Assurance contre les rançongiciels : prescriptive et restrictive

Sécurisez votre entreprise avec CyberHoot dès aujourd'hui !!!

S'inscrire maintenant

Les assureurs élaborent des polices d'assurance plus restrictives et plus prescriptives afin de réduire le nombre de sinistres et de mieux se protéger, ainsi que les entreprises qu'ils assurent. Dans certains cas, les sinistres sont purement et simplement refusés parce qu'ils sont liés à des actes de guerre.

L'assurance est complexe et de moins en moins avantageuse pour les entreprises qui la souscrivent. Avant de pouvoir prétendre à une assurance cyber, incluant la protection contre les ransomwares , les entreprises doivent remplir des questionnaires détaillés attestant de la mise en place des mesures de cybersécurité minimales essentielles. Les assureurs, submergés de demandes d'indemnisation liées aux ransomwares et confrontés à d'importantes pertes financières, réagissent, exigeant des entreprises qu'elles rendent des comptes sur leurs réponses aux questionnaires et, bien souvent, rejetant les demandes d'indemnisation.

Il est peut-être temps que les entreprises se concentrent davantage sur des mesures préventives proactives plutôt que de compter sur une indemnisation réactive de leur assurance cyber.

Assurance contre les rançongiciels

Les attaques par rançongiciel sont notoirement difficiles à contrer avec des outils techniques. Comme pour d'autres catastrophes, les assureurs sont intervenus en proposant une assurance couvrant une partie des dommages résultant d'une attaque par rançongiciel.

Selon la politique de rançongiciel, vous pouvez être couvert pour la perte de revenus due à une interruption d'activité, les coûts de récupération de vos systèmes, données et réseaux, et éventuellement le coût du paiement d'une demande d'extorsion (rançon).

Le montant exact de l'indemnisation et les conditions seront précisés dans votre contrat d'assurance. Ce contrat décrit les circonstances d'attaque exclues de la couverture (acte de guerre) et les mesures de sécurité minimales requises (sauvegardes hors ligne, formation de sensibilisation) pour que votre demande d'indemnisation aboutisse.

Restrictions et prescriptions politiques

Du point de vue de CyberHoot, les restrictions (ou exclusions) des polices d'assurance ne sont pas des failles de sécurité. Il s'agit plutôt de bonnes pratiques ou de recommandations minimales essentielles en matière de cybersécurité à suivre pour : a) éviter une attaque par rançongiciel ; et b) garantir votre couverture en cas d'attaque malgré le respect de toutes les bonnes pratiques préconisées par votre assurance cyber.

Prescriptions minimales essentielles en matière de cybersécurité

Par exemple, votre police d'assurance vous obligera à mettre en œuvre une stratégie de sauvegarde pour toutes vos données (suivez la stratégie de sauvegarde 3-2-1 de CyberHoot pour une efficacité optimale). Elle peut également exiger la suppression des droits d'administrateur des ordinateurs Windows utilisés par les utilisateurs finaux. Enfin, elle peut prescrire une formation de sensibilisation des utilisateurs finaux afin qu'ils puissent identifier et éviter les attaques de phishing et d'ingénierie sociale . De nombreuses autres exigences figurent dans certaines polices d'assurance ; lisez attentivement les conditions générales pour les connaître et envisagez de faire appel à un expert en cybersécurité, tel qu'un RSSI externalisé, pour vous aider à mettre en place un programme de cybersécurité robuste.

Il s'agit de mesures de prévention essentielles minimales raisonnables requises dans tout programme de cybersécurité de base et toutes deux prescrites par l'assurance cybernétique, tout en offrant aux assureurs une possibilité de payer les réclamations si vous dites que vous les faites, mais en fait, vous ne le faites pas.

Clause de notification d'assurance

De même, votre contrat contiendra probablement une clause de notification vous obligeant à informer votre assureur de l'attaque dans un délai minimal. Assurez-vous de disposer d'une procédure de réponse aux incidents (également incluse dans la plupart des services de RSSI externalisé) documentée et prévoyant une procédure de notification à l'assurance.

Exemption liée à la guerre

Une autre exclusion courante concerne les sinistres liés à la guerre : les assureurs se réservent le droit de refuser d’indemniser un sinistre si les dommages résultent d’un conflit armé ou d’actes assimilables à la guerre. Compte tenu du contexte international actuel, les assureurs cherchent à se prémunir contre certaines attaques en invoquant l’exemption relative aux sinistres liés à la guerre.

Lorsqu'un État s'en prend à un autre, la cyberguerre peut servir à infliger des dommages en dehors du cadre traditionnel des conflits armés. La cyberguerre peut être aveugle ; les victimes ne sont pas nécessairement des organisations gouvernementales, il peut s'agir d'une entreprise prise entre deux feux.

Les assureurs ont de bonnes raisons de tenter d'exclure ce niveau d'exposition considérable. Cependant, plusieurs problèmes se posent. La première question est de définir une guerre : quand un acte d'agression est-il considéré comme une activité de guerre ? Une autre difficulté réside dans l'attribution des responsabilités, car les cyberattaquants s'efforcent généralement de se dissimuler ; il est rare qu'un attaquant déclare ouvertement son implication dans une attaque.

Lorsqu'une organisation est victime d'une attaque par rançongiciel, comment l'assureur, ou le demandeur, peut-il prouver qu'une organisation spécifique est à l'origine de l'attaque et quelle en était la motivation ? Dans la plupart des cas, il est quasiment impossible de trouver des preuves tangibles de l'attribution. Dans ce cas, demandeurs et assureurs se tournent vers les tribunaux pour statuer.

les tribunaux doivent parfois statuer sur des réclamations

Les demandes d'indemnisation en cas de rançongiciel vont d'une simple rançon en bitcoins à des demandes de plusieurs millions. Ces coûts n'incluent pas les atteintes à la réputation, les temps d'arrêt, les amendes ni les frais juridiques. Les compagnies d'assurance vous tiendront responsable du respect des prescriptions et restrictions applicables aux demandes d'indemnisation, qu'elles soient liées à un rançongiciel ou non. Si elles constatent que votre entreprise n'a pas respecté vos engagements, elles sont susceptibles de rejeter votre demande. C'est pourquoi tant de demandes sont contestées devant les tribunaux. Dans ce cas, les procédures peuvent durer des mois, voire des années, et coûter encore plus cher à tous.

Qu'est-ce que cela signifie pour votre PME ou MSP ?

Cela signifie que vous ne devriez pas compter sur l'assurance cyber (ou ransomware) comme principale défense. L'assurance cybersécurité a certes un rôle à jouer, mais selon les primes et le niveau de couverture, elle devrait être considérée comme un dernier recours. La première recommandation de CyberHoot est de renforcer vos propres efforts internes pour protéger vos actifs informatiques contre les attaques : votre première ligne de défense et votre meilleure option restent votre meilleure option.

Toute police d'assurance cybernétique comporte des exigences ou conditions minimales essentielles à respecter pour que votre indemnisation soit versée. Comme mentionné précédemment, il s'agit notamment de la formation à la sensibilisation à la sécurité , de sauvegardes fiables (3-2-1), de la mise à jour régulière des systèmes et plus encore. Les recommandations d'assurance minimales essentielles suivantes aideront votre entreprise à prévenir les violations de données et à améliorer vos chances d'être indemnisée en cas de sinistre.

Pour en savoir plus sur ce que l'assurance cyber offre, ce qu'elle couvre et ce que vous devez faire, veuillez également consulter nos articles : Assurance cyber, partie 1 : Pourquoi elle est nécessaire et Assurance cyber, partie 2 : Ce que vous devez savoir.

Le message de CyberHoot est de préparer votre entreprise en élaborant un programme de cybersécurité proactif, en faisant appel à un professionnel expérimenté du secteur, appelé vCISO, et en investissant dans des contrôles techniques et administratifs pour prévenir toute faille. Votre police d'assurance cyber exige de toute façon ces mesures, qui vous aideront à prévenir proactivement un incident et à vous rétablir rapidement avec une indemnisation en cas de sinistre (sauf s'il s'agit d'un acte de guerre avéré).

Recommandations minimales essentielles de CyberHoot en matière de cybersécurité

Les recommandations suivantes vous aideront, vous et votre entreprise, à vous protéger contre les différentes menaces auxquelles vous pouvez être confrontés au quotidien. Toutes les suggestions ci-dessous peuvent être mises en œuvre en faisant appel aux services de développement du programme vCISO de CyberHoot.

1. Gérez vos employés avec des politiques et des procédures. Vous devez au minimum disposer d'une politique de mots de passe, d'une politique d'utilisation acceptable, d'une politique de traitement des informations et d'un programme écrit de sécurité de l'information (WISP).
2. Former les employés à repérer et à éviter attaques de phishingAdoptez un système de gestion de l’apprentissage comme CyberHoot pour enseigner aux employés les compétences dont ils ont besoin pour être plus confiants, productifs et en sécurité.
3. Testez vos employés avec des attaques de phishing pour vous entraîner. Les tests de phishing de CyberHoot permettent aux entreprises de tester leurs employés avec des attaques de phishing crédibles et de former ceux qui échouent à une formation corrective.
4. Déployer une technologie de cybersécurité critique, notamment authentification à deux facteurs sur tous les comptes critiques. Activez le filtrage anti-spam, validez les sauvegardes et déployez la protection DNS. antivirus, et anti-malware sur tous vos terminaux.
5. À l'ère du travail à domicile moderne, assurez-vous de gérer les appareils personnels qui se connectent à votre réseau en validant leur sécurité (correctifs, antivirus, protections DNS) ou en interdisant totalement leur utilisation.
6. Si vous n'avez pas fait réaliser d'évaluation des risques par un tiers au cours des deux dernières années, vous devriez en faire une dès maintenant. La mise en place d'un cadre de gestion des risques au sein de votre organisation est essentielle pour gérer vos risques les plus graves avec un temps et un budget limités.
7. Souscrivez une cyberassurance pour vous protéger en cas de sinistre catastrophique. La cyberassurance est comparable à une assurance auto, incendie, inondation ou vie. Elle est là quand vous en avez le plus besoin.

Chacune de ces recommandations, à l'exception de la cyberassurance, est intégrée aux produits et services de DSI virtuel de CyberHoot. Avec CyberHoot, vous pouvez encadrer, former, évaluer et tester vos employés. Rendez-vous sur CyberHoot.com et inscrivez-vous dès aujourd'hui ! À défaut, continuez à vous informer en vous abonnant à nos newsletters mensuelles sur la cybersécurité afin de rester au fait des dernières actualités.

Pour en savoir plus sur la cyberassurance, regardez cette courte vidéo de 5 minutes :

Source: 

TheHackerActualités

Lectures complémentaires: 

Assurance cybernétique : pourquoi est-elle nécessaire ? – Partie 1

Assurance cybernétique : ce que vous devez savoir – Partie 2