La couverture de cyber-assurance est déjà suffisamment difficile à obtenir et à conserver en ces temps d’attaques constantes par ransomware. Aujourd’hui, les entreprises ont apparemment besoin de s’inquiéter du fait que les assureurs les amènent devant un tribunal pour annuler leurs polices, comme si elles n’existaient jamais.
Fin août, Travelers Property Casualty Company of America et International Control Services (ICS) ont conclu un accord devant un tribunal fédéral de l’Illinois pour approuver l’annulation de la police d’ICS et toute réclamation pour couverture suite à une récente attaque par ransomware . Les voyageurs avaient allégué dans son procès que lorsque l’ICS a rempli sa demande d’assurance contre les cyber-risques, elle avait faussement eu l’ authentification multifacteur (AMF), ce que la plupart de ces polices exigent actuellement. (Les voyageurs et l’ICS n’ont pas répondu aux demandes de commentaires.)
Le fait qu’un assureur majeur ait cherché à éviter de payer une réclamation n’est pas surprenant. Les assureurs le font tout le temps. Mais remettre en question la validité d’une police déjà émise est très inhabituel pour tout type de couverture et doit envoyer un avertissement aux entreprises cherchant une assurance contre les cyber-risques pour qu’elles procèdent avec prudence.
Pourquoi choisir un combat ?
Bien que les titulaires de police ne devraient pas s’attendre à ce que ces poursuites deviennent courantes, il y en aura probablement plus, selon Scott Godes, un partenaire et coprésident du cabinet de recouvrement et de conseil en assurance chez Barnes & Thornburg, un cabinet d’avocats national qui représente les entreprises dans les cas de recouvrement en assurance.
« Les transporteurs menacent discrètement d’utiliser l’annulation de politique comme « option nucléaire » depuis un certain temps. »Scott Godes, partenaire et co-président du cabinet de recouvrement et de conseil en assurance, Barnes & ; Thornburg
« Les transporteurs menacent discrètement d’utiliser l’annulation de politique comme « option nucléaire » depuis un certain temps », dit-il. « C’est très décevant de le voir. C’est un modèle, à mon avis, de blâmer le souscripteur plutôt que de s’engager dans un contrôle plus prudent des pertes. Il s’agit d’un modèle d’utilisation de questions d’application ambiguës et intelligemment formulées à l’encontre des assurés. »
Godes fait référence à une pratique consistant à imposer aux entreprises d’attester régulièrement des mesures qu’elles ont prises pour renforcer la cybersécurité au lieu de collaborer étroitement avec les assurés pour s’assurer qu’ils répondent aux attentes en matière de posture de sécurité. Après une attaque, les assureurs mettent la préparation d’un assuré à la cybersécurité sous un examen particulier. Un enquêteur judiciaire est souvent chargé de vérifier l’exactitude des pratiques de cybersécurité qu’une entreprise a signalées sur sa demande d’assurance.
Les assureurs devraient travailler plus en collaboration avec les assurés pour éviter les cyberattaques et éviter toute confusion qui pourrait entraîner un désaccord, déclare Godes. Certains transporteurs le font déjà pour d’autres formes d’assurance. Par exemple, certains assureurs annoncent qu’ils pourraient fournir des tarifs réduits aux automobilistes qui sont prêts à placer un appareil dans leur voiture pour surveiller leurs habitudes de conduite. Les assureurs pourraient employer une stratégie similaire de « contrôle des pertes » lors de la rédaction de politiques de cyber-risque, plutôt que d’utiliser les réponses aux applications comme « pièges », soutient Godes.
[Lire également : Les rançongiciels battent le secteur de la cyberassurance]
Cependant, de nombreuses entreprises hésitent à partager des informations détaillées sur leurs pratiques de cybersécurité. Ils s’inquiètent du fait que les assureurs collent leur nez là où ils n’appartiennent pas ou des implications juridiques potentielles de la divulgation des pratiques de sécurité.
S’attaquer aux applications fastidieuses
Compte tenu de ces difficultés et de l’ampleur croissante des rançongiciels et autres cyberattaques, de nombreux cyberassureurs exigent que les candidats remplissent des questionnaires longs et peu pratiques pour se qualifier pour la couverture, déclare Josephine Wolff, professeur agrégée de politique de cybersécurité à la Fletcher School de l’Université de Tufts et auteure de la Politique de cyberassurance : Repenser le risque à l’ère des rançongiciels, de la fraude informatique, des violations de données et des cyberattaques.
« Alors que les gens déforment les choses sur leurs polices, intentionnellement ou non, les compagnies d’assurance repousseront. »Gerry Glombicki, directeur principal, Fitch Ratings
« Ces candidatures sont devenues si longues maintenant que certaines entreprises mettent des équipes de trois personnes ou plus dans des salles et leur disent : « Répondre à ce questionnaire est votre travail pour le mois prochain. »
Bien sûr, consacrer autant de temps prend du temps sur d’autres tâches. Une pratique plus courante consiste pour une personne du bureau du RSSI, du DSI, du directeur financier ou du trésorier à remplir les documents d’assurance.
Le problème : il est peu probable qu’une personne ait le contexte ou le temps de répondre à chaque question techniquement détaillée avec précision et exhaustivité. En conséquence, des erreurs, omissions et fausses déclarations se produisent et incitent les assureurs à refuser les réclamations ou, comme l’ont démontré les voyageurs avec leur cas précédent, à annuler la couverture.
[Lire également : Les alimentations vont-elles renforcer la cyber-assurance ?]
« Je pense que la chose la plus importante que vous verrez, à mesure que les gens déforment les choses sur leurs polices, soit intentionnellement, soit involontairement, les compagnies d’assurance repousseront », déclare Gerry Glombicki, directeur principal chez Fitch Ratings, l’une des principales agences de notation de crédit.
Choisir leurs batailles
Mais même si d’autres suivent la direction des voyageurs, les observateurs du secteur affirment qu’ils le feront probablement avec parcimonie. L’optique d’amener les titulaires de police d’assurance cyber devant le tribunal n’est pas excellente.
« Cela ne sert vraiment pas bien les compagnies d’assurance de se retrouver dans un ensemble de litiges où elles tentent d’annuler la couverture en fonction des aspects techniques », déclare David Anderson, directeur américain de la cyber-sécurité chez le courtier en réassurance McGill and Partners.
« Tout ce que vous mettez par écrit aux compagnies d’assurance est une déclaration, que votre signature y figure ou non. »David Anderson, directeur de la cyberinformatique aux États-Unis, McGill and Partners
« Je suis surpris que ce type de litige se produise en premier lieu », convient Sean O’Brien, qui rend visite à un collègue du projet de la société de l’information à la faculté de droit de Yale. « C’est une stratégie horrible, car cela n’entraînera personne à avoir confiance en ces produits. Ils ont suffisamment de difficultés à vendre une cyber-assurance. »
« C’est une pente glissante », ajoute Gerry Kennedy, directeur chez Charles River Insurance. « Vous prétendez fournir une couverture aux assurés lorsqu’ils en ont besoin. Mais ensuite, vous sortez le tapis de dessous [en annulant les contrats] lorsque ce moment arrive ? La plupart des gens diraient : « Il aurait été agréable de savoir qu’il y avait cette possibilité avant que vous ne rejetiez ma réclamation. »
Éviter les risques juridiques
Pour éviter les mauvaises surprises, les observateurs du secteur recommandent les précautions suivantes.
- Prenez le questionnaire au sérieux. Aussi fastidieuses que soient ces demandes, elles constituent des déclarations de fait juridiquement contraignantes. Un litige peut survenir chaque fois qu’il y a une ambiguïté. Avant de remplir une demande, Anderson de McGill and Partners recommande de former une équipe interfonctionnelle de gestion des risques pour recueillir tous les détails opérationnels et techniques qui seront nécessaires pour fournir les réponses les plus complètes et les plus précises.
- Avocat. Anderson suggère également d’impliquer un avocat dès le début pour aider à guider le processus et examiner les réponses au questionnaire. « Tout ce que vous mettez par écrit aux compagnies d’assurance est une représentation, que votre signature y figure ou non », dit-il. « L’embauche d’un avocat est un processus coûteux, et peu d’entreprises, en particulier les boutiques familiales, peuvent le faire. Mais si vous le pouvez, c’est conseillé. »
- Cartographiez votre exposition. Pendant le processus de candidature, il est important de se rappeler que les cybercriminels attaquent souvent des tiers. Cela pourrait devenir un problème si une entreprise déclare qu’elle dispose d’une MFA, mais ne s’assure pas que ses partenaires et fournisseurs affiliés l’utilisent également, note Kennedy de Charles River. Il suggère de communiquer avec l’assureur pour comprendre si la gestion des risques tiers est l’une de ses attentes et, le cas échéant, de les épingler sur ses exigences.
- Sachez ce dont vous attestez. Le buck s’arrête à celui qui signe sur la ligne pointillée d’une demande de cyber-assurance. Si un problème survient plus tard, c’est la personne qui sera dans le feu croisé de toute procédure judiciaire. Pour cette raison, Glombicki de Fitch souligne que le signataire, qui est idéalement un haut dirigeant, doit savoir ce dont il atteste, pour sa propre protection ainsi que celle de l’organisation.
- Soyez franc. Wolff of Tufts note que la pire chose qu’une entreprise puisse faire est la brillance sur la vérité. Bien qu’ils n’aient pas besoin d’en faire trop avec des détails, les dirigeants doivent être aussi francs que possible pour éviter les accusations de fausse déclaration. Par exemple, si une entreprise a déployé l’AMF à certains endroits, mais pas à d’autres, les dirigeants doivent identifier où elle existe et où elle ne l’est pas.
- Comprendre ce qui se trouve dans la politique. Lorsque vous demandez une cyber-assurance, ne supposez pas que votre police protège contre tous les scénarios imaginables. L’assurance ne fonctionne pas de cette manière. Il est donc extrêmement important de comprendre ce qu’il y a dans une police et de prêter une attention particulière aux exclusions déclarées, avertit Eric Gyasi, avocat et vice-président chez Stroz Friedberg, une société Aon.
« Cela peut sembler un peu triste, mais les organisations ont tendance à le définir et à l’oublier », dit-il. « En fait, une police peut ne pas couvrir ce que vous pensiez qu’elle couvrait. »
Les assureurs ne sont pas encore alignés pour annuler les polices qu’ils ont émises. Mais les observateurs pensent que davantage de procès comme Travelers c. ICS suivront presque certainement alors que l’industrie cherche à affiner ses modèles et règles de risque.
Comme l’indiquent les dieux de Barnes et Thornburg : « Les entreprises doivent garder à l’esprit que les transporteurs adoptent des points de vue plus agressifs et plus stricts sur leurs applications, et réagissent en conséquence. »
