De nombreux dirigeants ont l'impression que les assureurs se retirent du marché de la cyberassurance, compte tenu de la flambée des indemnités versées suite à la multiplication des attaques par ransomware.
Eh bien, ce n'est pas tout à fait vrai.
Bien que certaines informations anecdotiques laissent entendre que certains assureurs de petite taille limitent ou suppriment leur couverture contre les cyberrisques, la plupart des assureurs, courtiers et réassureurs interrogés par Endpoint restent très présents sur ce marché. En effet, Fitch Ratings, qui attribue des notations de crédit aux assureurs, indique que le marché américain de l' , qui représente 4,8 milliards de dollars, a connu une croissance de 74 % en 2021. GlobalData prévoit que le montant des primes brutes souscrites dépassera les 20 milliards de dollars , soit une hausse de 2025.
« L'assurance cyber est devenue le segment du marché américain de l'assurance dommages qui connaît la croissance la plus rapide, les menaces en constante évolution ayant stimulé la demande de couverture », explique Gerry Glombicki, directeur principal chez
Fitch Ratings.
Bien qu'il semble s'agir d'un marché en bonne santé, le secteur de la cyberassurance se trouve toutefois à un tournant. Les assureurs continuent de réaliser des bénéfices, mais ils procèdent également à une refonte en profondeur de leurs modèles de souscription afin de s'adapter à l'évolution du profil de risque .
En résumé, pour les trésoriers et autres dirigeants à la recherche de solutions : l'assurance cyber est toujours largement accessible, mais les organisations devront payer plus cher et se plier à des formalités supplémentaires pour bénéficier d'une protection nettement moindre.
Que couvre l'assurance cyber ?
Les dirigeants qui découvrent ce domaine doivent savoir que l'assurance cyber fonctionne en grande partie comme n'importe quel autre type d'assurance. Les entreprises souscrivent une assurance auprès de courtiers ou d'assureurs. Les souscripteurs évaluent le niveau de sécurité d'un demandeur afin de s'assurer que chacun d'entre eux prend les précautions élémentaires contre les cyberattaques susceptibles d'entraîner des temps d'arrêt importants et une perte de revenus.
«Nous estimons que la plupart de nos clients seront confrontés à une forme ou une autre de cyberattaque tous les cinq à sept ans. »David Anderson, responsable de la cybersécurité aux États-Unis chez McGill and Partners
Les assureurs se réfèrent à des modèles en constante évolution pour déterminer le montant de la couverture qu'ils sont prêts à proposer et à quel tarif. Si tout semble en ordre, la police est émise, et l'assureur transfère généralement une partie du risque lié à cette police à une société de réassurance . Le marché de la réassurance permet aux assureurs de souscrire encore davantage de contrats et de poursuivre le développement de leurs activités.
Par le passé, la souscription était un processus rapide et simple, selon David Anderson, responsable des risques cyber pour les États-Unis chez le courtier en réassurance McGill and Partners. Il se peut que l'on demande aux candidats s'ils disposent d'un logiciel antivirus (AV) et d'un système de sauvegarde.
« S’ils le faisaient, l’assureur répondrait : “Parfait, voici un devis, bonne journée” », explique M. Anderson. « Maintenant, c’est : “Montrez-moi.” » « Le processus de souscription est devenu bien plus intense, long et approfondi. »
Les attaques par ransomware changent la donne
Le fléau des ransomwares a bouleversé la donne tant pour les assureurs que pour les organisations qu'ils protègent. Examinons quelques statistiques :
- Le nombre d'attaques par ransomware signalées a bondi de près de 51 % l'année dernière, contre 2020.
- Les pertes ajustées se sont élevées à , soit plus de 49 millions de dollars, ce qui représente une hausse de près de 69 % par rapport aux 29,2 millions de dollars enregistrés en 2020.
- Le montant moyen des rançons versées s'est élevé à 812 000 $ en 2021, contre 170 000 $ en 2020.
- Les ransomwares ont été à l'origine de 75 % de l'ensemble des sinistres couverts par les cyberassurances au cours du premier semestre de 2021.
Les assureurs s'inquiètent de ces évolutions, ainsi que de la sophistication croissante et de l'audace même des cyberattaques.
Les pirates impliqués dans l'affaire « 2021 » ont fait état d'une tendance inquiétante quant à l'ampleur de leurs demandes et aux montants qui auraient été versés : Kaseya VSA (, 70 millions de dollars exigés) ; Acer (, 50 millions de dollars exigés) ; la compagnie d'assurance CNA Financial (, 40 millions de dollars versés) ; Kia Motors (, 20 millions de dollars exigés) ; et Colonial Pipeline (, 4,4 millions de dollars versés).
Pour faire face à cette recrudescence d'activités malveillantes, le secteur de l'assurance a considérablement durci ses conditions de souscription afin de réduire le volume croissant des sinistres, qui a augmenté de 100 % par an au cours des trois dernières années, selon Fitch.
Payer plus pour une assurance cyber moins complète
Dans un premier temps, le secteur a augmenté les taux de primes souscrites directement de 74 % en 2021. Selon M. Smith, les entreprises américaines paient désormais en moyenne 1 485 dollars par an, soit 124 dollars par mois, pour une assurance contre les cyberrisques. « Les prix augmentent à un rythme nettement plus soutenu que dans les autres secteurs d'activité », indique un rapport de Fitch.
Parallèlement, l' , qui régit le secteur, a réduit les plafonds d'assurance cyber — c'est-à-dire le montant maximal qu'elle versera en cas de sinistre — de 10 millions de dollars à 5 millions de dollars pour de nombreux secteurs d'activité, tout en augmentant les franchises, également appelées « retenues », selon l'Association nationale des commissaires d'assurance (NAIC). En effet, les experts du secteur affirment avoir constaté des cas où les franchises sont passées d'environ 25 000 dollars à pas moins de 250 000 dollars au cours des deux dernières années.
De plus, les assureurs se montrent de plus en plus sélectifs quant aux secteurs d'activité qu'ils sont prêts à couvrir. Il devient « pratiquement impossible » d’assurer les secteurs qui ont été ciblés de manière disproportionnée, tels que gouvernement, éducation, santé et services publics, explique Kirsten Bay, PDG de Cysurance, société spécialisée dans la cyberassurance pour les petites et moyennes entreprises. Si vous êtes un prestataire de services gérés (MSP), vous pouvez également faire une croix sur une bonne couverture.
« Cela ne veut pas dire qu’il n’y a pas de places disponibles », précise-t-elle. « Cela signifie que le plafond de 5 millions de dollars dont vous avez réellement besoin sera beaucoup plus difficile à atteindre. » « Par exemple, ils pourraient proposer une couverture de 3 millions de dollars, vous facturer un montant bien plus élevé pour celle-ci, et vous indiquer que les 2 millions de dollars restants doivent provenir d'une police d'assurance complémentaire. »
Certains assureurs tentent même de limiter les indemnités élevées en restreignant — parfois de manière drastique — la taille des entreprises qu’ils sont prêts à assurer, explique Kurt Suhs, PDG de Cyber Special Ops, un service de type « conciergerie » qui aide les entreprises à faire face aux cyberattaques. Il affirme que les assureurs pourraient faire pression sur les courtiers pour qu'ils souscrivent des polices d'assurance d'un milliard de dollars et limitent la couverture aux entreprises dont le chiffre d'affaires ne dépasse pas 250 millions de dollars.
Faites vos preuves ou vous perdrez tout
De manière plus générale, les transporteurs renforcent leurs critères d'éligibilité. Tout comme une personne qui souscrit une assurance-vie peut être amenée à passer un examen médical et à communiquer ses antécédents médicaux afin de bénéficier de tarifs adaptés, les assureurs spécialisés dans la cybersécurité exigent des organisations qu’elles respectent des normes de base en matière de cyberhygiène, telles que celles définies par l’ .
«Certains assureurs ont soit réduit le volume de leurs souscriptions en matière de cyberrisques, soit se sont même retirés complètement de ce marché. »Tom Johansmeyer, directeur de PCS, une division de Verisk
Les bonnes pratiques comprennent généralement la mise en place d'une authentification multifactorielle (MFA), d'une protection des terminaux, d'un antivirus performant, de sauvegardes redondantes et hors ligne à jour, ainsi que de programmes de sensibilisation et de formation à la sécurité. Les scores de risque cyber revêtent également une importance croissante pour les assureurs. Si une organisation ne remplit pas toutes les conditions requises, elle risque de se voir appliquer des tarifs plus élevés, de voir sa couverture réduite ou de voir sa demande rejetée.
« Ce sont là les types de données que tous les souscripteurs considèrent désormais comme des critères déterminants pour l'acceptation ou le refus d'un dossier », explique M. Anderson, de McGill and Partners. « L’absence de MFA est, par exemple, tout simplement inenvisageable. » « Si vous ne disposez pas de cette fonctionnalité pour l'accès à distance, vous ne pouvez pas être assuré. »
« Le nombre croissant de conditions préalables en matière de cyber-hygiène peut s'avérer frustrant pour les dirigeants », déclare M. Bay, de Cysurance. Mais elle précise que ces contraintes offrent également aux responsables de la sécurité des systèmes d'information (RSSI) l'occasion de s'entretenir avec leurs dirigeants de la nécessité de financer davantage de mises à niveau en matière de cybersécurité au sein de leur organisation.
« Les professionnels de la sécurité doivent multiplier les échanges avec leurs dirigeants sur l’intérêt d’investir dans la cybersécurité et sur l’impact financier que cela pourrait avoir sur l’entreprise », déclare-t-elle. « Je pense qu’entre l’évolution du secteur de l’assurance cyber et la recrudescence des ransomwares, ce sujet est plus facile à aborder que jamais. »
Outre les exigences en matière de sécurité, la plupart des assureurs élargissent la liste des situations qu’ils ne couvrent pas, appelées « exclusions ». Par exemple, ayant tiré les leçons de l'affaire « 11/09 » et de la pandémie, rares sont les assureurs privés disposés à prendre en charge les pertes résultant d'une cyberguerre ou d'une défaillance des infrastructures.
Le programme fédéral d'assurance contre les risques liés au terrorisme (TRIP) pourrait aider les assureurs à couvrir certaines pertes résultant d'attaques de cyberterrorisme. Toutefois, les règles définissant ce qui constitue un incident lié au terrorisme sont formulées de manière restrictive et ne constituent pas une aide utile pour les entreprises à l'heure actuelle. Récemment, cette lacune en matière de couverture a conduit le Government Accountability Office (GAO) américain à recommander que le ministère des Finances et le ministère de la Sécurité intérieure évaluent la nécessité de mettre en place un dispositif fédéral de garantie d’assurance — à l’instar des subventions accordées par le gouvernement à l’assurance récolte, par exemple — afin de pallier le manque de couverture dont souffrent notamment les organismes chargés des infrastructures critiques.
Selon Fitch, la réduction de l'exposition aux sinistres liés aux cyberattaques, grâce à une augmentation des primes et à des exclusions, a permis au secteur de l'assurance cyber de faire baisser son taux de sinistralité direct, c'est-à-dire le montant versé aux assurés, de 72 % en 2020 à 65 % l'année dernière. Récemment, le Wall Street Journal a décrit comment les responsables de la Maison Blanche ont salué le renforcement des critères d'autorisation dans un contexte marqué par une vague d'attaques menées par des États-nations, en particulier depuis l'invasion russe de l'Ukraine.
Mais le durcissement des directives a également eu pour effet de réduire l'offre d'assurances cyber aux niveaux antérieurs, ce qui constitue l'une des principales « raisons pour lesquelles les gens pensent que la couverture est en train de disparaître », explique M. Anderson.
Faut-il souscrire une assurance cyber ou non ?
L'impression selon laquelle il n'est pas possible de souscrire une assurance persistera probablement, car les assureurs continuent de modifier leurs modèles économiques pour rester rentables, explique Tom Johansmeyer, directeur de PCS, une division de la société d'analyse de données et d'évaluation des risques Verisk, spécialisée dans le calcul des pertes matérielles assurées liées aux catastrophes. Bien qu’ils semblent miser pleinement sur l’assurance cyber, « certains assureurs ont soit réduit le volume de contrats cyber qu’ils souscrivent, soit se sont même complètement retirés du marché », explique-t-il.
Il ajoute que cela pourrait se traduire, pour les organisations, par un « déficit de couverture en matière de cyberassurance » de plus en plus important. Même si les entreprises ou les agences remplissent les conditions requises pour bénéficier d'un certain niveau de couverture, il se peut qu'elles ne reçoivent pas une somme suffisante pour couvrir les pertes éventuelles.
La réduction des garanties a conduit certaines organisations à se demander, comme l'indique , si elles ont besoin d'une cyberassurance ou si elles pourraient simplement prendre en charge les frais de leur poche en cas d'incident. « Nous avons discuté avec un district scolaire dont la prime passait de 1 million à 2 millions de dollars par an, alors même qu’il n’avait subi aucun sinistre ni fait l’objet d’aucune demande d’indemnisation », explique M. Suhs, de Cyber Special Ops. « Ils ont commencé à se demander : “Est-ce que cela vaut la peine de s’auto-assurer ?” » « Je pense que de plus en plus d'organisations procèdent ainsi de nos jours. »
Toutefois, tout le monde ne recommande pas l'approche de l'auto-assurance, compte tenu de l'ampleur des pertes auxquelles les organisations pourraient être confrontées en cas de cyberattaque grave.
« Nous pensons que la plupart de nos clients seront confrontés à une forme ou une autre de cyberattaque tous les cinq à sept ans », déclare M. Anderson. « Même avec les tarifs et les primes actuels, si vous partez du principe que vous allez être victime d'un sinistre et que cela va vous coûter cher, [souscrire une assurance] est probablement une très bonne affaire à long terme. »
