Souscrire une assurance cyber : pourquoi et comment ?
Assurance cyber : faut-il en souscrire une ?
Une menace devenue bien réelle
Nous avons vu les attaques évoluer au cours de ces dernières années. Nous faisons aujourd’hui face à une véritable professionnalisation de la cybercriminalité.
Les menaces ont d’abord ciblé les structures les plus fragiles, comme certaines collectivités ou petites organisations, mais également des structures plus importantes disposant de ressources financières plus conséquentes.
Nous avons tous, dans notre entourage plus ou moins proche, des exemples d’attaques ayant touché des centres hospitaliers, des maisons départementales des personnes handicapées ou certains de nos partenaires.
De grandes entreprises très médiatisées ont également été victimes de cyberattaques : Free, Harmonie Mutuelle et bien d’autres.
Aujourd’hui, les associations du secteur médico-social ne peuvent plus considérer qu’elles passeront à côté de ce risque. Le danger est bien réel. La question n’est plus de savoir si nous serons attaqués, mais quand.
Ransomware, compromission de comptes Microsoft 365, fraude au virement ou fuite de données peuvent avoir des conséquences majeures sur l’activité de nos organisations.
Alors, au-delà des actions de prévention mises en œuvre localement, faut-il souscrire une assurance cyber ?
L’assurance cyber n’empêche pas l’attaque
C’est un point essentiel.
Souscrire une assurance cyber ne dispense absolument pas de mettre en place les mesures de sécurité nécessaires : sauvegardes, sensibilisation des utilisateurs, protections techniques ou encore procédures de gestion de crise.
Une assurance cyber fonctionne finalement comme une assurance habitation : elle intervient lorsqu’un sinistre survient.
Elle ne remplace ni :
- les sauvegardes ;
- la cybersécurité ;
- la sensibilisation des utilisateurs ;
- les mesures de protection.
Certaines assurances proposent toutefois des outils permettant d’évaluer votre niveau de maturité cyber et de bénéficier de recommandations pour réduire les risques.
Pourquoi les associations médico-sociales sont particulièrement concernées
Comme évoqué précédemment, les ESMS deviennent des cibles privilégiées pour les cybercriminels.
Nous détenons :
- des données particulièrement sensibles ;
- une forte dépendance aux logiciels métiers ;
- des ressources informatiques parfois limitées ;
- des obligations de continuité d’accompagnement.
L’impact d’une indisponibilité informatique dépasse souvent le simple cadre technique. Il touche également l’organisation, les finances, l’image de la structure et sa crédibilité auprès des financeurs et partenaires.
Les assureurs deviennent plus exigeants
Il y a quelques années, souscrire une assurance cyber était relativement simple.
Aujourd’hui, les assureurs réalisent généralement un préaudit afin d’évaluer votre niveau de maturité et les mesures déjà mises en œuvre. Leur objectif est simple : limiter les risques d’intervention tout en sélectionnant les structures les plus préparées.
Au-delà des sauvegardes, de la sensibilisation des utilisateurs et des mesures de sécurité de base, certains assureurs réalisent :
- des scans de surface d’exposition sur Internet ;
- des contrôles de compromission de comptes ;
- des analyses de vulnérabilités accessibles depuis l’extérieur.
J’ai notamment été surpris de constater que des adresses e-mail de mon association avaient servi à créer des comptes sur des services tiers. Ces services ayant subi des fuites de données, certaines de nos adresses apparaissaient comme compromises alors que nos systèmes n’étaient pas directement concernés.
Des services qui vont au-delà de l’assurance
Paradoxalement, les assureurs cherchent aujourd’hui à développer leur portefeuille de clients tout en limitant les sinistres.
Pour cela, ils enrichissent leurs offres avec des services qui peuvent représenter une véritable valeur ajoutée pour les associations.
Par exemple, notre assureur met à disposition :
- un scan externe régulier des adresses IP publiques et du nom de domaine ;
- des rapports de vulnérabilités et recommandations ;
- des outils d’audit Active Directory ;
- des outils d’analyse des environnements cloud (Azure, Microsoft 365, AWS, OVHcloud) ;
- des campagnes de phishing avec sensibilisation automatique des utilisateurs ayant cliqué ;
- des indicateurs permettant à l’équipe informatique de suivre les résultats et d’adapter les actions de sensibilisation.
Que couvre exactement une assurance cyber ?
Les garanties varient d’un contrat à l’autre, mais on retrouve généralement plusieurs niveaux d’accompagnement.
Assistance technique et gestion de crise
Dès la détection d’un incident, l’assureur peut mobiliser une cellule de crise composée d’experts en cybersécurité afin d’accompagner l’organisation dans les premières décisions et de limiter l’impact de l’attaque.
Investigation technique
Des spécialistes interviennent pour analyser l’incident, identifier son origine, évaluer son périmètre et déterminer les actions nécessaires à la remédiation.
Restauration des systèmes et reprise d’activité
L’assurance peut prendre en charge ou financer l’accompagnement à la restauration des données, à la reconstruction des systèmes et au déclenchement du Plan de Reprise d’Activité (PRA) lorsque celui-ci existe.
Accompagnement juridique et réglementaire
En cas de fuite de données ou d’incident de sécurité, l’assureur peut accompagner l’organisation dans ses obligations réglementaires : notifications à la CNIL, gestion des obligations RGPD, communication auprès des personnes concernées et prise en charge de certains frais juridiques ou d’avocat.
Indemnisation des pertes financières
Selon les contrats, une indemnisation peut être prévue pour couvrir certains frais exceptionnels ou les pertes d’exploitation liées à l’interruption de l’activité.
Dans le secteur médico-social, cette notion reste toutefois parfois complexe à évaluer. Contrairement à une entreprise commerciale, l’impact financier direct d’une indisponibilité informatique est souvent difficile à chiffrer. Les conséquences se traduisent davantage par une désorganisation des services, une dégradation de la qualité d’accompagnement et une mobilisation importante des équipes.
Les questions à se poser avant de signer
Avant de souscrire, plusieurs points méritent une attention particulière :
Quel est le plafond d’indemnisation ?
Un plafond trop faible peut rapidement devenir insuffisant en cas d’incident majeur.
Quels sont les délais d’intervention ?
En situation de crise, la rapidité d’intervention est essentielle.
Quels sont les prestataires imposés ?
Certaines assurances imposent leurs propres experts ou prestataires de remédiation.
Les frais de restauration sont-ils couverts ?
La reconstruction des systèmes représente souvent un coût important.
La perte d’exploitation est-elle prise en charge ?
Cette garantie peut être déterminante pour certaines structures.
Les incidents Microsoft 365 sont-ils inclus ?
C’est un sujet devenu incontournable avec la généralisation du cloud et des services Microsoft 365.
Mon retour d’expérience
Pour notre association, nous avons fait le choix de souscrire une assurance cyber pour plusieurs raisons.
Bien sûr, il y a la couverture financière en cas d’incident, mais également l’accès à des outils et à des services qui auraient un coût important s’ils étaient achetés séparément : campagnes de phishing, audits de sécurité, analyses de vulnérabilités ou encore accompagnement d’experts.
Quelques mois avant la souscription, nous avons été confrontés à une tentative de fraude au virement de salaire. Plusieurs demandes de changement de RIB avaient été adressées au service paie.
Heureusement, les équipes ont détecté cette anomalie avant tout versement frauduleux. Cet événement nous a permis de revoir notre procédure de transmission et de validation des RIB, mais il nous a également confortés dans l’idée qu’il était important d’être accompagnés et assurés face à ce type de risque.
Le coût de notre assurance reste relativement modeste au regard des services proposés. Depuis maintenant deux ans, nous n’avons jamais eu à déclarer de sinistre ni à déclencher l’assistance de crise.
Pour autant, les outils mis à notre disposition sont utilisés de façon régulière. Ils nous permettent de surveiller notre exposition, d’identifier des axes d’amélioration et de renforcer progressivement notre résilience face aux cybermenaces.
Nous pouvons également solliciter les équipes de l’assureur pour obtenir des conseils ou un avis sur certaines situations.
Enfin, le jour où un incident majeur surviendra, il est rassurant de savoir que nous pourrons nous appuyer sur des équipes spécialisées, habituées à gérer ce type de crise. Dans ces moments-là, disposer d’un accompagnement structuré peut faire gagner un temps précieux et éviter de nombreuses erreurs.
Conclusion
Chaque organisation devra évaluer ses besoins, ses moyens et son exposition au risque.
Pour certaines structures, une assurance cyber apparaîtra comme une dépense supplémentaire. Pour d’autres, elle constituera un moyen d’accéder à des outils, des expertises et un accompagnement difficilement mobilisables autrement.
Comme souvent en cybersécurité, l’important est de prendre une décision éclairée en comprenant ce qui est couvert… mais aussi ce qui ne l’est pas.
Pour notre structure, elle représente aujourd’hui un filet de sécurité supplémentaire qui peut s’avérer précieux lorsqu’un incident survient malgré toutes les précautions mises en place. Au-delà de la couverture financière, elle nous permet également de bénéficier de services, de conseils et d’outils qui contribuent au renforcement de notre niveau de sécurité au quotidien.