Comment se préparer à une évaluation d’assurance cyber : ce que vérifient les souscripteurs et comment se qualifier

Les demandes d’assurance cyber ressemblaient autrefois à de la paperasse. Aujourd’hui, elles ressemblent bien davantage à un examen de sécurité. Un dirigeant ou un directeur des opérations qui renouvelle une police peut être interrogé sur l’authentification multifacteur (MFA), les sauvegardes, les contrôles d’accès, la formation du personnel, les correctifs, la réponse aux incidents et la gestion des mots de passe avant même qu’un assureur ne confirme les conditions.

Les souscripteurs veulent savoir quels contrôles sont en place, où ils s’appliquent, avec quelle constance ils sont appliqués et si l’entreprise peut le prouver. En effet, l’assurance cyber ne peut pas remplacer la cybersécurité. Elle complète les contrôles de sécurité, la planification des incidents, les processus de récupération et la gestion des risques dans le cadre de la gestion du risque cyber.

Pour les entreprises qui se préparent à demander ou à renouveler une assurance, voici ce qu’il faut savoir sur ce que les assureurs s’attendent à voir avant d’accepter de prendre le risque.

Ce que vérifient vraiment les souscripteurs d’assurance cyber

Les contrôles que la plupart des assureurs attendent

Une liste de contrôle pratique pour l’assurance cyber

Pourquoi les entreprises ont du mal à se qualifier

Comment le risque des PME influe sur les discussions avec les assureurs

Comment Proton Pass facilite la préparation à l’assurance cyber

Ce que vérifient vraiment les souscripteurs d’assurance cyber

Une évaluation d’assurance cyber vise à comprendre la probabilité qu’une entreprise subisse un incident cyber, la gravité que cet incident pourrait atteindre et la capacité de l’entreprise à récupérer.

Le souscripteur ne se contente pas de regarder ce que fait une entreprise ou le chiffre d’affaires qu’elle génère. Il veut aussi comprendre comment elle gère les accès, les identifiants, les données, les systèmes, les fournisseurs et la continuité. Une entreprise avec des contrôles d’administration faibles, aucune application de MFA et des sauvegardes non testées présente un profil de risque différent de celle qui peut montrer des politiques claires, des contrôles appliqués et des preuves de récupération.

C’est pourquoi les exigences des assureurs en matière d’assurance cyber portent souvent sur la sécurité opérationnelle. Les assureurs veulent savoir si les attaquants peuvent facilement entrer, si l’entreprise peut contenir les dommages et si les systèmes essentiels peuvent être restaurés sans payer de rançon ni rester hors ligne pendant des jours.

La souscription d’une assurance cyber peut impliquer un questionnaire détaillé, des questions de suivi, des demandes de preuves, des scans ou des appels avec des prestataires informatiques. Pour les petites entreprises, ce processus peut être difficile, surtout lorsque la sécurité n’a pas défini de processus formels.

Par exemple, il ne suffit pas de dire que votre entreprise utilise la MFA. Un assureur peut vouloir savoir où et comment la MFA est appliquée, si elle couvre les comptes administrateur et quelles applications critiques, le cas échéant, sont exclues. Une réponse plus solide est spécifique, documentée et étayée par des preuves.

Les contrôles que la plupart des assureurs attendent

Les exigences en matière d’assurance cyber varient selon le fournisseur, le type de police, la taille de l’entreprise et le profil de risque. Néanmoins, la plupart des évaluations recherchent désormais les mêmes signes de base : votre entreprise peut-elle prévenir les attaques courantes, limiter les dommages si un compte est compromis, se remettre d’une perturbation et prouver que les contrôles sont réellement en place ? Cela inclut souvent la façon dont votre entreprise gère les mots de passe. Une politique de mots de passe solide et un gestionnaire de mots de passe d’entreprise sécurisé figurent parmi les meilleures pratiques de gestion des mots de passe les plus efficaces que vous pouvez mettre en place.

MFA

C’est l’un des premiers contrôles que recherchent les assureurs, car de nombreux sinistres découlent d’une utilisation abusive des identifiants. Il pourra vous être demandé si la A2F est activée pour les e-mails, les VPN, l’accès à distance, les plateformes cloud, les gestionnaires de mots de passe et d’autres applications critiques.

L’évaluation peut également aller plus loin, en demandant si la MFA est appliquée à tous les utilisateurs, uniquement à certains systèmes ou seulement aux comptes administrateur, et comment cette application fonctionne réellement.

Il y a une différence entre la disponibilité de la MFA et son caractère obligatoire : un souscripteur voudra savoir si elle est appliquée, si elle est configurée au niveau du fournisseur d’identité ou application par application, et ce qui se passe lorsque quelqu’un échoue ou contourne l’invite.

Une réponse plus solide montre où la MFA est requise, quelles applications sont couvertes, comment elle est appliquée et comment les exceptions sont approuvées et examinées.

Protection des comptes administrateur et privilégiés

Les assureurs veulent également comprendre comment votre entreprise protège les comptes disposant d’un accès élevé. Les comptes administrateur peuvent modifier les paramètres, créer des utilisateurs, accéder à des données sensibles, désactiver des contrôles de sécurité ou se déplacer entre les systèmes, ce qui les rend particulièrement précieux pour les attaquants.

Il peut être demandé aux entreprises si l’accès administrateur est limité à des personnes spécifiques, examiné régulièrement, protégé par la MFA et séparé des comptes utilisateur ordinaires. Les preuves peuvent inclure des politiques d’accès, des listes d’utilisateurs, des autorisations basées sur les rôles et des journaux qui montrent l’activité privilégiée.

Sauvegardes et préparation à la récupération

Les sauvegardes sont importantes car les assureurs ne se limitent pas à la prévention. Ils veulent aussi savoir à quelle vitesse votre entreprise peut récupérer. Si une attaque par rançongiciel, une suppression accidentelle ou une panne système affecte votre entreprise, l’assureur veut savoir si elle peut récupérer sans payer de rançon ni perdre de données critiques.

Cela signifie généralement disposer de sauvegardes régulières, protégées contre les accès non autorisés et testées. Il ne suffit pas de dire que des sauvegardes existent. Vous devez être prêt à montrer ce qui est sauvegardé, à quelle fréquence les sauvegardes sont effectuées, où elles sont stockées, qui peut y accéder et quand la restauration a été testée pour la dernière fois.

Sécurité des points de terminaison et de la messagerie

De nombreuses attaques commencent par la boîte de réception ou l’appareil d’un employé, c’est pourquoi les assureurs interrogent souvent sur la protection des points de terminaison et de la messagerie. Cela peut inclure des antivirus, la détection sur les points de terminaison, le filtrage des spams, la protection contre l’hameçonnage et des contrôles qui bloquent les pièces jointes, les liens ou les tentatives de connexion suspectes.

Pour la messagerie en particulier, les assureurs peuvent également demander si votre domaine utilise l’authentification des e-mails (SPF, DKIM et DMARC) pour empêcher les attaquants d’usurper l’adresse de votre entreprise.

Pour les petites entreprises, cela peut être géré par un prestataire informatique ou via des fonctionnalités intégrées aux outils qu’elles utilisent déjà. L’important est de pouvoir expliquer quelle protection est active, quels appareils et comptes sont couverts et comment les alertes ou incidents sont traités.

Gestion des correctifs

Les logiciels obsolètes offrent aux attaquants un chemin plus facile vers les systèmes d’entreprise. C’est pourquoi les assureurs peuvent demander à quelle vitesse votre entreprise applique les mises à jour de sécurité aux systèmes d’exploitation, navigateurs, applications, serveurs et autres logiciels critiques.

Ils peuvent également demander si les mises à jour sont automatiques, examinées manuellement ou gérées par un prestataire informatique externe. Une réponse plus solide explique qui est responsable de la gestion des correctifs, comment les mises à jour sont suivies et comment l’entreprise traite les vulnérabilités urgentes.

Formation des employés à la sécurité

Les assureurs savent que les employés sont souvent ciblés par l’hameçonnage, l’ingénierie sociale, de fausses factures, des liens malveillants et le vol d’identifiants.

Une formation régulière à la sensibilisation à la sécurité aide à réduire cette exposition, et la sensibilisation à l’hameçonnage en particulier cible le type d’attaque à l’origine de la plupart des sinistres liés aux identifiants. Néanmoins, l’évaluation peut exiger plus qu’une simple déclaration selon laquelle les employés sont formés.

Les entreprises peuvent devoir montrer à quelle fréquence la formation a lieu, ce qu’elle couvre, si les nouveaux employés bénéficient d’une intégration et si le personnel sait comment signaler une activité suspecte. Une formation pratique et récurrente est plus utile qu’une session unique que personne ne revoit.

Planification de la réponse aux incidents

Un plan de réponse aux incidents écrit montre que votre entreprise sait quoi faire en cas de problème. Les assureurs peuvent demander si votre entreprise dispose d’un processus documenté pour identifier, signaler, contenir et escalader les incidents de sécurité.

Le plan doit indiquer clairement qui est responsable, qui doit être contacté, comment les preuves sont conservées et comment l’entreprise communique avec les employés, les fournisseurs, les clients, les conseillers juridiques ou les autorités de régulation en cas de besoin. Même un plan simple vaut mieux que de compter sur l’improvisation en situation de crise.

Contrôles d’accès des tiers

Les fournisseurs, sous-traitants, agences, prestataires informatiques et partenaires logiciels peuvent introduire des risques lorsqu’ils ont accès aux systèmes ou aux données de l’entreprise. Les assureurs peuvent demander si l’accès des tiers est limité, examiné et supprimé lorsqu’il n’est plus nécessaire.

Ils peuvent également rechercher la MFA sur les comptes fournisseurs, des identifiants distincts pour les utilisateurs externes et un processus clair d’approbation des accès. L’entreprise doit pouvoir montrer qui a accès, à quoi ces personnes ont accès, pourquoi elles en ont besoin et quand cet accès a été examiné pour la dernière fois.

Une liste de contrôle pratique pour l’assurance cyber

Avant de commencer une demande d’assurance cyber ou un renouvellement, votre entreprise doit rassembler des preuves que ses contrôles de sécurité ne sont pas seulement prévus, mais déjà opérationnels. Les souscripteurs ne s’attendent pas à ce que chaque petite entreprise dispose d’une documentation de niveau entreprise. Mais ils attendent des réponses claires, des pratiques cohérentes et des preuves que l’entreprise peut expliquer comment les accès, la récupération, la formation et la réponse aux incidents sont gérés.

Une liste de contrôle ne garantira pas une couverture ni des primes plus basses, mais elle peut rendre votre évaluation plus efficace, réduire les allers-retours et aider l’entreprise à entamer le processus de souscription avec des réponses plus solides.

Liste de contrôle de préparation à l’assurance cyber

MFA

Preuves à préparer : Liste des systèmes où la MFA est appliquée, y compris la messagerie, les applications cloud, l’accès à distance, les comptes administrateur et toute exception documentée.

Gestion des mots de passe

Éléments à préparer : politique relative aux gestionnaires de mots de passe, registres d’adoption par les utilisateurs, structure des coffres-forts partagés, paramètres d’administration et rapports montrant les mots de passe faibles, réutilisés ou exposés.

Sauvegardes

Éléments à préparer : calendrier des sauvegardes, emplacement de stockage, contrôles d’accès, politique de conservation et date du dernier test de restauration.

Plan de réponse aux incidents

Éléments à préparer : plan de réponse écrit, contacts d’escalade, rôles internes, étapes de signalement et tout récent exercice de simulation ou examen du plan.

Registres de formation

Éléments à préparer : dates des formations à la sécurité, registres de présence, supports d’intégration, contenus de sensibilisation à l’hameçonnage et instructions de signalement pour les employés.

Gestion des correctifs

Éléments à préparer : politique de correctifs, journaux de mise à jour, liste des systèmes couverts, informations sur les responsables et registres de remédiation des vulnérabilités urgentes.

Examen des accès privilégiés

Éléments à préparer : liste des utilisateurs administrateurs, autorisations basées sur les rôles, registres d’examen des accès, statut de l’authentification multifacteur (MFA) des comptes privilégiés et documentation de départ.

Pourquoi les entreprises peinent à se qualifier

Les entreprises ont souvent du mal avec la cyberassurance, car la demande met au jour des lacunes que les opérations quotidiennes peuvent masquer. Une entreprise peut avoir activé la MFA sur certains systèmes, mis en place des sauvegardes, un prestataire informatique joignable et des employés qui connaissent les bases de l’hameçonnage. Mais les assureurs recherchent une cohérence à l’échelle de l’entreprise : où les contrôles sont appliqués, qui en est responsable, à quelle fréquence ils sont examinés et quels éléments probants étayent chaque réponse.

C’est particulièrement difficile pour les petites entreprises qui ont renforcé leur sécurité progressivement, sans documentation formelle. Les accès peuvent être accordés via différents systèmes, des identifiants partagés peuvent encore se trouver dans des feuilles de calcul au lieu d’un gestionnaire de mots de passe d’équipe sécurisé, les sauvegardes peuvent ne pas avoir été testées récemment et les formations à la sécurité peuvent se faire de manière informelle.

Aucun de ces problèmes ne signifie automatiquement qu’une entreprise ne peut pas être assurée, mais ils peuvent entraîner des retards, des exclusions, des primes plus élevées ou des questions de suivi lors de la souscription.

Les dossiers les plus solides ne sont généralement pas ceux qui présentent les programmes de sécurité les plus complexes. Ce sont ceux qui peuvent montrer clairement comment fonctionnent les contrôles essentiels, où se situent les lacunes restantes et ce que l’entreprise fait pour les combler.

Comment le risque des PME influence les conversations avec les assureurs

Les assureurs s’intéressent aux contrôles, car les petites et moyennes entreprises ne sont pas invisibles aux yeux des attaquants. Le rapport sur la cybersécurité des PME⁠ de Proton a révélé qu’une PME sur quatre a été victime d’une fuite de données l’an dernier, malgré des mesures de cybersécurité en place. Le rapport pointe également l’erreur humaine, les politiques de sécurité incohérentes et le manque de contrôle des données parmi les causes principales.

De nombreuses entreprises abordent leur demande de cyberassurance avec des mesures de sécurité déjà en place, mais l’évaluation montre souvent si ces mesures sont cohérentes, à jour et faciles à prouver. La MFA peut protéger certains comptes, mais pas d’autres. Les sauvegardes peuvent s’exécuter comme prévu, sans test de restauration récent à l’appui. Les accès administrateur peuvent s’être élargis à mesure que l’entreprise s’est développée, sans registre clair de ceux qui en ont encore besoin.

Pour la direction des opérations ou la direction de l’entreprise, cet examen peut être utile avant même l’émission de la police d’assurance. Il transforme les suppositions du quotidien en éléments probants précis : listes d’accès, registres de sauvegarde, couverture MFA, pratiques en matière de mots de passe, politiques documentées et lacunes connues. Au lieu de se fier à ce que les gens croient qu’il se passe, l’entreprise obtient une vision plus claire du fonctionnement réel de ses contrôles.

Vu sous cet angle, l’évaluation n’est pas seulement un obstacle à la couverture. Elle peut aider l’entreprise à identifier les faiblesses qui compteraient le plus lors d’une fuite de données, et à les corriger avant qu’elles ne deviennent plus difficiles, plus coûteuses ou plus perturbatrices à traiter.

Comment Proton Pass favorise la préparation à la cyberassurance

Les évaluations de cyberassurance examinent l’entreprise dans son ensemble, notamment les sauvegardes, les correctifs, la réponse aux incidents, la formation des employés, la sécurité du réseau et le risque lié aux fournisseurs. Un gestionnaire de mots de passe ne peut pas répondre à lui seul à toutes les exigences, mais il peut renforcer l’un des domaines que les assureurs examinent de près : la façon dont votre entreprise assure la gestion des identifiants et des accès.

Un gestionnaire de mots de passe d’entreprise comme Proton Pass for Business⁠ aide les équipes à remplacer les habitudes de mots de passe peu sûres par un système plus contrôlé. Les employés peuvent créer et stocker des mots de passe uniques dans des coffres-forts de mots de passe chiffrés de bout en bout, utiliser le remplissage automatique pour réduire la réutilisation, gérer les clés d’accès et partager des identifiants en toute sécurité sans dépendre des courriels, des feuilles de calcul, des fils de discussion ou des mots de passe enregistrés dans le navigateur.

L’authentification à deux facteurs intégrée aide aussi les équipes à conserver les mots de passe et les codes de vérification dans un même flux de travail sécurisé, au lieu de disperser les accès entre différentes applications et appareils personnels, ce qui ajoute des frictions et pousse les personnes à recourir à des raccourcis.

En tant que gestionnaire de mots de passe pour les équipes informatiques, Proton Pass apporte la visibilité et le contrôle nécessaires pour faciliter l’application de ces pratiques. Les équipes peuvent configurer les exigences en matière de mots de passe, appliquer les politiques A2F, gérer les accès aux coffres-forts, attribuer des autorisations basées sur les rôles, provisionner les utilisateurs avec SCIM, prendre en charge l’authentification unique (SSO) et utiliser les journaux pour les examens de conformité ou de réponse aux incidents. Ces fonctionnalités peuvent aider à répondre aux questions courantes de souscription concernant la MFA, la gestion des mots de passe, les identifiants partagés, les accès privilégiés, l’intégration, le départ et les examens des accès.

La demande de cyberassurance globale nécessitera toujours une documentation pour le reste du programme de sécurité. Mais pour la partie de l’évaluation consacrée aux identifiants, Proton Pass peut aider votre entreprise à fournir une réponse plus claire : qui a accès, comment les identifiants sont protégés, comment le partage est contrôlé et quels éléments probants sont disponibles lorsqu’un souscripteur pose la question.

Cochez toutes les cases de la cyberassurance avec un gestionnaire de mots de passe d’entreprise⁠.