Lorsque les troupes russes ont envahi l'Ukraine le 24 février, les experts militaires occidentaux se sont concentrés sur les effectifs et l'armement. Les responsables politiques se sont penchés sur les répercussions pour l'Europe. Et les courtiers en assurance cyber — qui s'accrochaient à des polices comportant des clauses d'« exclusion de guerre » — se demandaient comment qualifier cette intrusion.
Les médias, de ABC à la BBC, qualifiaient cet événement de « conflit », d’« invasion » ou, selon le terme privilégié par la Russie, d’« opération militaire spéciale ». Il ne s'agit pas d'une véritable guerre. Finalement, le brouillard verbal s'est dissipé. Le monde occidental a commencé à prononcer le mot « guerre », qualifiant cette agression pour ce qu'elle est. Pour les compagnies d'assurance cyber, cela semblait régler la question en leur faveur et laissait les assurés, inquiets face à d'éventuelles cyberattaques russes , livrés à eux-mêmes.
La ruée vers la souscription d'une cyberassurance s'est intensifiée ces dernières années, sous l'effet de la hausse spectaculaire des cyberattaques et des préoccupations des entreprises en matière de prévention. Selon une analyse récente du Bureau de la comptabilité publique ( ) intitulée « », la proportion de clients d'assurances optant pour une couverture contre les cyberrisques est passée de 26 % en 2016 à 47 % en 2020.
La plupart des polices d'assurance excluent la couverture des actes de guerre. Mais ces clauses dites « de guerre » peuvent s’avérer difficiles à faire respecter. Par exemple, les États adversaires revendiquent rarement, voire jamais, la responsabilité des cyberattaques menées contre des gouvernements et des entreprises étrangers. Par ailleurs, des pays tels que la Russie et la Corée du Nord abritent des réseaux de cybercriminels et des hacktivistes, dont les attaques, même si elles sont menées au nom de la patrie, ne sont pas considérées comme des actes de guerre.
Les assureurs ne prennent aucun risque. Nombre d'entre eux rédigent actuellement de nouvelles clauses, cherchant à se prémunir contre les risques en élargissant le champ des exclusions de couverture. « Chubb a rendu publique sa stratégie visant à limiter la couverture des événements de grande ampleur », et un autre acteur du marché envisage d’adopter la même stratégie, a récemment déclaré Monica Tigleanu, souscriptrice senior spécialisée dans la cyberassurance chez le géant allemand de la réassurance Munich Re,
à Endpoint.
« Le marché de l’assurance est très sensible au risque systémique », explique-t-elle, « et les exclusions constituent un autre moyen de gérer ce risque. »
Cela devrait mettre les assurés en alerte, tout comme l’avertissement lancé lundi par le président Biden : « Plus Poutine se retrouve acculé, plus les tactiques auxquelles il pourrait recourir risquent d’être violentes… » « L'un des moyens qu'il est le plus susceptible d'utiliser, à mon avis, selon nous, ce sont les cyberattaques. » Au cas où il y aurait eu le moindre doute, il a ajouté : « L’ampleur des capacités cybernétiques de la Russie est considérable, et elles ne tarderont pas à se manifester. »
Cela signifie que la pression exercée sur les dirigeants du monde des affaires, des technologies et de la cybersécurité n'a jamais été aussi forte. Ils doivent identifier et atténuer les risques numériques, sensibiliser leurs collaborateurs à l'importance d'une bonne hygiène informatique, tout en déterminant précisément ce que leurs assureurs prendront en charge et ce qu'ils ne couvriront pas lorsqu'une violation inévitable se produira.
Qu'il y ait la guerre ou non, ils doivent être prêts.
Pourquoi est-il qui traite de l'exclusion de la guerre dans votre police d'assurance cyber ?
Les clauses d'exclusion liées à la guerre ont fait leur apparition dans les contrats d'assurance en 1930s , en réaction à la guerre civile espagnole. Pour certains, cela peut sembler être une échappatoire, un simple moyen de plus pour les compagnies d'assurance d'éviter de verser des indemnités à leurs clients. Mais le véritable objectif de ces exclusions est de protéger les assureurs contre des événements si catastrophiques qu’ils risqueraient de faire faillite en essayant de régler l’ensemble des sinistres. Cela nous protège tous également. Cela ne sert à rien d'avoir une assurance si votre compagnie d'assurance se retrouve à court de fonds.
Mais les assureurs ont rédigé les clauses de guerre initiales en pleine période de guerre, alors que les dommages causés aux personnes et aux biens étaient de nature physique. La cyberguerre est plus difficile à détecter.
«Le marché de l’assurance est très sensible au risque systémique, et les exclusions constituent un autre moyen de gérer ce risque. »Monica Tigleanu, souscriptrice senior en cyber-risques, Munich Re
C'est également plus difficile à définir. En 2013, l'ancien directeur de la CIA, Michael Hayden, a qualifié une vague de cyberattaques orchestrées par l'État et provenant de Chine de « comparable à Hiroshima ». Un an plus tard, le sénateur John McCain, républicain de l’Arizona, a déclaré que le piratage de Sony Pictures Entertainment par la Corée du Nord constituait «
»une nouvelle forme de guerre. » Ce n'est pas le cas, a déclaré le président Obama, qui a qualifié la violation des systèmes de Sony, rapportée par
, de « cybervandalisme » et a précisé qu'il ne s'agissait « pas d'un acte de guerre ».
Trois ans plus tard, la cyberattaque NotPetya, qui a touché des entreprises du monde entier et causé entre 2 et 10 milliards de dollars de dommages, a également été qualifiée d'acte de vandalisme, bien que les gouvernements américain et britannique aient tous deux attribué cette attaque à l'armée russe.
NotPetya avait pris pour cible le secteur financier ukrainien. Mais ce phénomène est devenu viral et s'est propagé à l'échelle mondiale grâce aux réseaux informatiques interconnectés du monde entier. Le géant pharmaceutique Merck & Co. a déclaré avoir subi 1,4 milliards de dollars de pertes à la suite de cette attaque. Mais la quasi-trois douzaines de compagnies d'assurance concernées ont rejeté la demande d'indemnisation, invoquant la clause d'exclusion relative à la guerre.
Merck a intenté une action en justice contre ses assureurs en matière de cybersécurité — et a obtenu gain de cause
En décembre dernier, un juge du New Jersey a donné raison au géant pharmaceutique. Le juge de l’ a statué que la clause d’exclusion relative à la guerre concernait les conflits armés. Le juge a par ailleurs fait remarquer que si les assureurs avaient souhaité éviter de prendre en charge le coût de telles cyberattaques, ils auraient dû modifier la formulation afin de définir ces événements.
La police d'assurance de Merck était ce qu'on appelle une police « tous risques ». Comme l’a écrit Michael Bahar, associé spécialisé dans le contentieux chez Eversheds Sutherland et ancien conseiller juridique adjoint au Conseil national de sécurité, dans un récent rapport de l’ : « Les polices “tous risques” sont conçues pour offrir une couverture contre les dommages matériels, mais de nombreuses polices antérieures à 2018 n’excluent ni explicitement ni implicitement les risques cybernétiques et peuvent donc offrir une couverture, qualifiée de “silent cyber” par le secteur de l’assurance. »
En conséquence, M. Bahar a recommandé, à la lumière de l'affaire Merck et compte tenu de la nouvelle instabilité géopolitique ainsi que du risque accru de cyberattaques, que les entreprises examinent attentivement leurs polices d'assurance « afin de s'assurer d'une couverture suffisante ».
Aujourd'hui, les entreprises ont souvent recours à des contrats d'assurance spécifiques aux risques cyber. En effet, les entreprises disposant de telles polices n'ont pas vu leurs demandes d'indemnisation liées à NotPetya rejetées.
Mais les assureurs s'inquiètent. Les attaques par ransomware de type « » continuent de se multiplier. Les tarifs d'assurance sont en hausse (de 130 % aux États-Unis et de 92 % au Royaume-Uni au quatrième trimestre de l'année 2021, selon Marsh, un assureur de premier plan). « Si la cybercriminalité continue de se développer sans contrôle, [l'assurance] deviendra inabordable », a fait remarquer Adrian Cox, PDG de la compagnie d'assurance londonienne Beazley, dans le Financial Times le mois dernier.
Renforcez votre protection grâce à des mesures élémentaires de cybersécurité
Bien qu'aucun expert en sécurité ne puisse garantir un avenir à l'abri des cyberattaques (ou des litiges qui pourraient en découler), il existe certaines pratiques élémentaires de « cyber-hygiène » que les dirigeants d'entreprise et les responsables techniques peuvent adopter pour réduire leurs risques.
- Lisez attentivement les clauses en petits caractères. Tout d'abord, vous devriez examiner attentivement vos contrats d'assurance afin de déterminer s'ils offrent la couverture cyberadaptée à vos besoins. « Et en cas de doute », note Maître Bahar, « vous devriez chercher à apporter davantage de clarté ».
La Lloyd’s Market Association, un organisme professionnel représentant le marché du Lloyd’s de Londres, a rédigé en novembre quatre nouvelles clauses susceptibles de remplacer ou de compléter la clause standard d’exclusion des risques de guerre dans les futures polices d’assurance cyber. On ignore pour l'instant si l'un de ses 350 courtiers a adopté la nouvelle formulation.
- Adoptez de bonnes pratiques en matière de cybersécurité. Ce n'est pas simplement un conseil enthousiaste que l'on peut ignorer, comme ces encouragements de votre coach Peloton. « Les assureurs spécialisés dans la cyberassurance exigent désormais des assurés qu’ils respectent des « exigences plus strictes en matière d’hygiène informatique », telles que l’authentification multifactorielle », indique Fitch Ratings dans un article publié ce mois-ci sur Fitch Wire, intitulé « » (Les assureurs exigent davantage de mesures de sécurité des assurés), accessible à l’adresse .
- Évaluez vos risques informatiques. Un score de cyber-risque établi par l' peut alerter une entreprise sur les faiblesses de sa stratégie de cybersécurité et mettre en évidence des erreurs évitables, telles que le fait de ne pas installer les mises à jour logicielles ou de ne pas gérer correctement les configurations . L'évaluation des risques met également en valeur vos points forts. À l'instar d'une carte de visite ou d'un outil marketing, c'est un moyen de faire connaître les atouts de votre organisation en matière de cybersécurité aux assureurs, aux conseils d'administration et aux partenaires de la chaîne d'approvisionnement. Même un score de risque faible s'avère utile, car il fournit aux responsables de la sécurité les données précises et indispensables pour définir de nouvelles priorités et augmenter les budgets informatiques.
- Automatisez tout ce qui peut l'être. On ne le répétera jamais assez. Les services informatiques manquent cruellement de personnel ; les employés sont épuisés . Les outils d'automatisation réduisent le risque d'erreur humaine ; ils renforcent votre équipe de sécurité en remplaçant les opérations manuelles par des scripts et des fichiers de configuration gérés par des machines. Ils peuvent prendre en charge toute une série de tâches de base, allant de la réinitialisation des mots de passe à la gestion des correctifs , en passant par l'identification et la neutralisation des menaces. Ils peuvent améliorer la gestion des incidents de sécurité informatique ( ) et la réponse aux incidents ( ) en regroupant les informations sur les menaces provenant de plusieurs sources, et le fait que les pirates informatiques utilisent eux aussi ces outils (bonjour, NotPetya) en dit long.
Les outils d'automatisation transmettent également des informations aux assureurs, démontrant ainsi que, malgré un effectif réduit ou un budget limité, vos systèmes de sécurité procèdent rapidement et régulièrement à la configuration, à l'application de correctifs et à la réinitialisation des mots de passe.
[À lire également : Pourquoi la Journée mondiale du mot de passe reste nécessaire]
- Tentez de nouer de bonnes relations avec votre souscripteur d'assurance cyber. Les assureurs en demandent davantage à leurs clients. Concrètement, les questionnaires utilisés pour fixer les tarifs sont de plus en plus longs et détaillés. Ne le prenez pas mal. « Si vous avez l’impression d’être mis sur le gril… c’est parce que nous devons acquérir la meilleure compréhension possible [de votre activité] », a déclaré Paul Gooch, souscripteur spécialisé dans la cyberassurance chez Tokio Marine Kiln, dans le podcast « Unsolicited Response » de Dale Peterson. « Essayez de ne pas y voir une situation conflictuelle. »
Ce dernier conseil reste valable, que ce soit en temps de guerre ou en temps de paix. Même s’il est facile d’imaginer les souscripteurs comme des M. Burns qui se frottent les mains dans le but d’extorquer le plus d’argent possible à leurs clients, la réalité est moins pittoresque. Si les assureurs refusaient tous les clients et rejetaient toutes les demandes d'indemnisation, ce marché n'existerait pas.
Monica Tigleanu, souscriptrice spécialisée dans le cyber-risque chez Munich Re, partage cet avis. « Il est important que la communauté explique aux souscripteurs les raisons qui les ont poussés à prendre certaines décisions », a-t-elle déclaré. « Il nous suffit de comprendre les mécanismes de contrôle mis en place pour assurer la résilience de ces détenteurs d'actifs. »
