L'assurance cyber a souvent mauvaise réputation.
Découragées par la flambée des primes , l’élargissement des exclusions et le contrôle accru des pratiques de cybersécurité des demandeurs , de nombreuses entreprises choisissent de tenter leur chance et de se passer, ou presque, de toute protection financière contre les cyberattaques.
En effet, selon , 55 % des entreprises nord-américaines interrogées récemment par BlackBerry et Corvus Insurance ont déclaré disposer d’une cyberassurance, et moins de 20 % bénéficient d’une couverture d’une valeur supérieure à 600 000 dollars, ce qui correspondait au montant médian exigé l’année dernière par les auteurs d’attaques par ransomware .
Pour être honnête, l'assurance cyber ne convient pas à tout le monde. Certaines entreprises géantes n'en ont pas besoin, car elles disposent du budget et du personnel nécessaires pour prendre en charge leurs propres risques. Mais d'autres entreprises renoncent probablement à cette couverture parce qu'elles n'en saisissent pas pleinement l'intérêt.
« L'assurance cyber est sans doute le produit le moins bien compris sur le marché de l'assurance aujourd'hui, et c'est aussi celui qui pose le plus de difficultés », déclare Scott Godes, associé chez Barnes & Thornburg LLP, un cabinet d'avocats d'envergure nationale qui représente des entreprises dans des affaires d'indemnisation en matière d'assurance.
Vous trouverez ci-dessous cinq idées reçues courantes concernant l'assurance cyber, ainsi que le point de vue des experts du secteur interrogés par « » Focal Point .
Idée reçue : l'assurance coûte cher, il vaut donc mieux s'en passer
Réalité : Oui, avec l'explosion des attaques par ransomware ces dernières années, les primes d'assurance cyber ont grimpé en flèche. Selon le Conseil des agents et courtiers d'assurance (CIAB), les primes d' nt affiché une hausse moyenne de 28 % au premier trimestre de l'année 2022 par rapport au trimestre précédent.
«L’assurance cyber est sans doute le produit le moins bien compris du marché de l’assurance aujourd’hui, et c’est aussi le plus complexe. »Scott Godes, associé chez Barnes & Thornburg LLP
Et, en effet, faire cavalier seul peut constituer une approche viable pour les grandes entreprises qui disposent d’équipes de sécurité importantes et ont confiance en leur capacité à évaluer et à atténuer les risques, explique Josephine Wolff, maître de conférences en politique de cybersécurité à la Fletcher School de l’université Tufts.
Renoncer à souscrire une assurance peut également s'avérer judicieux sur le plan financier pour certaines petites entreprises, ajoute John Pescatore, directeur chargé des tendances émergentes en matière de sécurité au SANS Institute, un organisme spécialisé dans la formation, la certification et la recherche en cybersécurité. « Le coût des incidents varie généralement en fonction du nombre de clients touchés, que ce soit par une fuite de données ou par une interruption de service », explique-t-il.
Pour une petite entreprise comptant moins de 10 000 clients, le coût d'une police d'assurance peut être inférieur à 5 000 dollars par an pour une couverture d'un million de dollars et une franchise de 10 000 dollars, précise M. Pescatore. Cela devrait permettre de couvrir les coûts directs liés à un incident. Mais dépenser ces 10 000 dollars ne signifie pas que vous pouvez vous passer d'investir dans la cybersécurité, car vous vous exposeriez alors à des attaques bien plus coûteuses et plus fréquentes.
[À lire également : Les ransomwares mettent à mal le secteur de la cyberassurance]
Jason Rebholz, responsable de la sécurité des systèmes d'information (RSSI) chez Corvus Insurance, reconnaît que l'assurance cyber ne convient pas à tout le monde. Il soutient toutefois qu’il est intéressant d’investir dans l’assurance, car la plupart des entreprises ne disposent pas des capacités techniques ou financières nécessaires pour faire face aux violations de données, dont le coût pour les organisations est estimé par Forrester à 2,4 millions de dollars en moyenne . Bien que les coûts varient considérablement en fonction du niveau de couverture requis, la prime type d'assurance cyber aux États-Unis s'élevait à 1 589 dollars par an en 2021 , selon AdvisorSmith Solutions, un cabinet d'études spécialisé dans les petites entreprises.
« En tant que RSSI, j’aimerais disposer d’un budget illimité pour gérer les incidents de sécurité », déclare M. Rebholz. « Mais je ne me fais pas non plus d’illusions : je n’aurai jamais assez de ressources pour faire face à tout ce qui pourrait m’arriver. » « C’est là que l’assurance cyber peut vous aider. »
Mythe : mon entreprise est trop petite pour être la cible d'une attaque
Réalité : Une cyberattaque menace les petites entreprises, si ce n'est déjà fait. Selon AdvisorSmith Solutions, près de 42 % des petites entreprises ont été victimes d'une forme ou d'une autre de cyberattaque en 2021. Il faut reconnaître que 24 % d'entre elles semblaient être des attaques de hameçonnage de bas niveau de type « ». Mais 19 % d'entre elles constituaient des fuites de données à grande échelle, et 11 % étaient des attaques par ransomware susceptibles de mettre fin à l'activité de l'entreprise.
La réalité est que les petites et moyennes entreprises (PME) ne sont pas à l'abri des cyberattaques, et en être victime peut avoir des conséquences désastreuses. Selon Hiscox, un assureur spécialisé dans les entreprises, les cyberattaques coûtent en moyenne jusqu'à 25 612 dollars à une petite entreprise. Pourtant, selon l'étude « », 66 % des décideurs de petites entreprises estiment qu'ils sont trop insignifiants ou trop discrets pour que les cybercriminels s'intéressent à eux.
M. Rebholz affirme que ces attaques ne sont pas aussi ciblées ni aussi personnelles que pourraient le croire de nombreux dirigeants de petites entreprises. « Les pirates ne se soucient pas forcément de savoir qui vous êtes », dit-il. « De nombreux incidents liés aux ransomwares, par exemple, constituent des attaques opportunistes de type « » , dans lesquelles les attaquants tentent d’accéder aux systèmes de n’importe qui. » « S’ils repèrent un groupe de cinq entreprises ou plus, ils lanceront des attaques contre chacune d’entre elles, dans l’espoir que l’une d’entre elles cède. »
Mythe : il est risqué de divulguer trop d'informations aux assureurs concernant vos pratiques en matière de cybersécurité
Réalité : Tout comme pour leurs demandes d'assurance automobile, santé et vie, de nombreux consommateurs en sont venus à croire que le fait de divulguer trop d'informations à un assureur entraînerait une augmentation des primes ou un refus de couverture. Les professionnels de la sécurité, quant à eux, sont déjà peu enclins à prendre des risques et n’aiment pas divulguer trop de leurs secrets professionnels à qui que ce soit, et encore moins à des assureurs auxquels ils ne font pas entièrement confiance.
Cette réticence à en dire trop conduit souvent les dirigeants d'entreprise à renoncer à souscrire une assurance, à limiter au strict minimum les informations qu'ils fournissent dans les formulaires de souscription, souvent très longs, ou à donner des réponses approximatives.
Mais ces approches ne profitent à personne, affirme M. Rebholz. Il explique que les assureurs souhaitent disposer d’un maximum d’informations en continu, afin de prévenir de manière proactive les cyberattaques qui pourraient s’avérer coûteuses tant pour l’assureur que pour l’assuré. Par ailleurs, fait-il remarquer, les assureurs spécialisés dans la cybersécurité pourraient proposer de meilleurs tarifs aux assurés qui démontrent qu’ils respectent les bonnes pratiques en matière de cybersécurité, à l’instar des assureurs automobiles qui accordent des réductions aux conducteurs prudents.
Gary Davis, responsable de la cybersécurité chez BlackBerry, un éditeur de logiciels de cybersécurité, affirme que les assurés commencent à adopter une approche plus proactive et se montrent plus ouverts quant à leurs stratégies en matière de cybersécurité. « Nos recherches ont montré que 64 % des entreprises seraient disposées à partager des informations sur leur niveau de sécurité avec leur assureur en échange d’une réduction des coûts de leur assurance cyber », explique-t-il. « Le risque lié au fait de croire à ce mythe est que le résultat inverse puisse se produire : vos primes pourraient augmenter en raison de la faiblesse ou de la vulnérabilité de vos défenses informatiques. »
Mythe : les assureurs chercheront des moyens de se soustraire au paiement d'une indemnité
Réalité : Il est toujours possible qu'un assureur refuse de prendre en charge un sinistre si une organisation est victime d'une cyberattaque. Cela arrive tout le temps.
«La plupart des demandes d'indemnisation font l'objet d'un versement. » Les gens se laissent souvent induire en erreur par leurs idées préconçues sur ce que couvrent les polices d'assurance. »Jason Rebholz, responsable de la sécurité des systèmes d'information (RSSI), Corvus Insurance
Mais, en général, les refus sont dus au fait que les polices ne couvrent pas ce type de situation. C'est l'une des idées fausses les plus répandues concernant l'assurance. Ils souscrivent par exemple une assurance habitation et sont stupéfaits d'apprendre qu'elle ne couvre pas les dommages causés par un tremblement de terre ou une inondation. De même, lorsque certaines entreprises sont victimes d'une attaque par ransomware, elles achètent du nouveau matériel dans le cadre du processus de reprise et sont stupéfaites d'apprendre que leur assurance ne couvre pas ce type de mises à niveau.
Selon M. Rebholz, les entreprises ne devraient pas renoncer à souscrire une assurance cyber sous prétexte que les indemnités versées pourraient s'avérer insuffisantes. Au contraire, ils devraient se protéger en gardant les yeux grands ouverts. « Il est essentiel de savoir ce que contient une police d'assurance », dit-il. Si cette disposition ne couvre pas certains cas de figure, tels que les frais juridiques liés à une filiale également concernée, les dirigeants devraient étudier d'autres options.
[À lire également : Les répercussions de la guerre en Ukraine sur l'assurance cybersécurité]
Les assureurs peuvent également refuser, voire résilier la couverture si les assurés ne respectent pas ce qu’ils ont déclaré dans leurs demandes de souscription concernant leur niveau de sécurité. En d'autres termes, s'ils affirmaient disposer d'une authentification multifactorielle sans pour autant l'utiliser ou l'entretenir, cela pourrait poser problème.
« Si l’on considère l’ensemble des cas, la majorité des sinistres font l’objet d’un règlement », explique M. Rebholz. « Les gens se laissent souvent induire en erreur par leurs idées préconçues sur ce que couvrent les contrats d’assurance. »
Mythe : une assurance cyber de base suffit
La réalité : La plupart du temps, dans la vie, on en a pour son argent. Si vous ne souscrivez qu'une assurance responsabilité civile pour votre vieille voiture et qu'elle est détruite, vous ne pourrez pas la remplacer. De même, si vous souscrivez à l'assurance cyber la moins chère et qu'un incident grave survient, les conséquences pourraient être dévastatrices.
«Lorsque vous souscrivez une assurance pour quelque chose, cela peut vous inciter à relâcher vos efforts tant dans la pratique que dans le respect des règles. » Vous avez l’impression d’être couvert en cas de catastrophe. »Sean O’Brien, chercheur invité au sein du projet « Information Society » de la faculté de droit de Yale
« Nos recherches montrent que 44 % des entreprises ne disposent pas d’une couverture suffisante pour payer le montant médian des rançons exigées, et que 43 % ne sont pas couvertes en cas de frais annexes, tels que les frais de justice et les pertes de productivité des employés », explique M. Davis, de BlackBerry. « Le risque lié au fait de croire à ce mythe est que vous puissiez être victime d’une attaque dont le coût potentiel de la remise en état dépasserait ce que votre entreprise peut raisonnablement se permettre. »
Les entreprises devraient choisir de souscrire une assurance cyber en se fondant sur la réalité plutôt que sur des idées reçues, ont convenu les experts interrogés dans le cadre de cet article. Dans le même temps, les professionnels de la sécurité ne doivent pas baisser la garde, affirme Sean O’Brien, chercheur invité au sein du « Information Society Project » de la faculté de droit de Yale. « Lorsque vous souscrivez une assurance pour quelque chose, cela peut vous inciter à relâcher vos efforts tant dans la pratique que dans la mise en œuvre de vos mesures », explique-t-il. « Vous avez l’impression d’être protégé en cas de catastrophe, ce qui peut vous amener à ne pas être aussi vigilant que vous le devriez. »
En fin de compte, affirme M. O’Brien, veillez à ce que votre couverture d’assurance ne vous empêche pas de mettre pleinement en œuvre une stratégie de sécurité solide. Au final, cela porte toujours ses fruits.
