De nombreux dirigeants ont l’impression que les compagnies d’assurance abandonnent le cybermarché, étant donné les paiements exponentiels suite à l’augmentation des attaques de ransomware.
Eh bien, ce n’est pas exactement vrai.
Bien que des preuves anecdotiques suggèrent que certains petits opérateurs limitent ou éliminent la cybercouverture, la plupart des opérateurs, courtiers et réassureurs interrogés par Endpoint sont toujours très présents dans l’espace. En fait, Fitch Ratings, qui attribue des notations de crédit aux assureurs, déclare que le marché américain de la cyberassurance a augmenté de 74 % en 2021, soit 4,8 milliards de dollars. GlobalData prévoit que les primes brutes écrites valent plus de 20 milliards USD d’ici 2025.
« L’assurance cyber est devenue le segment à la croissance la plus rapide du marché des biens et des victimes aux États-Unis, car l’évolution des menaces a augmenté la demande de couverture », a déclaré Gerry Glombicki, directeur principal chez
Fitch Ratings.
Malgré l’apparence d’un marché sain, le secteur de la cyberassurance a atteint un carrefour. Les transporteurs gagnent toujours de l’argent, mais ils remanient également considérablement leurs modèles de souscription pour suivre le rythme de l’évolution du profil de risque.
La tendance pour les trésoriers et autres cadres à la recherche de polices : la cyber-assurance est toujours largement disponible, mais les organisations devront payer plus et franchir des limites supplémentaires pour une protection considérablement moindre.
Que couvre la cyber-assurance ?
Les dirigeants qui sont plus récents dans ce monde doivent savoir que la cyber-assurance fonctionne comme tout autre type d’assurance. Les entreprises demandent une couverture auprès des courtiers ou des transporteurs. Les assureurs évaluent la posture de sécurité d’un candidat pour s’assurer que chaque candidat prend des précautions de base contre les cyberattaques qui pourraient entraîner des temps d’arrêt importants et une perte de revenus.
« Nous nous attendons à ce que la plupart de nos clients soient confrontés à une sorte de cyberattaque tous les cinq à sept ans. »David Anderson, directeur de la cyberinformatique aux États-Unis, McGill and Partners
Les souscripteurs consultent des modèles en constante évolution pour déterminer le niveau de couverture qu’ils sont prêts à offrir et à quel taux. Si tout semble correct, la police est émise et le transporteur transfère généralement une partie du risque de cette police à une société de réassurance . Le marché de la réassurance permet aux assureurs de rédiger encore plus de polices et de continuer à développer leur activité.
Par le passé, la souscription était un processus rapide et simple, selon David Anderson, responsable américain de la cyber-sécurité chez le courtier en réassurance McGill and Partners. Il peut être demandé aux candidats s’ils disposaient de capacités antivirus (AV) et de sauvegarde.
« Si c’était le cas, l’assureur dirait : « Très bien, voici un devis, passez une bonne journée », déclare Anderson. « Maintenant, c’est « Montrez-moi ». Le processus de souscription est devenu beaucoup plus intense, long et intime. »
Les attaques par rançongiciel changent tout
Le fléau des rançongiciels a changé les règles du jeu pour les assureurs et les organisations qu’ils protègent. Considérez certaines statistiques :
- Les attaques de ransomware signalées ont augmenté de près de 51 % l’année dernière par rapport à 2020.
- Les pertes ajustées ont totalisé plus de 49 millions USD, soit une hausse de près de 69 % par rapport aux 29,2 millions USD en 2020.
- Les paiements moyens par ransomware ont atteint 812 000 USD en 2021, contre 170 000 USD en 2020.
- Les rançongiciels ont été impliqués dans 75 % de toutes les réclamations d’assurance cyber au cours du premier semestre 2021.
Les assureurs sont préoccupés par ces développements, ainsi que par la sophistication croissante et l’audace absolue des cyberattaques.
En 2021 , les attaquants ont affiché une tendance inquiétante à l’échelle de leurs demandes et des montants qui auraient été reçus : Kaseya VSA (70 millions USD demandés), Acer (50 millions USD demandés), la compagnie d’assurance CNA Financial (40 millions USD payés), Kia Motors (20 millions USD demandés) et Colonial Pipeline (4,4 millions USD payés).
Pour faire face à cette vague d’activités préjudiciables, le secteur de l’assurance a fortement réduit les conditions de souscription afin de réduire le volume de réclamations plus élevé, qui a augmenté de 100 % chaque année au cours des trois dernières années, selon Fitch.
Payer plus pour moins de cyber-assurance
Dans un premier temps, l’industrie a augmenté les taux de prime écrite directe de 74 % en 2021. Selon Advisor Smith, les entreprises américaines paient désormais 1 485 USD par an, soit 124 USD par mois, pour la cybercouverture en moyenne. « Les prix augmentent à un rythme considérablement plus élevé que les autres secteurs d’activité commerciaux », note un rapport de Fitch.
En même temps, l’industrie a réduit les limites de cyber-assurance, le plus qu’elle paiera pour une réclamation, de 10 millions USD à 5 millions USD pour de nombreux secteurs, tout en augmentant les franchises, également appelées « rétentions », rapporte la National Association of Insurance Commissioners (NAIC). En effet, les experts du secteur affirment avoir vu les cas de franchises passer d’environ 25 000 USD à 250 000 USD au cours de l’année ou des deux dernières années.
De plus, les opérateurs deviennent beaucoup plus sélectifs quant aux secteurs qu’ils sont prêts à souscrire. Il devient « quasi impossible » d’assurer des secteurs qui ont été ciblés de manière disproportionnée, tels que le gouvernement, l’ éducation, les soins de santé et les services publics, déclare Kirsten Bay, PDG de Cysurance, spécialisée dans la cyberassurance pour les petites et moyennes entreprises. Vous pouvez également oublier d’obtenir une bonne couverture si vous êtes un fournisseur de services gérés (MSP).
« Cela ne signifie pas qu’il n’y a pas de disponibilité », dit-elle. « Cela signifie que la limite de 5 millions de dollars dont vous avez vraiment besoin sera beaucoup plus difficile à obtenir. Par exemple, ils peuvent offrir 3 millions USD de couverture, facturer beaucoup plus pour elle et vous dire que les 2 autres millions USD doivent provenir d’une police en excédent. »
Lire également : Cyber leçons apprises un an après la guerre russe en Ukraine
Certains opérateurs essaient même de limiter les paiements importants en limitant, parfois gravement, la taille des entreprises qu’ils sont prêts à souscrire, déclare Kurt Suhs, PDG de Cyber Special Ops, un service de conciergerie qui aide les entreprises à répondre aux cyberattaques. Il déclare que les transporteurs peuvent faire pression sur les courtiers pour qu’ils écrivent des polices d’un milliard de dollars et limiter la couverture des entreprises dont le chiffre d’affaires est inférieur ou égal à 250 millions de dollars.
Le prouver ou le perdre
Plus fréquemment, les transporteurs renforcent leurs exigences de qualification. Tout comme une personne demandant une assurance-vie peut avoir besoin de prendre un examen physique et de partager ses antécédents médicaux pour se qualifier pour les taux de prime, les cyberassureurs exigent que les organisations respectent les normes de base de la cyberhygiène.
« Certains assureurs ont soit réduit la quantité de cyber qu’ils écriront, soit se sont même totalement retirés du marché. »Tom Johansmeyer, directeur de PCS, une division de Verisk
Les bonnes pratiques comprennent généralement l’ authentification multifacteur (AMF), la protection des endpoints, une AV robuste, des sauvegardes redondantes et hors ligne à jour, ainsi que des programmes de sensibilisation et de formation à la sécurité . Les scores de cyber-risque sont également de plus en plus importants pour les assureurs. Si une organisation ne peut pas cocher toutes les cases nécessaires, elle sera probablement confrontée à des taux plus élevés, une couverture réduite ou une application rejetée.
« Ce sont les types de points de données que chaque assureur considère désormais comme des problèmes de réussite/échec », déclare Anderson de McGill and Partners. « Le manque d’AMF est un non-démarreur complet, par exemple. Si vous ne l’avez pas pour l’accès à distance, vous n’êtes pas assurable. »
Le nombre croissant de prérequis en matière de cyberhygiène peut être frustrant pour les dirigeants, déclare Bay de Cysurance. Mais elle dit que les contraintes présentent également l’opportunité pour les RSSI de parler à leur direction de la nécessité de financer davantage de mises à niveau de cybersécurité dans leur organisation.
« Les professionnels de la sécurité doivent avoir plus de conversations avec leurs dirigeants sur la valeur d’investir dans la cybersécurité et l’impact financier qui pourrait avoir sur l’entreprise », déclare-t-elle. « Je pense qu’entre ce qui se passe avec la cyberassurance et l’essor des ransomwares, c’est une conversation plus facile que jamais. »
En plus des exigences de sécurité, la plupart des assureurs ajoutent à la liste des situations qu’ils ne couvriront pas, appelées « exclusions ». Par exemple, après avoir tiré les leçons de 11/09 et de la pandémie, peu d’assureurs privés sont prêts à partager les pertes résultant de la guerre informatique ou de la défaillance des infrastructures.
Le Programme fédéral d’assurance contre le risque de terrorisme (TRIP) pourrait aider les assureurs à couvrir certaines pertes résultant d’attaques de cyber-terrorisme. Cependant, les règles régissant ce qui constitue un incident lié au terrorisme sont étroitement écrites et ne sont pas utiles aux entreprises à l’heure actuelle. Récemment, le manque de couverture a conduit le Bureau de responsabilité du gouvernement américain (GAO) à recommander que le Département du Trésor et le Département de la sécurité intérieure évaluent la nécessité d’un soutien d’assurance fédérale, tout comme le gouvernement subventionne l’assurance des cultures, par exemple, pour corriger le manque de couverture des organisations d’infrastructures critiques, en particulier.
La réduction de l’exposition aux réclamations pour cyberattaques grâce à des primes et exclusions plus élevées a aidé le secteur de la cyberassurance à réduire son taux de perte directe, ou ce qu’il paie aux demandeurs, de 72 % en 2020 à 65 % l’année dernière, selon Fitch. Récemment, le Wall Street Journal a décrit comment les responsables de la Maison-Blanche ont applaudi l’application d’un examen plus approfondi des normes d’approbation dans le cadre d’une vague d’attaques nationales, en particulier depuis l’invasion russe de l’Ukraine.
Mais des directives plus strictes ont également eu pour effet de réduire la disponibilité des niveaux précédents de cyberassurance, ce qui est une « raison essentielle pour laquelle les gens pensent que la couverture disparaît », déclare Anderson.
Pour assurer ou non la cybersécurité ?
La perception que l’assurance n’est pas disponible persistera probablement alors que les transporteurs continuent à modifier leurs modèles commerciaux pour rester rentables, déclare Tom Johansmeyer, directeur de PCS, une division de la société d’analyse des données et d’évaluation des risques Verisk qui se concentre sur le calcul des pertes catastrophiques de biens assurés. Malgré l’apparence d’être totalement sous cyber-assurance, « certains assureurs ont réduit la quantité de cyber-assurance qu’ils écriront ou ont même complètement quitté le marché », déclare-t-il.
La reprise pour les organisations, ajoute-t-il, pourrait être un « écart de protection contre les cyber-assurances » croissant. Même si les entreprises ou agences sont éligibles à un niveau de couverture, elles peuvent ne pas obtenir suffisamment pour couvrir les pertes potentielles.
Lire également : Comment minimiser les pertes dès le départ ? Unifiez l’informatique et la sécurité
Une couverture réduite a conduit certaines organisations à se demander si elles avaient besoin d’une cyber-assurance ou si elles pouvaient simplement payer de leur poche en cas d’incident. « Nous avons parlé à un district scolaire où leur prime passait de 1 million USD à 2 millions USD par an, malgré le fait qu’ils n’avaient subi aucune perte ou réclamation », déclare Suhs de Cyber Special Ops. « Ils ont commencé à se dire : « Cela vaut-il la peine de s’assurer d’eux-mêmes ? » Je pense que de plus en plus d’organisations le font de nos jours. »
Cependant, tout le monde ne recommande pas l’approche d’auto-assurance, étant donné l’ampleur des pertes auxquelles les organisations pourraient être confrontées en cas de cyberattaque grave.
« Nous nous attendons à ce que la plupart de nos clients soient confrontés à une sorte de cyberattaque tous les cinq à sept ans », déclare Anderson. « Même avec les prix et les primes que nous voyons aujourd’hui, si vous supposez que vous allez être touché et que cela va vous coûter, [acheter une assurance] est probablement un très bon commerce à long terme. »
