Au cours des dernières années, il est devenu de plus en plus difficile de souscrire et de renouveler des contrats d'assurance cyber. Le marché de la cyberassurance est plus instable que jamais, en raison d’une augmentation tant du nombre total de sinistres déclarés que des types de cybermenaces auxquelles sont confrontés les assurés. Face à l'augmentation des risques, les assureurs spécialisés dans la cyberassurance ont durci leurs procédures de souscription, ce qui a contraint les assurés à consacrer davantage de temps et de ressources au processus d'approbation, tout en restant dans l'incertitude quant à l'issue de celui-ci.
Il est possible que le processus de souscription des polices d'assurance soit rationalisé dans les années à venir, à mesure que le secteur de la cyberassurance continue de mûrir et que le rythme des changements ralentit. Mais en attendant, il est essentiel que les organisations comprennent parfaitement le processus de souscription d'une assurance cyber et cherchent des moyens de réduire au minimum la charge administrative pesant sur leurs équipes.
Une histoire brève mais passionnante de la souscription d'assurances cyber
L'assurance cyber est un segment relativement récent du marché de l'assurance. Alors que l'assurance vie et l'assurance dommages existent toutes deux depuis plus de 250 ans – et que même l'assurance automobile existe depuis plus de 125 ans –, la première « police d'assurance responsabilité civile liée à la sécurité sur Internet » reconnue a été souscrite par AIG en 1997. En effet, le caractère récent de ce secteur explique en partie pourquoi la souscription d'une assurance cyber peut s'avérer si complexe. Dans un secteur où l'analyse des données historiques et la prévision des tendances futures jouent un rôle prépondérant, cette absence d'antécédents constitue un obstacle à la modélisation des risques attendus à l'avenir.
Au début, les prévisions de pertes reposaient presque exclusivement sur l'intuition et la méthode des essais et des erreurs. Très rapidement, cela a évolué vers une approche macroéconomique, dans laquelle les prévisions en matière d'indemnités reposaient sur les pertes globales du marché, appliquées à l'ensemble des assurés. Mais à mesure que les incidents cybernétiques se multipliaient et que les auteurs de menaces gagnaient en sophistication, trois phénomènes ont commencé à se produire :
- Les sinistres ont dépassé les prévisions, ce qui a entraîné une hausse des taux de sinistralité et une baisse de la rentabilité
- Les assureurs ont constaté que le risque de sinistre était concentré sur un sous-ensemble d'assurés, plutôt que réparti de manière homogène entre eux
- Les assureurs ont commencé à s'inquiéter du risque systémique ou de corrélation, selon lequel un sinistre survenant au titre d'une police augmentait la probabilité de sinistres au titre d'autres polices
Face à ces nouveaux défis, les assureurs ont dû intégrer une composante « micro » dans leur évaluation des risques. Les assureurs devaient analyser de manière approfondie le profil de risque de chaque demandeur de contrat individuellement – et ne pouvaient plus se contenter d'une compréhension globale du risque de marché.
Où en sommes-nous aujourd'hui : l'état actuel de la souscription
C'est ainsi qu'a débuté la mise en place du processus de souscription tel que nous le connaissons aujourd'hui. Les demandes sont devenues plus longues et plus complexes, ce qui a nécessité des questionnaires et des annexes supplémentaires. Puis vinrent des discussions approfondies, des entretiens et des visites sur place. En plus de ces changements, les opérateurs ont commencé à recourir à des analyses « de l'extérieur vers l'intérieur » de l'environnement d'un candidat, souvent fournies par un prestataire tiers. Les organisations ont rapidement été tenues de remplir certaines conditions minimales – telles que le déploiement d’une authentification multifactorielle (MFA) et ainsi que de capacités de détection et de réponse au niveau des terminaux (EDR) – avant qu’un assureur n’approuve une police d’assurance.
Si ces améliorations apportées à la souscription ont permis d'introduire un certain degré d'évaluation individualisée des risques, plusieurs lacunes manifestes subsistent. Bien que les parcs informatiques soient en constante évolution tout au long de la période couverte par la police, l'examen de souscription a lieu à un moment précis. Et même avec les meilleures intentions du monde, les personnes qui répondent aux questions et remplissent les formulaires ne disposent pas toujours d'informations complètes pour répondre avec précision. À cela s'ajoute le fait que les questions sont formulées de manière à faciliter le regroupement et l'analyse des réponses, mais que cette formulation peut empêcher ou masquer les réponses nuancées. Et même si une réponse peut être exacte pour l'essentiel d'un patrimoine, c'est généralement le maillon faible qui permet à une faille de se produire.
Parallèlement, alors que les assureurs collectaient davantage de données et affinaient leur analyse des risques cybernétiques, ils ont adapté les clauses de leurs contrats. Cela comprenait notamment la hausse prévisible des primes d'assurance, destinée à refléter l'augmentation des taux de sinistralité et la volatilité des sinistres. Par ailleurs, les exclusions prévues dans les polices d'assurance ont fait l'objet d'un examen plus approfondi, notamment en ce qui concerne les clauses relatives aux « actes de guerre ».
Mais dans certains cas, le niveau global d'acceptation des risques a baissé, ce qui a entraîné une réduction des plafonds de couverture individuels – et, dans certains cas, des refus de renouvellement. Cette dernière évolution a conduit à la recherche de sources alternatives d'absorption des risques, telles que des marchés de réassurance plus développés, ou par le biais des marchés de capitaux grâce aux titres liés à l'assurance (ILS), parfois appelés « obligations catastrophes ».
Aujourd'hui, la souscription est un processus long, manuel et chronophage, qui consiste à collecter des données et à effectuer des vérifications préalables. Mais nous nous trouvons également dans une situation où, en raison de la récente volatilité des tarifs, des conditions et des limites des contrats d'assurance, les relations entre les assureurs et les assurés peuvent parfois être tendues. Au cours du processus de souscription, chacun peut considérer l'autre avec une certaine méfiance.
Notre objectif : l'évolution souhaitée
À notre avis, le premier changement (et le plus important) qui doit s'opérer à grande échelle sur le marché et dans le processus de souscription est l'adoption d'une vision commune du partenariat entre les assureurs et leurs clients. Chaque partie doit reconnaître que la réduction des risques est dans leur intérêt mutuel – et qu’une analyse rigoureuse des risques, débouchant sur une tarification et des conditions équitables, constitue le résultat souhaité. Il est dans l'intérêt de tous les acteurs du marché que ce type de transfert de risque soit accessible à ceux qui choisissent d'y recourir. Cela implique à la fois des rendements acceptables pour ceux qui assument le risque (les assureurs) et des conditions acceptables pour ceux qui transfèrent leur risque (les assurés).
Si cet esprit de partenariat peut être développé, nous considérons que la prochaine étape importante pour améliorer le processus de souscription consistera à partager les indicateurs recueillis par voie électronique depuis l'intérieur du pare-feu concernant la posture cybernétique de l'entité assurée. Contrairement aux questionnaires remplis à la main, les données collectées par voie électronique permettent d'obtenir un aperçu plus précis de l'environnement et peuvent réduire considérablement le temps et les efforts nécessaires pour en dresser un tableau clair. Les indicateurs ciblés doivent être adaptés à l'analyse des risques de l'assureur et fournis à un niveau d'abstraction approprié (c'est-à-dire sous forme de proportions d'un environnement présentant une certaine caractéristique, plutôt que sous forme de données relatives à des appareils ou à des hôtes individuels).
Dans l'idéal, après avoir reçu les indicateurs fournis par le demandeur, l'assureur devrait répondre en précisant les principales conclusions et en formulant des recommandations de mesures correctives classées par ordre de priorité. Une fois les corrections apportées, le demandeur pourra soumettre à nouveau les indicateurs en vue de la détermination définitive des conditions de la police. Grâce à un processus rationalisé qui élimine bon nombre d’étapes fastidieuses et chronophages, nous pouvons envisager un avenir où le suivi des données et les mesures correctives seront mis en œuvre plus régulièrement qu’une fois par an, ce qui permettra de réduire encore davantage les risques, les sinistres et les tarifs.
Les défis que nous devons relever ensemble
Les difficultés rencontrées par les assureurs au tout début du développement du marché ont entraîné des conséquences regrettables. La rentabilité s'en est trouvée affectée, les taux de sinistralité ayant grimpé en flèche en raison de la multiplication des attaques – notamment, mais pas exclusivement, celles liées aux ransomwares. En réaction, les transporteurs ont réduit les risques et augmenté leurs tarifs. La volatilité qui en a résulté au niveau du coût et de la disponibilité de l'assurance cyber a suscité une méfiance chez les acheteurs sur le marché.
Dans le contexte actuel, une stratégie visant à améliorer la collecte de données auprès des assurés pourrait s'avérer difficile à mettre en œuvre. De plus, à mesure que le marché se stabilise et que les limites de risque sont quelque peu assouplies, la concurrence entre les assureurs s'intensifie. Cela signifie qu'un assureur qui tenterait d'améliorer sa méthode de collecte de données risquerait de perdre des clients au profit d'autres assureurs qui n'imposent pas de telles exigences.
Il s'agit là d'un cas classique du « poulet et de l'œuf », aggravé par le scepticisme qui règne sur un marché favorable aux acheteurs. Face à cette situation, les assureurs doivent mettre en avant un message de partenariat avec leurs clients. Le thème d'un meilleur partage des données doit s'articuler autour d'un message axé sur la réduction globale des risques, le partage de l'expertise (tant en matière de prévention que d'intervention en cas d'incident) et l'efficacité globale du processus de souscription. Cela tient en partie à l'idée selon laquelle le partage de données électroniques n'a pas pour objectif de collecter des informations nouvelles ou différentes de celles qui sont actuellement recueillies dans le cadre des procédures sur support papier. Il s'agit plutôt d'un moyen plus efficace, plus précis et plus rapide de collecter des données.
Il va sans dire que l'objectif général est de permettre une meilleure compréhension du risque de sinistre et d'adapter les conditions des polices en conséquence. Mais il faut convaincre les candidats que ce processus débouchera sur de meilleurs résultats – et non sur des sanctions en cas de lacunes mises en évidence. S'ils peuvent être convaincus que les assureurs souhaitent collaborer avec eux pour remédier à la situation et réduire les risques, cela suscitera peut-être chez eux une volonté de participer. Dans ce segment de marché fortement réglementé, il convient également de prendre en compte le rôle que peuvent jouer les autorités de régulation, les associations professionnelles et, éventuellement, les courtiers. Cette harmonisation permettrait d'aboutir à un résultat commun favorisant l'amélioration du marché pour tous les acteurs concernés.
Pour en savoir plus sur la cyberassurance et les stratégies permettant de vous assurer que votre contrat d'assurance vous indemnise en temps voulu, consultez cet eBook : Tanium pour la cyberassurance.
