Après avoir atteint des niveaux brutaux pendant la pandémie, lorsque tout le monde a soudainement dû travailler à distance, les taux de cyberassurance ont considérablement chuté. Vous avez lu ça : tombé, considérablement.
Qu’est-ce qui a changé et quel est le problème ?
Un rapport récent de Howden, courtier et assureur d’assurance basé au Royaume-Uni, a montré que les primes de cyber-assurance ont chuté de 15 % à l’échelle mondiale depuis leur plus haut niveau à la mi-2022, malgré un paysage des menaces de plus en plus difficile. En plus des baisses, qui varient selon la région, Howden déclare que la capacité est en hausse, et que les assureurs sont désormais plus disposés à augmenter les limites, à supprimer les restrictions de couverture liées aux ransomwares et à réduire les niveaux de rétention. En attendant, les taux américains ont chuté de 5 % au deuxième trimestre de cette année, le cinquième trimestre consécutif connaissant une baisse des taux, selon Marsh, un assureur basé à New York.
Les experts de Howden et de l’industrie affirment que la maturation de l’industrie et la concurrence croissante sont les plus responsables des baisses de prix. En fait, S&P Global aurait déclaré que la couverture des cyber-risques est désormais l’un des produits d’assurance à la croissance la plus rapide et devrait dépasser 20 milliards USD d’ici 2025, contre environ 15 milliards USD en 2023.
Ce n’était pas le cas il y a seulement quelques années, lorsque les taux étaient à la pointe. À l’époque, la cyber-assurance était toujours un produit relativement nouveau par rapport à l’assurance habitation, vie et automobile. Les assureurs n’avaient pas compris ce qu’il fallait facturer pour compenser un profit.
Les choses se sont considérablement aggravées pendant la pandémie, car des millions d’employés ont soudainement dû faire leur travail à distance, augmentant ainsi les préoccupations en matière de confidentialité des données et provoquant un pic de cybercriminalité. Certains assureurs ont répondu en limitant la couverture, en ajoutant des exclusions (en particulier pour les attaques de ransomware) et en augmentant les taux. D’autres transporteurs ont complètement quitté l’entreprise.
C’est maintenant un jeu de balle différent. Jusqu’à présent, cependant, les entreprises ne mordent pas, du moins pas entièrement. Et il y a une bonne raison (bien que pas tout à fait saine) à cela.
Un marché stabilisé de la cyberassurance
Les assureurs ont désormais largement compris leurs modèles, savent comment gagner de l’argent et sont en concurrence pour attirer de nouveaux clients, même si des incidents de sécurité importants persistent.
« Le coût de la cyber-assurance continue[e] de chuter, malgré des attaques continues, une instabilité géopolitique accrue et la prolifération de l’IA de génération. »Sarah Heild, directrice de la cyber-vente, Howden
« Les dynamiques favorables (siques) ont persisté jusqu’en 2024, le coût de la cyberassurance continuant de chuter, malgré des attaques en cours, une instabilité géopolitique accrue et la prolifération de l’IA de génération », a déclaré Sarah Heild, responsable de la cybervente chez Howden, dans une déclaration. « Les bases d’un cybermarché mature, avec l’innovation et la croissance axées sur l’exposition au risque, sont désormais en place. »
Traduction : Le secteur de la cyber-assurance a finalement compris ses modèles de souscription, de sorte que les choses se sont stabilisées. Les bénéfices de souscription sont solides et devraient rester ainsi. Et les opérateurs poursuivent les clients en mettant l’accent sur les cyber-risques croissants tout en offrant de savoureuses offres pour les assurer contre eux.
[Lire également : 5 mythes et réalités sur la cyber-assurance]
Cela ressemble à un marché d’acheteurs. Et pourtant, peu d’acheteurs en profitent. Bien que les données montrent que la plupart des décideurs en matière de technologies de sécurité d’entreprise disposent d’une certaine forme de couverture de cyberassurance, seul un sur quatre avait une police autonome en 2023, selon Forrester.
Pourquoi la cyber-assurance génère du scepticisme
Ilia Kolochenko, associée chez Platt Law LLP, un cabinet d’avocats basé à Washington et à New York, axée sur la cybersécurité, et PDG d’ImmuniWeb, une société mondiale de sécurité des applications, déclare que l’une des principales raisons est que de nombreuses entreprises ne comprennent pas le produit. Certains la considèrent comme une situation ou une situation : vous achetez une cyberassurance pour vous couvrir contre un incident, ou vous investissez dans une technologie de cybersécurité pour prévenir les incidents. Mais vous ne faites pas les deux. Kolochenko déclare que d’autres entreprises sont simplement sceptiques quant aux motivations des assureurs. Ils craignent que s’ils subissent un cyber-événement, les transporteurs citent toutes sortes de clauses cachées, de plafonds, de limites et d’exclusions pour éviter de payer, les laissant dans l’ombre.
« Pour les produits complexes comme la cyberassurance, lorsque les prix baissent, cela signifie probablement quelque chose de changé. Si quelque chose s’améliore, il est plus probable qu’il s’améliore pour l’assureur que pour l’assuré. »Ilia Kolochenko, associée, Platt Law LLP
Et il y a quelque chose à dire pour cela. Les sinistres augmentent certainement, par exemple, Marsh a annoncé que ses clients américains et canadiens avaient déposé 1 800 sinistres de cyberassurance en 2023, un record pour la société. Pourtant, Security Boulevard déclare que 99 % des entreprises déposant des réclamations cette année-là n’ont pas été entièrement remboursées, car leurs dépenses ont dépassé les limites de la police. Les limites de couverture vont de 500 000 à 5 millions USD par événement, selon Embroker, une compagnie d’assurance commerciale. IBM, quant à elle, a déclaré que le coût moyen mondial d’une violation de données en 2024 était de 4,88 millions USD, soit une augmentation de 10 % par rapport à l’année précédente.
Kolochenko raconte l’histoire d’un directeur de la sécurité de l’information (RSSI) dans une organisation qui a subi une violation, a déposé une réclamation de cyberassurance et a été agréablement surpris lorsque son transporteur a tout payé, sans poser de questions.
« Il était très heureux et a déclaré : « Nous devrions probablement commencer à réduire notre budget de cybersécurité. Nous n’avons plus besoin de ces contrôles de sécurité ; nous avons une cyber-assurance ! »
L’enthousiasme s’est ensuite atténué. Quelques mois plus tard, le client a appelé Kolochenko en panique pour dire que son entreprise avait été touchée par une autre cyberattaque et avait besoin d’aide.
« Il m’a dit : « Écoutez, Ilia, selon notre contrat, un seul incident est soumis à une couverture d’assurance par année civile. Il s’agit de notre deuxième incident. Il s’agit d’une violation de données majeure, et nous subirons probablement des millions de pertes. Mais notre assureur nous envoie respectueusement en enfer, en disant qu’il a déjà payé plusieurs milliers de dollars pour notre réclamation précédente. Que devons-nous faire ? »
Gardez les yeux ouverts
Kolochenko affirme que de telles histoires d’horreur ne devraient pas dissuader les entreprises d’envisager une cyberassurance, en particulier avec les taux plus bas d’aujourd’hui. En fait, ils devraient le faire. Cependant, il dit que les entreprises doivent évaluer les options de politique avec les yeux ouverts et prendre le temps de les comprendre, car elles peuvent être complexes.
« Vous pouvez amener votre directeur informatique dans la salle et avoir une conversation plutôt désordonnée sur ce qu’il y a sur cette application. »Peter Hedberg, vice-président de la cyber-soumission, Corvus Insurance
En plus d’avoir votre acheteur d’assurance et votre directeur financier avec votre assureur, « Vous pouvez amener votre directeur informatique dans la salle et avoir une conversation plutôt nerveuse sur ce qui se trouve sur cette application », déclare Peter Hedberg, vice-président de la cyber-soumission chez Corvus Insurance. « S’ils peuvent aller plus loin dans ce domaine, c’est le signe d’un bon agent. Parce que c’est technique maintenant. »
C’est encore plus vrai lorsque les prix baissent.
« Lorsque les prix tombent sur des marchandises simples, comme une canette de coca ou une voiture GM, c’est généralement une bonne chose pour les consommateurs », déclare Kolochenko. « Mais pour les produits complexes comme la cyberassurance, lorsque les prix baissent, cela signifie probablement quelque chose de changé. Si quelque chose s’améliore, il est plus probable qu’il s’améliore pour l’assureur que pour l’assuré. Si une offre semble trop bonne pour être vraie, elle pourrait l’être. Mais je suggère toujours d’examiner les conditions générales, de parler à votre assureur et de vous assurer que vous êtes sur la même longueur d’onde, tout en préservant toutes les communications écrites avec lui concernant votre compréhension mutuelle des clauses contractuelles et de leur signification. »
La rigueur ne signifie pas qu’un membre de la société examine les documents ou appelle un courtier en assurances. Il suggère plutôt d’avoir un groupe pluridisciplinaire de personnes impliquées, tout comme les compagnies d’assurance.
« L’assurance cyber est un mélange de science, d’art et de droit », déclare Kolochenko. « Vous devez vraiment avoir des techniciens, des professionnels du risque et des avocats ayant une expérience en cybersécurité impliqués dans l’évaluation des politiques. »
