Management global des risques - Gestion et communication de crise

Les assurances contre le cyber-risque proposent aujourd'hui des garanties en mesure de couvrir tous les aspects du risque informatique : responsabilité civile, pertes d'exploitation, coûts de l'intervention technique interne ou externe, dommages-intérêts dus aux clients, frais de notification, gestion de la communication de crise, etc., causés par un acte malveillant, une erreur ou un accident. Seule cause exclue des garanties : le terrorisme. Mais qu'est-ce qui relèverait du cyber-terrorisme pour une assurance ? La question ne s'est encore jamais posée.  

Certains assureurs ont une approche globale de la cybersécurité, comme Axa, qui a lancé son contrat en octobre 2013 mais propose depuis deux ans une offre de conseil en gestion du risque "cyber", en partenariat avec Cassidian. L'objectif est de proposer une cartographie globale du risque, et de l'accompagner d'un conseil en amont portant sur la réduction du risque. Ce qui permet à l'assureur de rendre le risque plus assurable, et de construire des offres sur-mesure.

Des cyberattaques qui se multiplient et s'intensifient, des entreprises encore très peu protégées contre ces risques… Les conditions semblent réunies pour favoriser l'essor de la cyberassurance. La venue récente d'AXA sur ce marché occupé par des acteurs anglo-saxons ou américains est une preuve de son potentiel. « Le "cyber-risk" est bien plus important que tout le monde ne l'imagine. Ce sera une grande ligne d'activité dans le futur », affirmait la semaine dernière Philippe Derieux, directeur général délégué d'AXA Global P&C et directeur de la réassurance du groupe, lors d'une rencontre avec la presse. D'après un rapport publié lundi par le Center for Strategic and International Studies, la cybercriminalité coûterait ainsi 445 milliards de dollars par an (327 milliards d'euros) à l'économie mondiale en termes de croissance, d'innovation et de compétitivité.

Interrogés sur l’élément de plus important en matière de prévention, les intervenants ont insisté, bien avant la mise en place de solutions de sécurité, sur la bonne gouvernance. Il faut d’abord et avant tout s’être préparé à une cyberattaque, avec par exemple des backups fréquents et régulièrement testés des données et systèmes sensibles. Le vrai sujet est en effet la capacité à rebondir en cas de sinistre majeur.

Ils ont également insisté sur la distinction entre ce qui peut attendre et ce qui mérite l’urgence, comme l’aide à la communication de crise, qui doit pouvoir s’appuyer sur des experts disponible en quelques heures, même la nuit et le week-end,

Un auditeur a demandé s’il pouvait y avoir refus de couverture en cas de défaut dans le déploiement correct de solutions de sécurité. Sur ce point, les intervenants ont été très clair: la couverture s’applique quand même, très généralement, dans la mesure où il est souvent difficile de déterminer avec certitude à postériori que telle ou telle mesure aurait effectivement été capable de bloquer l’attaque. Il est donc dans la nature de ces polices d’assurances de couvrir ce type de risque.

Interrogés sur les technologies pouvant faire la différence pour la prévention de la perte de données sensibles, les intervenants ont cité le chiffrement comme étant « un point discriminant sur l’appréciation des risques ».