Existe-t-il des conditions fixes pour toute cyberassurance ?
Non. Les assureurs et les produits appliquent des règles d’acceptation différentes. La taille de l’entreprise, la branche, les données, la dépendance à l’informatique, la couverture souhaitée et la situation actuelle du marché influencent les questions posées et les justificatifs exigés. Des mesures de sécurité isolées ne garantissent ni l’acceptation, ni un rabais, ni la couverture.
Des réponses complètes et à jour restent néanmoins essentielles : des indications fausses ou incomplètes peuvent influencer l’offre, le contrat et l’examen ultérieur des prestations.
Les informations à préparer
Entreprise et protection souhaitée
- activité, sites, chiffre d’affaires et nombre de collaborateurs
- principaux groupes de clients et activités réglementées
- modules de couverture, limites et franchises souhaités
- cyberincidents et sinistres antérieurs, ainsi que les circonstances actuelles connues
Données et dépendances numériques
- types et volumes approximatifs de données personnelles et commerciales traitées
- systèmes critiques, services cloud et prestataires informatiques externes
- durée d’interruption maximale tolérable des processus importants
- dépendances envers des fournisseurs ou des plateformes uniques
Identités et accès
- authentification multifacteur pour la messagerie, les accès à distance et les comptes d’administration
- gestion des droits privilégiés et des départs
- protection des services accessibles publiquement et de la télémaintenance
- procédure en cas de comptes suspects ou d’identifiants compromis
Mises à jour, protection et surveillance
- responsabilités et délais pour les mises à jour de sécurité
- gestion des vulnérabilités des systèmes exposés à Internet
- protection des terminaux, journalisation et traitement des alertes
- gestion des logiciels qui ne sont plus pris en charge
Sauvegardes et redémarrage
- séparation ou immuabilité des sauvegardes
- protection des comptes d’administration des sauvegardes
- date et résultat du dernier exercice de restauration
- ordre documenté de redémarrage des systèmes critiques
Urgence et droit
- plan d’urgence interne avec rôles et canaux de contact
- accès à des spécialistes en forensique informatique, en conseil juridique et en communication
- processus d’évaluation des annonces au PFPDT, à l’OFCS, à l’autorité de surveillance ou aux personnes concernées
- exercices et enseignements tirés d’incidents passés
Quels justificatifs sont utiles ?
Tous les assureurs n’exigent pas les mêmes documents. En pratique, les éléments suivants peuvent être utiles :
- inventaire à jour des systèmes et des prestataires ;
- capture d’écran ou preuve de configuration de la MFA pour les accès critiques ;
- procès-verbal d’une restauration de sauvegarde ;
- rapport de correctifs ou de vulnérabilités avec état de traitement ;
- plan d’urgence et procès-verbal du dernier exercice ;
- certificats ou rapports d’audit pertinents, avec les points ouverts documentés.
Un certificat ne remplace pas une présentation complète des risques. À l’inverse, une entreprise ne devrait transmettre des détails techniques sensibles que par un canal protégé prévu à cet effet.
Erreurs fréquentes dans le cyberquestionnaire
- Les réponses sont estimées : l’informatique, la direction, la protection des données et les prestataires externes devraient clarifier ensemble les points litigieux.
- Le « oui » est interprété trop largement : la MFA pour quelques utilisateurs n’équivaut pas à la MFA pour tous les accès critiques et privilégiés.
- Sauvegarde et restauration sont confondues : l’essentiel est de savoir si la restauration a réellement été testée.
- Des incidents connus manquent : des circonstances pas encore chiffrées ou examinées peuvent aussi être pertinentes.
- Les réponses deviennent obsolètes avant le début du contrat : les changements importants entre le questionnaire et la conclusion devraient être annoncés.
- Les offres reposent sur des informations différentes : une comparaison n’est fiable que si les données de risque et la couverture souhaitée sont identiques.
Avant l’envoi : contrôle rapide
- Toutes les réponses sont-elles datées et assumées en interne ?
- Les notions peu claires ont-elles été clarifiées avec l’assureur ou l’intermédiaire ?
- Les réponses concordent-elles avec les justificatifs techniques ?
- Les exceptions, systèmes anciens et améliorations en cours sont-ils décrits ouvertement ?
- La couverture, les sous-limites, la franchise et les exclusions ont-elles été examinées séparément ?
Le questionnaire rempli fait partie de la base de décision. Conservez de manière traçable la version soumise et les justificatifs correspondants.