[Gestion des risques] Assurance des cyber-risques: quelle couverture adopter ?

Manque de recul sur les cyber-risques

"La nature évolutive des risques fait que nul, aujourd'hui, ne peut connaître leur prix réel", déclare Jean-Marc Sarter. Les assureurs manquant de recul statistique sur le cyber-risque, il s'ensuit de grandes amplitudes tarifaires entre les compagnies. Pour définir son besoin de couverture, l'entreprise doit établir une cartographie de ses risques cyber. "Idéalement, le contrat d'assurance souscrit doit reposer sur une étude qui comprend la cartographie des risques, l'analyse des vulnérabilités, des moyens de prévention pragmatiques mis en oeuvre pour y remédier, une classification des données, précisant leurs moyens de protection, des tests d'intrusion réalisés pour détecter les failles...", précise Alain Depiquigny. Une démarche qui, dans l'idéal, sera menée par une entreprise d'audit en sécurité informatique. Des méthodes spécifiques d'analyse des risques telles que Méhari, Ebios ou Octave, permettent une analyse rationnelle de la sécurité des SI au regard des normes ISO. Pour l'assureur, la première base d'analyse sera le questionnaire initial rempli par le prospect, qui détaille la composition du SI, les habitudes des utilisateurs, mais aussi des systèmes de sécurité existants. La souscription sera actualisée chaque année au regard des statistiques des sinistres ou de l'évolution prévisible des risques, évaluée via un questionnaire, un audit ou la visite d'un inspecteur. Car comme le rappelle Alain Depiquigny, "l'assurance cyber n'est pas l'alternative à la prévention/protection du SI, mais son complément."

Quelques solutions d'assurance des cyber-risques

AIG a déployé avec CyberEdge une solution complète de ­gestion des cyberrisques, incluant le conseil et la ­prévention, l'assurance et la mise en place d'une équipe de gestion de crise. Le groupe Chubb, fusionné il y a un an avec ACE, effectue en amont une analyse du SI de l'entreprise cliente afin de proposer une protection adaptée contre les risques informatiques matériels et immatériels. Ses offres s'adressent particulièrement aux mutuelles, sites de vente en ligne, industries, services publics, médias... Allianz, Axa et XL Catlin proposent également des polices adaptées aux besoins des grands comptes.