Comment une cyber-assurance peut protéger vos clients

Les clients portent heureusement une attention accrue à la cybersécurité. Des questions comme ‘Personne ne peut tout de même utiliser mes caméras ?’ ou ‘Mes données sur le cloud sont-elles bien sécurisées ?’ ne sont plus rares de nos jours. Les clients qui veulent aller plus loin peuvent conclure une cyber-assurance.

L’année dernière, une entreprise belge sur cinq a été victime d’une fraude, laquelle peut aussi répertorier la cybercriminalité. Les menaces et les méthodes associées sont diverses : fraude à l’e-mail, ransomware, espionnage, extorsion, vol de données, phishing, attaques DDoS et autres.

100 millions d’euros: c’est ce que nos entreprises ont payé en rançon aux criminels en 2020, un montant qui s’élevait à 130 millions l’année dernière. Et ce n’est que la partie émergée de l’iceberg car nombre d’entreprises craignent une atteinte de leur image si elles ont été touchées et préfèrent donc rester discrètes.

Assurance contre la fraude ou cyber-assurance?

Les cyber-faits sont des risques relativement nouveaux pour les entreprises. Cela a comme conséquence que l’assurance classique contre la fraude souscrite par les entreprises n’est pas toujours adaptée pour couvrir les conséquences d’une attaque. Comparez cela à une assurance incendie : les entreprises touchées par un incendie reçoivent une somme qui couvre les dommages au bâtiment et à son contenu mais elles ont par la suite du mal à payer les frais de redémarrage. Les assureurs ont répondu à cela en proposant une assurance perte d’exploitation qui prend en charge ces coûts. Il en va de même avec les cyber-risques.

Identifier les causes

En matière de cyber-risque, le secteur de l’assurance définit les éléments qui servent à pouvoir invoquer la police. On peut les regrouper en trois grands groupes : une erreur, une malveillance, un accident.

• Dans le cas d’une erreur, il peut s’agir d’une action involontaire de collaborateurs internes ou externes.
• Dans le cas de malveillance, il s’agit de hackers, de virus et autres dont l’objectif est de causer effectivement un dommage.
• On parle d’accident lors d’une perturbation physique du système d’exploitation suite par exemple à un coup de foudre ou une coupure de courant.

Dans le domaine de la fraude, il est aussi question de plusieurs causes : des personnes internes ou externes qui commettent délibérément une fraude, une fraude au CEO où une personne se fait passer pour le patron d’une entreprise, ou une fraude à la facture.

Quelle police couvre quel risque ?

Les risques sont couverts par la combinaison d’une assurance contre la fraude et d’une cyber-assurance. Une assurance contre la fraude seule ne suffit pas.

Une cyberpolice se compose d’un éventail de mesures d’accompagnement et va plus loin que la récupération du dommage ou de la rançon. Une cyberpolice de qualité va fournir une prestation de service préventif considérable. Pensez à la réalisation d’un screening préventif par une entreprise spécialisée, à l’encadrement des formations ou à la mise à disposition de matériel de sensibilisation pour le personnel. Si malgré cela une calamité se produit, la police aidera les parties dupées. Ce volet est large et nécessaire car une cyberattaque peut avoir des conséquences profondes.

Lorsqu’un utilisateur est victime d’une attaque, l’assureur agit comme un partenaire qui l’assiste pendant la détection, l’isolation et la résolution du problème. Si des données sont volées, l’assureur est présent pour entreprendre les actions utiles concernant la législation GDPR. Après l’incident, la police peut être utilisée pour activer des agences de relations publiques afin de restaurer l’image de l’entreprise.

À côté de cela, les ‘dommages propres’ sont couverts. Cela inclut notamment l’embauche d’une expertise externe, une éventuelle perte de production, des amendes GDPR et le cyber-vol. Le paiement de rançon est en principe inclus pour autant que cela ne soit pas interdit par le législateur. Pour le moment, ce n’est pas encore d’application dans notre pays.

Un autre volet important est le ‘dommage causé aux tiers’. Une cyber-attaque dans une entreprise peut avoir un impact envers des tiers : les fournisseurs ne pourront peut-être pas être payés pendant un temps, les clients ne pourront pas être livrés à temps et seront à l’arrêt, des données privées et/ou sensibles peuvent être exposées, des parties externes sont contaminées par un virus provenant de vos systèmes, … tous les coûts associés à cela peuvent être couverts par la police.

Police contre la fraude

Dans le cas d’une cyberpolice, il est question de violation de votre système. La police contre la fraude concerne davantage l’abus de confiance. Cela peut provenir de personnes internes ou externes ou une combinaison des deux. La fraude au CEO où une personne se fait passer comme quelqu’un d’important pour tenter de voler une somme d’argent par un virement bancaire et la fraude classique à la facture sont couverts par cette police.

En résumé, on peut dire que seule la combinaison des deux polices offre une protection large.

Un exemple

Une organisation criminelle se fait passer pour un fournisseur et envoie une fausse facture à l’entreprise X. Le service de comptabilité ne s’en aperçoit pas et paie. Dans le cas présent, il n’est pas question d’intrusion dans les systèmes, la police contre la fraude est donc d’application. Supposons que les criminels aient eu accès à la boîte de messagerie d’un collaborateur pour par exemple imiter fidèlement la facture. Dans ce cas, il est question d’intrusion dans un système et la cyberpolice intervient. Notez que seul le destinataire est protégé contre ce type de fraude. Si un des clients de l’entreprise paie une facture falsifiée de l’entreprise X, la police n’interviendra pas pour autant qu’aucune effraction n’ait été commise dans son propre système. Le client de l’entreprise X doit faire appel à sa propre assurance.