Assurance cyber pour les PME à Marseille

Les trois attaques que l'on rencontre vraiment

Le sujet est saturé de chiffres alarmants dont personne ne cite jamais la source. Nous n'en publierons aucun. Ce que nous pouvons décrire, en revanche, c'est ce qui revient dans les dossiers et dans les questionnaires de souscription : trois scénarios, toujours les mêmes, et qui n'exigent aucune compétence particulière de leurs auteurs.

• Le rançongiciel. Les fichiers sont chiffrés, les sauvegardes connectées au réseau le sont aussi, et une demande de paiement s'affiche. L'entreprise n'est pas visée personnellement : elle a simplement laissé une porte ouverte sur Internet. C'est l'attaque qui arrête l'activité le plus brutalement.
• La fraude au virement, dite fraude au président ou au faux fournisseur. Personne n'entre dans le système : on se contente d'imiter un dirigeant ou de faire changer un RIB par courriel, et c'est l'entreprise elle-même qui exécute le virement. Voir la section suivante : le traitement assurantiel n'est pas le même.
• L'exfiltration de données. Rien ne s'arrête, rien ne s'affiche — les données sont simplement copiées. Fichier clients, dossiers de santé, données de paie, coordonnées bancaires. C'est l'attaque qui déclenche des obligations immédiates envers les personnes concernées, et qui expose le plus à la mise en cause par des tiers.

Pourquoi la fraude au virement n'est pas toujours un sinistre cyber

C'est la confusion la plus fréquente, et elle se règle avant de signer, jamais après. Une police cyber répond à une atteinte aux systèmes d'information. Or, dans une fraude au virement classique, il n'y a aucune intrusion : un salarié de bonne foi, manipulé par téléphone et par courriel, exécute lui-même une opération régulière en apparence.

La bonne question à poser à son assureur n'est donc pas « suis-je couvert contre la fraude au président ? » mais « sous quelle garantie, à quel plafond, et sous quelle condition de procédure ? ». Les trois réponses figurent dans les conditions particulières.

Ce que couvre réellement une police cyber

Un contrat cyber n'est pas une garantie unique mais trois ensembles qui se déclenchent à des moments différents.

Le troisième bloc est le plus sous-estimé : l'attaque est réglée, l'activité a repris, et la mise en cause arrive longtemps après, lorsque les personnes dont les données ont fuité en tirent les conséquences. Sur ce terrain, la logique rejoint celle de la responsabilité civile professionnelle, avec la même mécanique de réclamation différée.

Le trou entre la multirisque et la perte d'exploitation

Beaucoup de dirigeants pensent le risque déjà couvert. Il l'est très partiellement, et le raisonnement mérite d'être posé une fois pour toutes.

• La multirisque professionnelle assure des biens. Elle indemnise un poste de travail détruit par un incendie ou emporté lors d'un cambriolage. Elle ne connaît pas la donnée, qui n'est pas un bien matériel.
• La perte d'exploitation classique est conditionnée à un dommage matériel garanti. Un serveur chiffré est intact : il fonctionne, il est simplement devenu illisible. La garantie ne s'ouvre pas.

La cellule de crise : le vrai produit

Sur ce contrat, l'indemnisation n'est pas ce que l'on achète en premier. Ce que l'on achète, c'est un numéro à appeler à trois heures du matin et des spécialistes qui décrochent — techniciens de réponse à incident, juristes, parfois conseil en communication.

La raison est simple : les décisions déterminantes se prennent dans les deux premières heures, par des gens qui n'y ont jamais été confrontés. Faut-il débrancher ou isoler ? Redémarrer, au risque d'effacer les traces qui permettront de comprendre ? Restaurer une sauvegarde qui contient peut-être déjà le programme malveillant ? Qui prévenir, et dans quel ordre ? Chacune de ces questions a une bonne réponse, et l'improvisation trouve rarement la bonne.

La notification d'une fuite de données

Dès qu'une violation de données personnelles est susceptible de créer un risque pour les personnes concernées, l'entreprise doit en informer l'autorité de contrôle, et le délai court sans interruption, week-ends et jours fériés inclus : soixante-douze heures à compter du moment où elle en a eu connaissance. Une intrusion découverte un vendredi soir doit être notifiée avant le lundi soir. Si le risque pour les personnes est élevé, celles-ci doivent également être informées.

Cette obligation prend de court les structures qui n'ont pas de direction juridique : il faut, en pleine crise technique, qualifier la violation, mesurer le risque, rédiger une notification et documenter le raisonnement — y compris quand on conclut qu'il n'y a pas lieu de notifier, cette décision devant elle aussi être motivée et conservée.

C'est l'une des prises en charge les plus concrètes du contrat : l'accompagnement juridique de cette démarche fait partie des frais de réponse, et le compte à rebours commence bien avant que l'on ait compris ce qui s'est passé.

La question de la rançon

Autant l'aborder franchement, puisque c'est la première question posée. Aucun assureur ne conseille de payer. L'expérience de ceux qui l'ont fait est constante : le paiement n'achète ni la restitution complète des données, ni la certitude qu'elles ne seront pas diffusées, ni l'assurance de ne pas être visé de nouveau.

Dans les faits, la valeur du contrat se joue ailleurs : dans la capacité à repartir d'une sauvegarde saine sans avoir à négocier avec qui que ce soit. C'est pourquoi les assureurs regardent les sauvegardes avant tout le reste.

Ce que vous signez dans le questionnaire

Le contrat cyber a une particularité qu'il faut avoir en tête : il repose sur un questionnaire de souscription détaillé, portant sur des mesures techniques que le dirigeant ne maîtrise pas toujours lui-même. Or ce questionnaire est une déclaration du risque, au même titre que le kilométrage annoncé sur un contrat automobile.

Notre pratique sur ce point est simple : le questionnaire se remplit avec le prestataire informatique, jamais de mémoire. Quand l'entreprise n'a pas de prestataire, c'est déjà une information en soi, et le rendez-vous sert d'abord à faire l'inventaire de ce qui existe.

Les entreprises marseillaises concernées

Deux profils reviennent nettement plus souvent que les autres dans nos rendez-vous, et pour des raisons opposées.

Les professions de santé et les cabinets libéraux. L'écosystème marseillais est dense, et ces structures traitent la catégorie de données la plus sensible qui soit. Un cabinet de trois praticiens détient un fichier patients dont la fuite déclenche à la fois des obligations envers les personnes concernées et une exposition à leur mise en cause — pour une organisation qui ne dispose ni de service informatique ni de service juridique.

Les entreprises dont l'activité passe par un échange de données permanent. Transport, transit, logistique, négoce : les métiers du port travaillent en flux avec des systèmes d'échange, des douanes, des donneurs d'ordre. L'arrêt d'un système y arrête la marchandise, pas seulement les écritures — un point que nous traitons aussi côté marchandises sur nos pages commissionnaire et transitaire et entrepôt et logistique.

Un troisième cas, plus discret, mérite d'être signalé : les entreprises qui ont externalisé leur informatique et qui en concluent que le risque l'est aussi. Le contrat qui les lie à leur prestataire comporte presque toujours des limitations de responsabilité, et l'obligation de notifier une fuite reste celle de l'entreprise, pas celle du prestataire.

Trois situations qui reviennent

Les trois situations qui suivent sont des exemples pédagogiques, pas des dossiers de l'agence. La section sur les attaques décrivait ce qui arrive ; celles-ci décrivent ce qui se passe ensuite, une fois qu'il faut ouvrir le contrat.

Ces trois cas se règlent avant la signature, pas après le sinistre : la définition du déclencheur, la présence d'une garantie fraude et l'exactitude du questionnaire. Nous les reprenons point par point en rendez-vous, contrat en main.

Ce qui fait varier le prix

Comme ailleurs sur ce site, aucun montant n'est affiché : sur le cyber, un ordre de grandeur serait d'autant plus trompeur que deux entreprises de même taille peuvent être classées très différemment selon leur seul niveau de sécurité. Les critères qui pèsent :

• le chiffre d'affaires et l'effectif, qui donnent l'échelle ;
• l'activité et la nature des données traitées — les données de santé et bancaires ne sont pas cotées comme un fichier de prospects ;
• le niveau de sécurité constaté, qui est ici le critère le plus discriminant ;
• la dépendance aux systèmes : une activité qui s'arrête totalement sans informatique n'est pas notée comme une activité qui peut tourner en mode dégradé ;
• les montants de garantie et la franchise retenus ;
• les extensions souscrites, la fraude au virement en premier lieu ;
• les incidents antérieurs, y compris ceux sans conséquence.

C'est l'un des rares contrats où l'effort de prévention se lit immédiatement sur la prime — et parfois sur la possibilité même d'être garanti. Une entreprise sans sauvegarde hors ligne peut se voir refuser la couverture avant même qu'on parle de prix.

FAQ — 10 questions sur l'assurance cyber