De nos jours, alors que les attaques par ransomware sont incessantes, il est déjà suffisamment difficile d'obtenir et de conserver une couverture d'assurance contre les cyberrisques. Désormais, les entreprises doivent apparemment craindre que les assureurs ne les poursuivent en justice pour annuler leurs contrats, comme si ceux-ci n’avaient jamais existé.
Fin août, Travelers Property Casualty Company of America et International Control Services (ICS) sont parvenus à un accord devant un tribunal fédéral de l'Illinois afin d' approuver la résiliation de la police d'assurance d'ICS ainsi que toute demande d'indemnisation à la suite d'une récente attaque par ransomware . Dans sa plainte, Travelers avait allégué que, lors de la souscription de son contrat d'assurance contre les risques informatiques, ICS avait fait une fausse déclaration en affirmant disposer d' d'authentification multifactorielle (MFA) , ce que la plupart de ces polices exigent actuellement. (Travelers et ICS n'ont pas répondu à nos demandes de commentaires.)
Le fait qu'un grand assureur ait cherché à éviter de verser une indemnité n'a rien de surprenant. Les assureurs font cela tout le temps. Cependant, contester la validité d'une police déjà émise est extrêmement rare, quel que soit le type de couverture, et cela devrait inciter les entreprises souhaitant souscrire une assurance contre les risques cybernétiques à faire preuve de prudence.
Pourquoi chercher la bagarre ?
Même si les assurés ne doivent pas s'attendre à ce que ce type de poursuites devienne monnaie courante, leur nombre devrait probablement augmenter, selon Scott Godes, associé et coprésident du département « Recouvrement d'indemnités d'assurance et conseil » chez Barnes & Thornburg, un cabinet d'avocats national qui représente des entreprises dans des affaires de recouvrement d'indemnités d'assurance.
«Les assureurs menacent discrètement depuis un certain temps déjà de recourir à la résiliation des contrats comme « option nucléaire ». »Scott Godes, associé et coprésident du pôle « Recouvrement d'indemnités d'assurance et conseil » du cabinet Barnes & Thornburg
« Depuis un certain temps déjà, les assureurs menacent discrètement de recourir à la résiliation des contrats comme "option nucléaire" », explique-t-il. « C'est vraiment décevant de voir ça. » C'est, à mon avis, une manière de rejeter la responsabilité sur l'assuré plutôt que de mettre en place des mesures de prévention des sinistres plus rigoureuses. « C'est un exemple typique de l'utilisation de questions de demande d'adhésion ambiguës et formulées de manière astucieuse à l'encontre des assurés. »
M. Godes fait référence à une pratique consistant à imposer aux entreprises l'obligation de certifier régulièrement les mesures qu'elles ont mises en œuvre pour renforcer la cybersécurité , au lieu de collaborer étroitement avec les assurés afin de s'assurer qu'ils répondent aux attentes en matière de niveau de sécurité. À la suite d'une cyberattaque, les assureurs examinent de très près le niveau de préparation en matière de cybersécurité de l'assuré. Un enquêteur judiciaire est souvent chargé de vérifier l'exactitude des mesures de cybersécurité qu'une entreprise a déclarées dans sa demande d'assurance.
Selon M. Godes, les assureurs devraient collaborer davantage avec les assurés afin de prévenir les cyberattaques et d'éviter toute confusion susceptible d'entraîner des désaccords. Certains assureurs le font déjà pour d'autres types d'assurance. Par exemple, certains assureurs annoncent qu'ils peuvent proposer des tarifs réduits aux automobilistes qui acceptent d'installer un dispositif dans leur véhicule afin de surveiller leurs habitudes de conduite. Selon M. Godes, les assureurs pourraient adopter une stratégie similaire de « prévention des sinistres » lorsqu’ils souscrivent des polices couvrant les risques cybernétiques, plutôt que d’utiliser les réponses aux questionnaires de souscription comme des « clauses pièges ».
[À lire également : Les ransomwares mettent à mal le secteur de la cyberassurance]
Cependant, de nombreuses entreprises hésitent à communiquer des informations détaillées sur leurs pratiques en matière de cybersécurité. Ils craignent que les assureurs ne se mêlent de ce qui ne les regarde pas ou s'inquiètent des éventuelles conséquences juridiques liées à la divulgation de leurs pratiques en matière de sécurité.
Gérer les demandes fastidieuses
Compte tenu de ces difficultés et de la recrudescence des attaques par rançongiciel de type « » et d’autres cyberattaques, de nombreux assureurs spécialisés dans la cyberassurance exigent des demandeurs qu’ils remplissent des questionnaires longs et fastidieux pour pouvoir bénéficier d’une couverture, explique Josephine Wolff, professeure associée en politique de cybersécurité à la Fletcher School de l’université Tufts et autrice de * * ainsi que de *Cyberinsurance Policy: Rethinking Risk in an Age of Ransomware, Computer Fraud, Data Breaches, and Cyberattacks*.
«Lorsque les assurés fournissent des informations erronées concernant leurs contrats d’assurance, que ce soit intentionnellement ou non, les compagnies d’assurance réagissent. »Gerry Glombicki, directeur principal chez Fitch Ratings
« Ces formulaires sont désormais si longs que certaines entreprises réunissent des équipes de trois personnes ou plus dans une salle et leur disent : “Remplir ce questionnaire sera votre mission pour le mois à venir.” »
Bien sûr, consacrer autant de temps à cela vous empêche de vous occuper d'autres tâches. Il est plus courant qu'un collaborateur du service du RSSI, du DSI, du directeur financier ou du trésorier se charge de remplir les formalités administratives liées à l'assurance.
Le problème : il est peu probable qu’une seule personne dispose des connaissances nécessaires ou du temps requis pour répondre de manière précise et exhaustive à toutes les questions techniques détaillées. En conséquence, des erreurs, des omissions et des déclarations trompeuses surviennent, ce qui conduit les assureurs à refuser des demandes d'indemnisation ou, comme l'a démontré Travelers dans une affaire qui a fait jurisprudence, à résilier la couverture.
« Je pense que ce que vous constaterez avant tout, c’est que lorsque les assurés fournissent des informations erronées dans leurs contrats, que ce soit intentionnellement ou non, les compagnies d’assurance réagiront », explique Gerry Glombicki, directeur principal chez Fitch Ratings, l’une des principales agences de notation.
Choisir ses combats
Mais même si d'autres suivaient l'exemple de Travelers, les observateurs du secteur estiment qu'ils ne le feraient probablement qu'avec parcimonie. Sur le plan de l'image, le fait de poursuivre en justice les assurés d'une cyberassurance n'est pas très flatteur.
« Cela ne sert vraiment pas les intérêts des compagnies d’assurance de se retrouver empêtrées dans une multitude de litiges où elles tentent d’annuler la couverture en invoquant des subtilités juridiques », explique David Anderson, responsable des risques cyber pour les États-Unis chez le courtier en réassurance McGill and Partners.
«Tout ce que vous écrivez aux compagnies d’assurance constitue une déclaration, que votre signature y figure ou non. »David Anderson, responsable de la cybersécurité aux États-Unis chez McGill and Partners
« Je suis surpris que ce genre de litige puisse même se produire », reconnaît Sean O’Brien, chercheur invité au sein du projet « Information Society » de la faculté de droit de Yale. « C'est une stratégie catastrophique, car elle va faire en sorte que plus personne n'ait confiance en ces produits. » « Ils ont déjà assez de mal à vendre des assurances cyber. »
« C'est une pente glissante », ajoute Gerry Kennedy, directeur de Charles River Insurance. « Vous prétendez offrir une couverture aux assurés lorsqu’ils en ont besoin. » Mais ensuite, vous leur coupez l'herbe sous le pied [en résiliant les contrats] le moment venu ? La plupart des gens diraient : « Ça aurait été bien de savoir qu’il y avait cette possibilité avant que vous ne rejetiez ma demande. »
Éviter les risques juridiques
Pour éviter toute mauvaise surprise, les observateurs du secteur recommandent de prendre les précautions suivantes.
- Prenez ce questionnaire au sérieux. Aussi fastidieuses que soient devenues ces demandes, elles constituent des déclarations de faits juridiquement contraignantes. Un litige peut survenir dès qu'il y a ambiguïté. Avant de remplir un dossier de candidature, M. Anderson, de McGill and Partners, recommande de constituer une équipe interfonctionnelle de gestion des risques afin de rassembler toutes les informations opérationnelles et techniques nécessaires pour fournir les réponses les plus complètes et les plus précises possibles.
- Faites appel à un avocat. M. Anderson recommande également de faire appel à un avocat dès le début de la procédure afin qu'il vous aide à mener à bien celle-ci et qu'il examine vos réponses au questionnaire. « Tout ce que vous écrivez aux compagnies d'assurance constitue une déclaration, que vous y ayez apposé votre signature ou non », explique-t-il. « Faire appel à un avocat représente une dépense importante, et peu d’entreprises, en particulier les petites entreprises familiales, peuvent se le permettre. » « Mais si vous le pouvez, c'est conseillé. »
- Évaluez votre exposition. Au cours du processus de candidature, il est important de garder à l'esprit que les cybercriminels s'en prennent souvent à des tiers. Cela pourrait poser problème à l'avenir si une entreprise affirme disposer d'une authentification multifactorielle (MFA) sans s'assurer que ses partenaires et fournisseurs affiliés l'utilisent également, fait remarquer M. Kennedy, de Charles River. Il suggère de prendre contact avec l'assureur afin de déterminer si l' d'un système de gestion des risques liés aux tiers figure parmi ses attentes et, le cas échéant, de lui demander de préciser ses exigences.
- Assurez-vous de bien comprendre ce que vous certifiez. La responsabilité incombe à la personne qui appose sa signature sur la ligne pointillée d'une demande d'assurance cyber. Si un problème survient par la suite, c'est cette personne qui se retrouvera dans la ligne de mire de toute procédure judiciaire. C’est pourquoi M. Glombicki, de Fitch, insiste sur le fait que le signataire, qui est idéalement un cadre supérieur, doit savoir ce qu’il certifie — tant pour sa propre protection que pour celle de l’organisation.
- Faites preuve d'ouverture. M. Wolff, de l'université Tufts, souligne que la pire chose qu'une entreprise puisse faire est de passer sous silence la vérité. Même s'ils n'ont pas besoin d'entrer dans les détails, les dirigeants doivent se montrer aussi transparents que possible afin d'éviter toute accusation de fausse déclaration. Par exemple, si une entreprise a mis en place l'authentification multifactorielle (MFA) dans certains services mais pas dans d'autres, les dirigeants doivent déterminer où elle est en place et où elle ne l'est pas.
- Prenez connaissance du contenu de la police d'assurance. Lorsque vous souscrivez une assurance cyber, ne partez pas du principe que votre contrat vous protège contre tous les scénarios imaginables. L'assurance ne fonctionne pas ainsi. Il est donc extrêmement important de bien comprendre le contenu d’une police d’assurance et d’accorder une attention particulière aux exclusions mentionnées sur , met en garde Eric Gyasi, avocat et vice-président chez Stroz Friedberg, une société du groupe Aon.
« Cela peut paraître un peu banal, mais les organisations ont tendance à mettre cela en place puis à ne plus s’en occuper », explique-t-il. « En réalité, il se peut qu’une police d’assurance ne couvre pas ce que vous pensiez qu’elle couvrait. »
Les assureurs ne se bousculent pas encore pour résilier les contrats qu'ils ont souscrits. Mais selon les observateurs, d'autres procès similaires à l'affaire « Travelers c. ICS » ne manqueront pas de suivre, alors que le secteur s'efforce d'affiner ses modèles de risque et ses règles.
Comme le souligne Godes, du cabinet Barnes & Thornburg : « Les entreprises doivent garder à l'esprit que les opérateurs adoptent une approche plus offensive et une interprétation plus stricte de leurs demandes — et réagir en conséquence. »
