L’assurance cyber est devenue un élément important de la gestion des risques d’entreprise, mais elle reste souvent mal comprise. Elle ne remplace ni les contrôles de sécurité, ni la capacité de réponse aux incidents, ni la gouvernance, ni la résilience opérationnelle. Elle transfère une partie du risque financier, sous réserve d’exclusions, de conditions, de plafonds et d’exigences de preuve.
Le marché de l’assurance cyber a nettement mûri. Les assureurs attendent de plus en plus des organisations qu’elles démontrent des contrôles de base solides avant d’offrir une couverture significative. Les domaines couramment examinés incluent l’authentification multifacteur, la détection et la réponse sur les postes de travail, la résilience des sauvegardes, la gestion des vulnérabilités, les contrôles des accès à privilèges, la planification de la réponse aux incidents, la sensibilisation à la sécurité, la sécurité de la messagerie et la gestion du risque tiers.
C’est une évolution positive. L’assurance devrait renforcer de bonnes pratiques de sécurité. Elle ne devrait pas créer un faux sentiment de protection.
Les organisations devraient considérer l’assurance cyber comme une couche d’une stratégie de résilience plus large. La police doit être revue en parallèle du plan de réponse aux incidents, du circuit d’escalade juridique, de l’approche de communication de crise, du plan de continuité d’activité et des obligations de notification réglementaire.
Les dirigeants doivent aussi comprendre ce qui est couvert, ce qui est exclu, quand l’assureur doit être notifié, quels prestataires doivent être utilisés, et comment les preuves nécessaires aux réclamations seront recueillies pendant un incident.
Message clé : L’assurance cyber peut soutenir la reprise, mais elle ne peut ni restaurer la confiance, ni reconstruire les opérations, ni remplacer une gestion disciplinée du risque cyber.
