Ces derniers mois, les cybercriminels ont lancé une vague inquiétante d'attaques par ransomware contre des entreprises et des infrastructures américaines. Ils ont fermé des usines de transformation de viande, des gazoducs, des écoles et des établissements de santé. Dans chaque cas, ils ont verrouillé les systèmes informatiques de leurs victimes et ont exigé de l'argent pour leur rendre l'accès. Les paiements connus versés à ces cyber-extorqueurs ont augmenté de 344 %, passant de 2019 à 2020, pour atteindre un total de 416 millions de dollars en cryptomonnaie, selon un rapport intitulé « » (juillet 2021 ) publié par la plateforme de données blockchain Chainalysis. Cette année, ce chiffre a déjà atteint 210 millions de dollars.
Dans de nombreux cas de ransomware, ce ne sont pas les victimes qui signent les chèques (ou, plutôt, qui remettent les bitcoins). Leurs assureurs spécialisés dans la cyberassurance sont les suivants. En effet, selon Fitch Ratings, 70 % des primes d'assurance cyber ont finalement été versées aux pirates informatiques en 2020.
Compte tenu de cette jump augmentation des demandes de rançon et des paiements, il n’est pas surprenant que le secteur de la cyberassurance augmente désormais ses primes et repense ses garanties ainsi que son mode de fonctionnement. À la fin de l'année 2020, plus de la moitié des souscripteurs d'une cyberassurance ont vu le prix de leur couverture augmenter de 10 % à 30 %, selon l' , le Government Accountability Office (GAO). Les assureurs se montrent également plus sélectifs quant à la nature exacte des risques qu'ils acceptent de couvrir et aux clients qu'ils acceptent de prendre en charge. Dans certains cas, ils établissent de nouvelles règles, réduisent les plafonds de couverture ou augmentent les franchises.
Ils s'immiscent également de plus en plus dans les services informatiques et de sécurité de leurs clients, et examinent de près leurs infrastructures technologiques ainsi que leurs processus. Par exemple, certains assureurs refusent d'accorder une couverture si un client n'utilise pas une authentification multifactorielle de base pour accéder à son réseau. Certaines font appel à des cabinets indépendants spécialisés dans la cybersécurité pour évaluer les risques cybernétiques d'un client et déterminer son niveau de risque.
En effet, l'évaluation des risques liés à l' , disponible à l'adresse , est devenue un outil puissant pour les deux parties. Pour les assureurs, cela peut les aider à comprendre le profil de sécurité des réseaux, des serveurs et des terminaux d'un client, ce qui leur permet ensuite de fixer les conditions des contrats d'assurance ou de les refuser purement et simplement. Pour les entreprises de toutes tailles, l'évaluation des risques s'est avérée précieuse pour déterminer l'ampleur des risques et définir les priorités. Cela fournit également aux DSI et aux RSSI des données claires et précises leur permettant de justifier une augmentation des budgets dans certains domaines.
Que couvre votre assurance ?
When cyber insurance policies first appeared in the 1990s, insurers limited coverage to mistakes in digital processing. À mesure que les polices d'assurance — et la cybercriminalité — évoluaient, les assureurs ont commencé à couvrir les accès non autorisés, les intrusions dans les réseaux, les pertes de données et les dommages liés aux virus. Les assureurs ont également étendu leur couverture aux pertes d'exploitation et à l'extorsion.
Une partie de cette couverture était en réalité intégrée à des contrats d'assurance habitation ou de responsabilité civile existants, ce qui donnait souvent lieu à des formulations ambiguës dans les polices, permettant ainsi aux assureurs d'échapper à des indemnités élevées. Aujourd'hui, la plupart des assurances contre les cyberrisques couvrent clairement la sécurité des réseaux, de sorte que les entreprises sont protégées en cas de fuite de données, d'infection par un logiciel malveillant, de cyber-extorsion ou d'attaque par ransomware.
Les coûts liés, par exemple, aux frais juridiques, à l'expertise informatique, aux notifications aux clients, aux enquêtes réglementaires et, bien sûr, aux négociations et au paiement des rançons exigées par les auteurs de ransomware, sont pris en charge. Certains assureurs spécialisés dans la cybersécurité proposent même ce que l'on appelle une « couverture de tiers », qui consiste à prendre en charge les pertes et les sinistres tant de l'assuré que des clients de ce dernier touchés par un incident cybernétique.
[À lire également : Qu'est-ce que la gestion des incidents ?]
Mais l'assurance cyber suscite des avis très divergents. Les détracteurs affirment que cela incite les victimes de ransomware à céder aux exigences des criminels, alors qu'elles devraient, au contraire, investir de manière proactive dans le renforcement de leur sécurité et de leurs technologies d'entreprise. D'autres y voient une mesure de précaution nécessaire pour lutter contre des cybercriminels de plus en plus sophistiqués et destructeurs. Dans le contexte économique actuel, certains vont même jusqu'à affirmer que la cyberassurance devrait être obligatoire, à l'instar de l'assurance automobile pour les conducteurs.
Améliorer la défense
Bien sûr, la meilleure protection contre une cyberattaque réside dans des fondations solides. Cela commence souvent par les principes fondamentaux d'une bonne hygiène informatique. Une compréhension claire et du nombre, du type et de l'état opérationnel des terminaux connectés à votre réseau vous aidera à évaluer vos risques. Les solutions de gestion des logiciels , les plateformes de configuration et la gestion automatisée des correctifs constituent autant d’éléments fondamentaux pour renforcer les défenses internes d’une entreprise, tandis que la gestion de la confidentialité des données permet aux organisations de sécuriser leurs informations sensibles et de remédier aux violations de la vie privée.
«Le fait de savoir que vous avez tout réglé il y a trois mois ne signifie pas que tout va bien pour vous aujourd’hui. » Vous devez identifier les vulnérabilités et agir rapidement. »Shawn Marriott, directeur de la gestion des produits chez Tanium
Une fois ces outils informatiques mis en place, l'évaluation des risques permet d'identifier les domaines qui doivent être renforcés. C'est un enjeu crucial dans les environnements informatiques et de sécurité d'entreprise actuels, où la multiplicité des outils et la diversité des services génèrent des données incohérentes et ponctuelles, rendant ainsi la définition des priorités pratiquement impossible. Les données doivent également être actualisées. « On découvre sans cesse de nouvelles vulnérabilités et de nouveaux vecteurs d’attaque », déclare Shawn Marriott, directeur de la gestion des produits chez Tanium et professionnel chevronné de la sécurité de l’information. « Le fait de savoir qu’il y a trois mois, vous avez tout réglé ne signifie pas que tout va bien pour vous aujourd’hui. » « Vous devez identifier les vulnérabilités et agir rapidement. »
L'évaluation des risques à partir d'une plateforme unique de gestion et de sécurité des terminaux, telle que celle de Tanium, s'avère utile. Ce système fonctionne en évaluant toutes les zones susceptibles de constituer des vecteurs d'attaque. Il s'agit notamment des vulnérabilités du système, de la conformité du système, des droits d'administration, de l'identification par mot de passe, des logiciels antivirus, des pare-feu et des protocoles de chiffrement. Ces outils permettent de générer des recommandations visant à renforcer la sécurité dans les moindres recoins ou à remédier aux failles les plus flagrantes.
« Dans toute organisation, il y a toujours plus à faire que le temps ou les ressources disponibles pour le faire », déclare M. Marriott. « La notation permet de mettre en évidence les actions les plus importantes à mener. » Vous trouverez ici la liste classée par ordre de priorité : Commencez par mettre en œuvre ces mesures, car ce sont celles qui auront le plus grand impact global sur la réduction de votre score. Il s'agit simplement de comprendre ce qui est important et d'être capable de répondre à la question : « Comment nous en sortons-nous ? »
L'évaluation des risques aide également les entreprises à intégrer la cybersécurité au cœur de leurs missions. Les entreprises savent accorder la priorité à la gestion des risques, et une note faible en matière de cybersécurité constitue une forte incitation pour les dirigeants à combler les failles de sécurité et à réduire le risque de violation, ainsi que les préjudices qui en découlent pour leur réputation et leurs activités — sans parler des sanctions financières infligées par les autorités de régulation.
Risques liés aux politiques
Certains analystes estiment que les menaces émanant des auteurs de rançongiciels pousseront les assureurs à supprimer purement et simplement la couverture cyber. Dans son rapport intitulé « » (Mai ), le GAO a fait part de ses inquiétudes quant à la capacité des assureurs à proposer des assurances contre les cyberrisques, en déclarant : « Il reste incertain dans quelle mesure ces assurances continueront d’être largement accessibles et abordables. »
«Il reste incertain dans quelle mesure l’assurance cyber continuera d’être largement accessible et abordable. »Rapport du GAO intitulé « Cyber Insurance », mai 2021
Dans ce qui est présenté comme une première dans le secteur, le géant de l'assurance AXA a décidé de ne plus rembourser les attaques par rançongiciel en France, après que le procureur chargé de la lutte contre la cybercriminalité dans ce pays a averti que les entreprises ne devaient pas céder aux cyber-extorqueurs. Les assureurs eux-mêmes ne sont pas à l'abri des attaques. En mars, CNA Financial a versé 40 millions de dollars à des pirates informatiques pour reprendre le contrôle de son réseau après que des malfaiteurs se sont infiltrés dans ses systèmes et ont dérobé des données.
Malgré les risques apparents liés à cette politique, l'avenir de la cyberassurance s'annonce prometteur. Selon Mordor Intelligence, ce marché était évalué à 7,36 milliards de dollars en 2020 et devrait atteindre 27,83 milliards de dollars d'ici 2026. Certains observateurs estiment que les assureurs préféreront inclure des dispositions supplémentaires dans leurs polices plutôt que de supprimer purement et simplement la couverture contre les cyberrisques. Après tout, c'est un marché lucratif. Stewart Baker, avocat chez Steptoe & Johnson et ancien directeur juridique de la NSA, déclare : « Les assureurs augmenteront leurs tarifs et prévoieront des exclusions plus importantes avant de se retirer du marché. »
[Read also: Ransomware 101: what it is and how do I prevent an attack]
Et n'oubliez pas que les assureurs ont pour métier la gestion des risques. Comme pour toute autre entreprise, elles doivent réduire au minimum leurs versements pour rester viables. Cela signifie qu'il y aura toujours des clauses de dérogation dans une police d'assurance. Et, en fin de compte, de nombreuses polices d'assurance ne couvriront tout simplement pas l'intégralité du coût d'une violation de données.
L'assurance cyber peut s'avérer utile, mais uniquement si elle s'accompagne de bonnes pratiques internes en matière de cybersécurité. Et ce, à condition que vous utilisiez l'évaluation des risques pour identifier vos principales vulnérabilités et hiérarchiser leur correction avant qu'un cybercriminel ne vous devance et que vous ne soyez contraint de faire appel aux experts en sinistres.
