Une entreprise peut être paralysée sans avoir été directement attaquée. Un hébergeur indisponible, un fournisseur à l’arrêt ou des données dérobées suffisent à fragiliser son activité. Alors qu’Allianz Commercial et Coalition renforcent leur partenariat dans la cyberassurance, Aurélie Hazard, Regional claims specialist FL chez Allianz Commercial, et Jérôme Chartrain, responsable de la souscription France chez Coalition, expliquent ce que couvre une assurance cyber, comment se calcule une perte d’exploitation et pourquoi son indemnisation peut prendre plusieurs mois.
Les entreprises ont-elles vraiment pris la mesure du risque cyber ?
Il faut distinguer différents profils. Les grands comptes que nous assurons chez Allianz ont généralement beaucoup investi dans la protection de leur système d’information. Le risque cyber est identifié, suivi et intégré aux décisions de l’entreprise.
Sur des structures plus petites, les investissements sont plus inégaux. L’authentification multifacteur, les outils de détection et de réponse sur les postes de travail ou les mises à jour ne sont pas toujours considérés comme des priorités. La conscience du risque ne se traduit donc pas nécessairement par des mesures de protection suffisantes.
Une entreprise bien protégée peut-elle quand même subir une interruption d’activité ?
Oui, parce que son exposition ne s’arrête pas à ses propres systèmes. Elle dépend aussi de ses fournisseurs, de ses prestataires informatiques et de ses clients.
Prenons un fournisseur indisponible pendant trois semaines… S’il ne peut plus livrer, l’entreprise peut subir une perte même si son informatique fonctionne. À l’autre bout de la chaîne, un client à l’arrêt peut ne plus être capable de réceptionner les produits qu’elle fabrique.
À ces dépendances commerciales s’ajoutent les interconnexions informatiques. Les systèmes sont de plus en plus intégrés et de nombreuses entreprises utilisent les mêmes prestataires, notamment dans le cloud. Il faut donc examiner les dépendances de l’entreprise, au-delà de sa seule sécurité interne.
Si mon hébergeur ou mon prestataire informatique tombe en panne, suis-je couvert ?
Cela dépend de la définition du système d’information dans le contrat. Celle-ci peut englober les systèmes hébergés chez un tiers, dès lors qu’ils traitent les données ou assurent des fonctions informatiques de l’entreprise.
Dans notre offre destinée aux ETI, certaines de ces prestations sont intégrées à cette définition. Une panne ou une attaque chez le prestataire peut alors ouvrir droit à une indemnisation, selon les conditions du contrat. Pour les grands comptes, la couverture est davantage construite sur mesure.
Il faut donc regarder précisément ce qui entre dans le périmètre assuré. Une dépendance à un fournisseur n’est pas, à elle seule, la garantie que toute interruption chez ce fournisseur sera couverte.
Que fait concrètement l’assureur dans les premières heures d’une attaque ?
La première réponse est l’assistance. L’entreprise a besoin de savoir qui appeler, quelles démarches engager et quels spécialistes mobiliser. Une plateforme téléphonique permet notamment d’accéder à un accompagnement juridique et à des prestataires techniques.
Il faut aussi comprendre comment les attaquants sont entrés, depuis quand ils étaient présents et comment ils ont circulé dans le système. Ce travail sert à contenir l’incident et à préparer la remise en état.
L’indemnisation intervient ensuite au rythme de la crise et de l’instruction du dossier. Plusieurs postes peuvent être concernés : les frais de gestion de crise, la remédiation informatique, les pertes d’exploitation et, selon les garanties, les conséquences d’une mise en cause de la responsabilité de l’entreprise après une fuite de données.
Une perte d’exploitation correspond-elle au chiffre d’affaires que l’entreprise n’a pas réalisé ?
Non. C’est une confusion fréquente dans les réclamations. Ce que nous cherchons à indemniser, c’est la perte de marge brute, conformément au contrat.
Le calcul exige de comprendre l’activité de l’entreprise et de déterminer le taux de marge applicable. Nos experts travaillent avec l’assuré et, le cas échéant, son propre expert. Cela demande des comptes, des justificatifs et une analyse précise des conséquences de l’incident.
Il faut également délimiter le périmètre touché et la période à retenir. Une cyberattaque peut affecter plusieurs filiales, dans plusieurs pays, avec des conséquences différentes selon les activités. Ces éléments donnent lieu à des échanges, parfois à des négociations, pour établir le montant indemnisable.
Combien de temps faut-il attendre avant d’être indemnisé ?
Sur les dossiers évoqués, nous raisonnons sur un horizon de huit mois à un an pour terminer le règlement. Mais cela ne signifie pas que l’entreprise attend tout ce temps sans recevoir de paiement.
Les frais peuvent être pris en charge progressivement, dès lors que leur couverture est établie et que les justificatifs sont disponibles. Nous vérifions notamment leur lien avec l’attaque. Une facture doit, en effet, correspondre à une dépense réellement occasionnée par le sinistre.
La perte d’exploitation prend généralement davantage de temps. Son calcul dépend des éléments comptables disponibles et de la façon dont l’entreprise documente sa réclamation. Nous pouvons donc régler certains postes alors que l’évaluation de la perte d’exploitation se poursuit.
Les sauvegardes suffisent-elles à échapper au chantage des attaquants ?
Elles permettent de répondre à une partie du problème, à savoir restaurer les systèmes lorsque les données ont été chiffrées. Mais les attaquants peuvent aussi voler les données avant de menacer de les publier. Cette menace change la décision de l’entreprise. Même lorsqu’elle peut redémarrer, elle peut craindre la divulgation d’informations sensibles qui sont au cœur de son activité ou de sa relation avec ses clients.
Nous avons rencontré cette situation aussi bien chez un grand compte que dans une structure plus petite. La capacité à restaurer l’informatique ne supprime donc pas les conséquences d’un vol de données.
Qui décide d’entrer en négociation et de payer une rançon ?
La décision appartient à l’entreprise assurée. L’assureur ne paie pas directement les attaquants. Dans le cadre de la garantie de cyberextorsion évoquée ici, il peut être question d’un remboursement, soumis aux conditions de couverture et aux vérifications nécessaires, notamment en matière de sanctions.
Des consultants spécialisés peuvent accompagner l’entreprise. Nous travaillons avec un panel de prestataires sélectionnés, dont nous connaissons l’expérience et avec lesquels les rôles et les honoraires sont encadrés. Le choix de cet interlocuteur ne doit pas être improvisé au milieu de la crise.
Votre partenariat vise aussi à intervenir avant le sinistre. Comment ?
Allianz porte le risque assurantiel. Coalition apporte notamment sa technologie d’analyse et de surveillance, ainsi que des fonctions de souscription et de gestion des sinistres dans le cadre du partenariat. À partir du nom de domaine d’une entreprise, Coalition examine sa surface d’exposition externe : vulnérabilités visibles, ports ouverts, interfaces accessibles ou informations exposées. Une plateforme permet aux équipes de sécurité de suivre les problèmes identifiés et les alertes.
Ce regard extérieur est complété par des échanges sur ce qu’un scan ne peut pas voir : l’organisation, la gouvernance et les moyens de sécurité internes. La surveillance se poursuit pendant la durée du contrat, tandis que la police d’assurance est revue chaque année. L’objectif est de réduire les possibilités d’intrusion avant d’avoir à gérer leurs conséquences.
