La Baromètre des risques Allianz rapporte que les entreprises mondiales sont plus préoccupées par les cyber-risques que par la pandémie ou d’autres menaces pour leurs opérations. Les cyberattaques et les violations de données peuvent entraîner des pertes importantes, sans parler des dommages à la réputation de la marque causés par des clients mécontents.
Alors, comment les entreprises peuvent-elles se protéger ? Comme d’autres types d’assurance, la cyberassurance peut aider les entreprises à atténuer les risques. Il offre un filet de sécurité aux entreprises sous la menace constante de la cybercriminalité, et il évolue chaque jour.
Mais avant que l’entreprise ne se lance dans la cyber-assurance, il est important de comprendre les spécificités d’une police d’assurance et la manière dont les protocoles de l’entreprise sont pris en compte dans le processus.
Définition de la cyberassurance
La cyberassurance couvre la responsabilité des entreprises en cas de violation de données impliquant des données clients sensibles, telles que les informations de paiement des clients, les numéros de compte, les dossiers médicaux et les numéros de sécurité sociale.
Certaines entreprises croient à tort qu’une assurance responsabilité civile générale couvrira ce type de menace, mais ce n’est souvent pas le cas. L’assurance responsabilité civile générale ne couvre que les blessures corporelles ou les dommages matériels causés par un produit, un service ou des opérations, et non les cybermenaces. Voici cinq questions à se poser sur la cyberassurance :
Que couvre la cyber-assurance ?
Outre les frais et dépenses juridiques, la cyber-assurance couvre :
- Informer les clients d’une violation.
- Restaurer l’identité des clients concernés.
- Récupération des données compromises.
- Réparation de systèmes informatiques.
Certains États exigent que les entreprises informent les clients d’une violation de données sur des données sensibles et identifiables, une proposition coûteuse. La plupart des États n’exigent pas que les entreprises offrent une surveillance gratuite du crédit après une violation, mais cette décision peut améliorer les relations publiques.
Une petite entreprise devrait-elle avoir une cyber-assurance?
Toute entreprise, grande ou petite, devrait avoir une cyber-assurance si elle traite des données clients sensibles. S’il y a violation, les frais juridiques sont souvent astronomiques.
Face à la menace imminente d’une cyber-violation, les entreprises doivent atténuer les risques commerciaux et rester prêtes à réagir à un incident de sécurité. Voici quelques avantages d’une police d’assurance cyber :
- Assistance médico-légale : Les services médico-légaux peuvent découvrir des cyberincidents d’origine interne, tels que des violations causées par des employés.
- Protection contre les dommages causés par les hacks ou les virus : Les cyber-violations perturbent souvent les processus commerciaux, mais la cyber-assurance peut inclure une clause d’interruption d’activité pour couvrir la perte de revenus et les données compromises.
- Couverture vol et corruption de données : La récupération de données après une violation peut être difficile, en particulier lorsqu’il s’agit de récupérer des informations client ou des données commerciales. La cyber-assurance peut inclure une couverture contre le vol et les données pour faciliter ce processus.
- Aide aux relations publiques : Une police d’assurance cyber peut inclure une assistance en relations publiques, ce qui peut aider l’entreprise à reconstruire sa marque et à maintenir une image positive.
- Couverture pour les appareils électroniques volés ou endommagés : La cyberassurance peut couvrir le coût des appareils électroniques, tels que les tablettes, les ordinateurs portables et les téléphones portables. Cela peut inclure le vol et la perte ainsi qu’un événement malveillant.
Que ne couvre pas la cyber-assurance ?
Bien qu’assez complète, la cyber-assurance ne couvre pas tout. Voici ce qui n’est pas couvert :
- Perte de bénéfices futurs : La cyber-assurance ne couvre généralement pas les pertes de profits, même en cas de violation.
- Perte de valeur: La cyberassurance peut ne pas couvrir le coût pour l’entreprise si la propriété intellectuelle est volée.
- Mises à jour : Ceux-ci ne sont généralement pas couverts par une police d’assurance cyber.
Il existe également deux types de cyber-assurance : la couverture responsabilité civile et la couverture responsabilité civile. Les entreprises peuvent en acheter un ou les deux.
La couverture responsabilité civile protège l’entreprise contre les dépenses liées à une violation, tandis que la couverture tiers offre une protection lorsqu’un fournisseur, un partenaire, un client ou une autre partie poursuit l’entreprise pour avoir permis une violation informatique, mettant ainsi leurs données à risque.
La cyberassurance a évolué, il est donc important de revoir toutes les politiques de l’entreprise et d’évaluer ce que l’assurance couvre, ce qu’elle ne couvre pas et le montant d’assurance dont l’entreprise a réellement besoin.
Mon entreprise a-t-elle besoin d’une cyber-assurance ?
Quelle que soit la taille de l’entreprise, elle a besoin d’une cyber-assurance si l’entreprise :
- Stocke des informations sensibles pour les clients ou les clients.
- Utilise des systèmes de point de vente.
- Fournit des services matériels ou logiciels.
- Stocke les données sur des ordinateurs ou dans le cloud.
La cyber-assurance est-elle la même chose que l’assurance contre la violation de données ?
Non, il y a un grande différence entre la cyberassurance et une assurance contre la violation de données. La cyber-assurance couvre le risque de cyber-incidents de première partie et de tiers, tandis que l’assurance contre la violation de données ne couvre que les dommages aux données.
Comment souscrire à une cyber-assurance
Tout type d’assureur considère le risque qu’il encourt lorsqu’il prend un client, et les cyber-assureurs ne sont pas différents. Les cybermenaces se multiplient et les cyberassureurs veulent savoir que les entreprises satisfont leurs contrôles de sécurité rigoureux pour répondre aux critères.
La demande de cyberassurance nécessite un examen minutieux de la gestion des risques et des contrôles de sécurité de l’entreprise, y compris les politiques et protocoles d’authentification multifacteur et de filtrage du contenu Web.
Les cyber-assureurs évaluent le cyber-risque à l’aide de divers facteurs, notamment la segmentation du réseau, la défense contre les logiciels malveillants, les privilèges administratifs et la gestion des accès. Peu importe les spécificités, ils recherchent tous des contrôles rigoureux et proactifs des risques de cybersécurité. Selon le secteur, l’entreprise peut être confrontée à différents critères de contrôle des risques ou de mesures de sécurité. Heureusement, prendre des mesures pour mettre en œuvre des protocoles et des contrôles augmente les chances que l’entreprise soit « assurable » et peut réduire les coûts d’assurance globaux.
Voici quelques considérations :
- Automatisez la gestion des mots de passe au lieu de vous fier à des méthodes manuelles.
- Mettez en œuvre une stratégie de moindre privilège pour vous assurer que les privilèges ne sont accordés que pour les activités requises dans un délai limité, plutôt que d’offrir un accès global.
- Faites pivoter, surveillez et auditez de manière proactive l’accès aux comptes privilégiés avec des solutions de gestion des accès privilégiés.
- Mettre en œuvre des contrôles de sécurité avec une authentification multifacteur pour vérifier identités des utilisateurs avant d’accorder ou d’élever un accès privilégié.
- Former les employés sur les cyber-risques, les protocoles de sécurité et les mesures de protection.
La cyberassurance ne cesse d’évoluer pour faire face aux nouvelles menaces et aux nouveaux risques. Tout comme la protection d’autres aspects de l’entreprise avec une police d’assurance, la cyberassurance donne aux entreprises la tranquillité d’esprit qu’elles sont couvertes contre l’impact négatif d’une violation, des appareils électroniques endommagés aux effets sur la réputation de la marque.
Avec l’évolution des demandes et la hausse des coûts de la cyberassurance, il est essentiel de maintenir des contrôles de sécurité pour rendre l’entreprise plus « assurable ». Des solutions comme la gestion des accès à privilèges offrent un avantage non négligeable et montrent que l’entreprise s’est protégée des menaces externes et internes.
Joseph Carson, scientifique en chef de la sécurité et CISO consultatif, Delinea
