Cyber-assurance :
déclarer ce qui est vrai,
pas ce qui rassure.
Les questionnaires de souscription sont devenus techniques. Ils portent sur des mesures précises, et vos réponses engagent l'entreprise. La difficulté n'est pas de remplir le formulaire : c'est de savoir si ce qu'on s'apprête à cocher est exact.
Pourquoi les questionnaires se sont durcis
Le marché de l'assurance cyber a connu une hausse de la sinistralité qui a conduit les assureurs à sélectionner davantage les risques. Plutôt que de refuser des dossiers, la plupart ont resserré leurs exigences techniques : certaines mesures sont devenues des conditions d'accès à la garantie, ou modulent fortement la prime.
La conséquence pratique est que le questionnaire n'est plus une formalité administrative traitée par le service comptable. C'est un document technique, dont les réponses doivent pouvoir être justifiées.
Les mesures sur lesquelles portent les questions
Les formulaires varient d'un assureur à l'autre, mais les mêmes thèmes reviennent, parce qu'ils correspondent aux causes les plus fréquentes de sinistre.
Authentification à plusieurs facteurs
- Sur les accès distants, les comptes d'administration, la messagerie et les outils d'infrastructure.
- C'est la mesure la plus systématiquement demandée, parce que le vol d'identifiants reste un vecteur d'entrée majeur.
- La question qui compte : y a-t-il des exceptions ? Un seul compte d'administration sans double facteur suffit à rendre la réponse inexacte.
Sauvegardes
- Existence, fréquence, et surtout isolation : une sauvegarde accessible depuis le même environnement que la production est chiffrée en même temps que lui lors d'une attaque par rançongiciel.
- Restauration déjà testée — c'est la question qui met le plus souvent en difficulté, car peu d'entreprises l'ont réellement fait.
Mises à jour et vulnérabilités
- Processus de mise à jour des systèmes, et délai de correction d'une vulnérabilité critique connue.
- Dépendances applicatives : savez-vous lesquelles comportent des failles publiques ?
Gestion des accès
- Retrait effectif des accès au départ d'un collaborateur ou d'un prestataire.
- Comptes à privilèges : combien, et attribués à qui nommément ?
Détection et réaction
- Journalisation des événements, et conservation suffisante pour reconstituer un incident.
- Qui est prévenu, par quel canal, et que fait-on dans les premières heures ?
Le risque d'une déclaration inexacte
Le questionnaire fait partie de la relation contractuelle. Une réponse qui ne correspond pas à la réalité peut être opposée au moment de l'indemnisation — c'est-à-dire exactement quand la garantie devient nécessaire. Cocher « oui, MFA partout » alors que trois comptes en sont dépourvus n'est pas un détail administratif.
Les conséquences précises dépendent du contrat et du droit applicable : ce point relève de votre courtier et, le cas échéant, de votre conseil juridique. Ce qui relève d'Avisers, c'est la partie vérifiable : ce qui est effectivement en place dans votre infrastructure et votre application.
Ce qu'Avisers fait — et ne fait pas
Avisers ne conseille pas sur le choix d'un contrat d'assurance : garanties, plafonds, franchises et négociation de la prime relèvent d'un courtier ou d'un assureur. Cette page est informative sur le volet technique.
En revanche, si vous ne savez pas répondre avec certitude à plusieurs questions du formulaire, un audit établit l'état réel : ce qui est vrai, ce qui ne l'est pas encore, et ce qui peut être corrigé avant la souscription ou avant le renouvellement. Voir l'audit de code et de sécurité.
La même logique s'applique aux questionnaires envoyés par vos clients : voir répondre à un questionnaire de sécurité client. Et pour un premier tri autonome, la checklist en 30 points couvre déjà une large part des questions posées.
Cyber-assurance — questions fréquentes
Que vérifient les assureurs cyber ?
Les questionnaires portent en priorité sur un petit nombre de mesures dont l'absence explique la majorité des sinistres : authentification à plusieurs facteurs sur les accès sensibles, sauvegardes isolées et testées, mises à jour des systèmes et dépendances, gestion des accès à privilèges, et capacité à détecter puis à réagir à un incident.
Que se passe-t-il si ma déclaration est inexacte ?
Le questionnaire est un élément de la relation contractuelle avec l'assureur. Une déclaration qui ne correspond pas à la réalité peut être opposée au moment de l'indemnisation — c'est-à-dire précisément quand on a besoin de la garantie. Les conséquences exactes dépendent du contrat et relèvent de votre courtier ou de votre conseil juridique.
Faut-il un audit pour souscrire une cyber-assurance ?
Ce n'est généralement pas exigé pour souscrire. Un audit devient utile dans deux situations : quand vous ne savez pas répondre avec certitude à plusieurs questions techniques, et quand vous voulez corriger les points faibles avant de déclarer plutôt qu'après un sinistre.
Avisers conseille-t-il sur le choix du contrat ?
Non. Le choix des garanties, des plafonds et des franchises relève d'un courtier ou d'un assureur, pas d'un cabinet d'audit technique. Avisers intervient uniquement sur le volet technique : établir ce qui est vrai de votre infrastructure et de votre application, afin que vos déclarations soient exactes.
Vous n'êtes pas sûr
de ce que vous allez cocher ?
30 minutes pour passer en revue les questions qui vous font hésiter, et déterminer ce qui peut être vérifié ou corrigé rapidement.
→ Diagnostic gratuit