Assurance cybernétique : ce que vous devez savoir – Partie 2

L'assurance cyber est un marché en plein essor, où les entreprises souscrivent régulièrement à une couverture cyber, en plus de la responsabilité civile, des erreurs et omissions, des incendies et des inondations. Face au nombre croissant d'attaques et de violations de données chaque jour, il est important de se renseigner sur les protections offertes en matière d'assurance cyber. Tout comme l'assurance inondation et incendie, l'assurance cyber est là pour vous aider en cas de catastrophe. Les polices d'assurance cyber couvrent généralement les pertes liées au piratage, aux logiciels malveillants, au vol, à l'extorsion ou aux poursuites judiciaires découlant de failles de sécurité. Cet article explique les concepts et les protections importants en matière d'assurance cyber à prendre en compte pour votre entreprise.

Avez-vous besoin d’une cyberassurance ? 

Les grandes entreprises devraient certainement l'adopter, mais les PME aussi. Ces dernières sont des cibles privilégiées des pirates informatiques, ce qui indique qu'elles devraient envisager sérieusement une assurance cyber. Représentant environ la moitié des cyberattaques ciblées, les PME doivent impérativement mettre en œuvre tous les moyens possibles pour se protéger, car les pirates savent que les PME ont souvent des mesures de sécurité insuffisantes. Souscrire une assurance cyber auprès d'une compagnie d'assurance pour bénéficier d'une protection immédiate après une violation de données est une excellente idée pour les entreprises d'aujourd'hui. L'assurance cyber est un atout précieux, même si sa mise en place prend du temps, car les assureurs exigent généralement de remplir un questionnaire détaillé décrivant vos mesures de protection et vos facteurs de risque.

Si nécessaire, voici ce qu'il peut ne pas couvrir

Payer les amendes et les pénalités 

Vous pourriez vouloir utiliser votre assurance pour payer vos amendes et pénalités liées à la cybersécurité, mais il est conseillé de vous renseigner sur les litiges dans les juridictions fédérales et étatiques dont vous dépendez, car certaines juridictions l'interdisent. Si les organismes gouvernementaux peuvent vous interdire d'utiliser votre assurance pour payer vos amendes, c'est parce qu'elles sont censées être punitives, et non pas simplement gaspillées. CyberHoot vous recommande de ne pas compter sur les compagnies d'assurance pour payer les pénalités que vous encourez, car la question est actuellement floue. 

Conformité non assurable

Vous vous demandez peut-être : « Puis-je souscrire une assurance cyber pour financer nos prochaines évaluations des risques et tests d'intrusion ? » En règle générale, les assurances ne couvrent pas les frais liés aux mesures de contrôle visant à améliorer la conformité. Par exemple, les formations de sensibilisation, l'élaboration de politiques, les tests d'intrusion, les évaluations des risques, etc., font partie des mesures qui ne peuvent être financées par une assurance cyber. Pratiquement tout ce qui renforce la sécurité ne peut probablement pas être financé par une assurance.

Identité de marque

Un point que CyberHoot souhaite souligner est que l'assurance cyber peut effectivement aider à couvrir les frais consécutifs à une violation de données, comme par exemple une attaque par rançongiciel . Il est louable que les compagnies d'assurance prennent en charge une partie de ces frais afin de permettre à votre entreprise de poursuivre ses activités, mais une telle violation peut nuire considérablement à sa réputation. Près d'un Américain sur quatre refusera de payer pour les services ou les produits d'une entreprise ayant subi une fuite de données . En cas d'attaque par rançongiciel, vous risquez de perdre jusqu'à 25 % de clients potentiels. La perte de réputation est certes couverte par les polices d'assurance, mais seulement pour une courte durée.

Compter sur l'assurance

Les compagnies d'assurance aident les entreprises à se remettre d'une cyberattaque, mais il ne faut pas s'y fier aveuglément. Certaines entreprises pensent pouvoir s'assurer et se prémunir contre les risques liés à une cyberattaque. Elles estiment qu'une assurance cyber robuste les dispense d'un programme de cybersécurité tout aussi performant. Or, sans programme de cybersécurité, il est difficile de garantir la sécurité de ses données. Le problème, lorsqu'on compte uniquement sur l'assurance pour se remettre d'une cyberattaque, est qu'en plus de perdre des clients et de nuire à sa réputation, le montant de l'indemnisation perçue lors d'une prochaine cyberattaque est réduit. De plus, les primes d'assurance et les franchises peuvent augmenter. Il est donc préférable de mettre en place un programme de cybersécurité doté de contrôles adéquats, plutôt que de compter uniquement sur l'assurance pour réduire les risques.

Connaissez votre assurance

Il est important de bien connaître les garanties de votre police d'assurance, car elle peut comporter des exigences à respecter pour vous couvrir. Par exemple, la compagnie d'assurance exigera probablement des entreprises qu'elles signalent les modifications apportées aux contrôles de cybersécurité dès leur mise en œuvre si elles sont susceptibles de modifier significativement un risque. Si une entreprise se montre complaisante et omet de signaler les nouvelles mesures de sécurité, la compagnie d'assurance pourrait refuser la couverture suite à une violation. 

Non-assurabilité

Comme mentionné précédemment, vous ne devriez pas compter sur l'assurance comme ligne de défense. Si votre entreprise ne prend pas l'initiative d'améliorer ses mesures de sécurité après une violation et est constamment piratée, vous risquez de ne plus pouvoir souscrire d'assurance. Si les entreprises continuent de lui coûter de l'argent, elle risque de ne pas renouveler sa police d'assurance. Le métier des compagnies d'assurance est de générer des profits, et non de verser des indemnités de rançon trois fois par an. Si une entreprise continue d'être victime de violations, générant un ratio sinistres-primes élevé (montant payé par l'assureur), les assureurs peuvent refuser de fournir un devis ou proposer un tarif extrêmement élevé, inadapté à la plupart des entreprises. 

Aller de l'avant

CyberHoot recommande sans hésiter de souscrire une cyberassurance pour votre entreprise ; c'est un incontournable en 2020. Nous tenons à ce que les chefs d'entreprise sachent que l'assurance est un atout, mais qu'elle doit être utilisée en dernier recours. Gardez tous ces facteurs à l'esprit lorsque vous souscrivez une cyberassurance. 

Outre la souscription d'une cyberassurance, il est essentiel de garantir la conformité. Les entreprises doivent former leurs utilisateurs aux fondamentaux de la cybersécurité et les encadrer par des politiques. Collaborez avec CyberHoot pour mettre à jour votre politique de gouvernance et former vos utilisateurs à repérer et à éviter les menaces auxquelles ils sont confrontés sur Internet.

Pour en savoir plus sur les dix principaux problèmes liés à l'assurance cybernétique, regardez cette vidéo informative :

Références

Joseph Brunsman

Assurance cybernétique – CyberHoot Term

ZDNet

Techopedia

Fundera

Lectures connexes

Les rançongiciels, principale demande d'indemnisation en cyberassurance au premier trimestre 1