Il est dans votre intérêt de renforcer vos liens avec votre courtier en assurance cyber.
Cela apparaît de plus en plus clairement, tant pour les grandes entreprises que pour les petites, à un moment où les relations avec les compagnies d'assurance cyber semblent plus tendues que jamais et où les assurés se retrouvent confrontés à des litiges coûteux. Constatez la vague de procès acharnés qui a fait la une des journaux au cours des derniers mois seulement :
- L'Université de Californie a intenté une action en justice le mois dernier contre Lloyd's of London, reprochant à cette société d'assurance d'avoir refusé de négocier ou de prendre en charge les demandes d'indemnisation liées à une cyberattaque survenue il y a près de 10 ans, au cours de laquelle les dossiers de plus de 4,5 millions de patients ont été exposés.
- En avril, Raleigh Radiology a intenté une action en justice contre Arthur J. Gallagher , affirmant que l'assureur ne l'avait pas informée de l'expiration de sa police d'assurance cyberpeu de temps avant qu'une attaque par ransomware ne paralyse son réseau, entraînant plus d'un million de dollars de dommages-intérêts.
- A New Jersey appellate court recently ruled that insurers must pay $1,4 billion to pharma giant Merck & Co. for damages incurred in the 2017 NotPetya virus attack. L'attaque ayant été attribuée à des opérations des services de renseignement militaires russes, les assureurs avaient fait valoir que la couverture ne s'appliquait pas, car elle relevait d'une exclusion relative aux actes de guerre prévue par la loi « ». Une cour d'appel a rejeté cette thèse, se ralliant ainsi à la décision rendue en première instance en 2021.
- En octobre dernier, Mondelez International et Zurich American Insurance ont conclu un accord concernant une affaire similaire liée à NotPetya, dans laquelle Mondelez, la multinationale agroalimentaire propriétaire des biscuits Oreo, des crackers Ritz et du fromage à tartiner Philadelphia, a déclaré avoir subi plus de 100 millions de dollars de préjudices. Les modalités de l'accord n'ont pas été divulguées.
Oui, certains désaccords de ce type sont inévitables, quelles que soient les mesures prises par les assureurs et les assurés, en raison de la nature encore en pleine évolution des produits d'assurance cyber et d'un environnement de menaces en constante mutation. Cependant, établir une relation solide et favoriser une communication claire avec votre assureur peut contribuer à prévenir d'éventuels conflits et litiges. Voici cinq étapes clés pour atteindre cet objectif :
1. Désigner un responsable des risques
Toutes les entreprises ne sont pas assez grandes pour le faire. Mais Lewis Guignard, directeur des solutions de données chez Guidewire, une entreprise qui commercialise des logiciels de gestion des contrats et des sinistres destinés au secteur de l'assurance, recommande de désigner une personne chargée de superviser l'ensemble de la gestion des risques, y compris les risques liés aux biens, à l'indemnisation des accidents du travail, à la cybersécurité et à tous les autres domaines.
«Il est essentiel de faire appel à un courtier capable d’aborder avec vous les questions de cybersécurité de manière appropriée. »Pete Hedberg, vice-président chargé de la souscription chez Corvus Insurance
Cette personne serait chargée de traiter avec les assureurs et serait également responsable de la constitution des équipes adéquates pour les questions de planification et de gestion des incidents.
2. Trouvez le bon courtier en assurance cyber
Ne partez pas du principe que tous les agents d'assurance cyber sont identiques. Pete Hedberg, vice-président chargé de la souscription chez Corvus Insurance, une compagnie qui commercialise des assurances cyber, explique que les courtiers sont des « généralistes » qui gèrent plusieurs types d'assurances, dont l'assurance cyber n'est qu'un parmi d'autres. En d'autres termes, il se peut qu'ils disposent ou non de l'expertise en matière de sécurité dont vous avez réellement besoin.
« Il est essentiel, pour ce type de produit, de faire appel à un courtier capable d’aborder avec vous les questions de cybersécurité de manière appropriée », explique-t-il.
3. Comprenez bien votre contrat d'assurance
L'assurance cyber est sans doute le produit le moins bien compris du marché de l'assurance aujourd'hui, en raison de la nature opaque de la cybersécurité elle-même, que de nombreux dirigeants d'entreprises ont du mal à appréhender, ainsi que d'une multitude de mythes et d'idées fausses concernant l'assurance cyber, qui poussent souvent les dirigeants à y renoncer complètement.
En revanche, souscrire une cyberassurance ne signifie pas pour autant que vous êtes tiré d'affaire. Il n'y a pas deux polices identiques. Tout comme les contrats d'assurance habitation qui ne couvrent pas les incendies, les inondations ou les tremblements de terre, l'assurance cyber ne protège pas contre tous les scénarios imaginables. Vous devez bien comprendre ce qui est inclus, ce qui est exclu et où se situent les zones d'ombre, car celles-ci peuvent entraîner de gros problèmes à l'avenir.
4. Disposez d'un plan d'intervention en cas de cyberincident
M. Hedberg recommande également de disposer d'un guide détaillé, disponible sur , intitulé « », qui explique étape par étape la marche à suivre en cas de cyberattaque. C'est d'autant plus important qu'un rapport récent de Corvus, intitulé « » ( ), montre que les attaques par ransomware font un retour en force après une légère accalmie en 2022.
D'après ce rapport, les attaques par ransomware au cours des premiers mois de 2023 ont globalement augmenté de 60 % par rapport à la même période de l'année précédente. Mais le plus inquiétant, c'est qu'on a constaté une hausse de 800 % des attaques visant les opérateurs de télécommunications, une augmentation de 700 % dans le secteur de la santé et une hausse de 220 % concernant les administrations publiques.
Au vu de ces statistiques, il est essentiel pour toute entreprise de disposer d’un plan spécifique de gestion des incidents liés à l’ , disponible à l’adresse . Ce guide devrait prévoir de faire appel à votre assureur cyber dès les toutes premières étapes. Le plan d'intervention en cas de cyberincident doit également préciser les autres acteurs clés à contacter, les informations à partager, et définir la manière dont vous collaborerez avec les parties concernées au fil du temps.
Il est essentiel qu'il soit mis à jour en permanence. « Élaborer le meilleur plan qui soit pour ensuite le laisser prendre la poussière sur une étagère serait une grave erreur », ajoute M. Hedberg.
5. Restez régulièrement en contact
Le meilleur moyen de garantir une relation solide et d'éviter les malentendus consiste à entretenir un dialogue régulier et franc avec votre courtier en cyberassurance. N'hésitez pas à aborder tout sujet concernant la couverture et à poser des questions. Collaborez avec eux pour adapter votre police si nécessaire, et assurez-vous qu'ils s'engagent à vous signaler tout changement imminent ainsi que les dates d'expiration.
« Le dialogue avec votre courtier vous permettra de mieux comprendre votre contrat d’assurance cyber », explique M. Hedberg. « L’engagement est le moteur de l’épanouissement. »
POUR EN SAVOIR PLUS
Découvrez le premier volet de cette série en deux parties, qui présente en détail certains avantages inattendus d'un partenariat avec votre assureur cyber, ainsi que ces autres ressources sur l'assurance cyber :
