L'assurance cyberrisque peut aider à transférer une partie du risque financier créé par un cyberincident. Elle n'élimine pas le risque opérationnel, ne restaure pas les systèmes à elle seule et ne garantit pas que chaque perte sera couverte. Les modalités des polices, les exclusions, les franchises, les sous-limites et les exigences de sécurité varient, donc les décisions de couverture doivent être prises avec un courtier ou un assureur qualifié.
Le point de départ utile est la preuve. Une entreprise devrait être en mesure d'expliquer ce qu'elle protège, quels contrôles sont en place et comment elle réagirait si ces contrôles échouaient.
1. Connaissez l'exposition de l'entreprise
Documentez les systèmes et renseignements qui causeraient le plus de tort s'ils devenaient indisponibles, inexacts ou exposés. Incluez le courriel d'entreprise, les systèmes financiers, les renseignements sur les clients et les employés, les plateformes infonuagiques, les applications opérationnelles et les fournisseurs critiques.
Estimez l'impact d'affaires d'une interruption d'une journée, de trois jours et d'une semaine. Il ne s'agit pas d'une prédiction. Cela donne à la direction et au courtier une vision plus claire de l'exposition à l'interruption des activités.
2. Confirmez les contrôles essentiels
Avant une demande ou un renouvellement, vérifiez que les éléments suivants sont réellement en place — et non simplement planifiés :
- La MFA est appliquée sur le courriel d'entreprise, l'accès à distance, les comptes administrateurs et les systèmes infonuagiques critiques.
- L'accès privilégié est limité et distinct de l'activité des utilisateurs ordinaires.
- Les anciens employés et les comptes inutiles sont retirés rapidement.
- Les systèmes pris en charge reçoivent des mises à jour de sécurité selon un calendrier défini.
- La protection et la surveillance des points de terminaison couvrent les appareils de l'entreprise.
- Les sauvegardes comprennent les renseignements critiques, sont protégées de l'environnement principal et ont été restaurées lors d'un test documenté.
- Les employés reçoivent une formation pratique sur l'hameçonnage et la fraude par paiement.
- Les changements de paiement ou de coordonnées bancaires exigent une vérification indépendante.
- Un plan de réponse aux incidents précise les décideurs, les contacts techniques, le soutien juridique et en protection de la vie privée, ainsi que les responsabilités de communication.
3. Préparez les preuves
Recueillez des preuves concises pouvant appuyer les réponses dans la demande : rapports de configuration de la MFA, dossiers de révision d'accès, résumés de correctifs, couverture des points de terminaison, résultats des tests de restauration, achèvement de la formation, contacts de réponse aux incidents et listes des fournisseurs clés.
Ne surestimez pas la maturité de vos contrôles. Une demande inexacte peut créer de sérieux problèmes lors d'une réclamation. Lorsqu'un contrôle est incomplet, documentez la lacune, la mesure provisoire, le responsable et la date cible.
4. Révisez la police comme un document opérationnel
Demandez au courtier d'expliquer ce que la police peut couvrir, ce qui est exclu, quels services sont offerts pendant un incident, qui doit être contacté et si un consentement est requis avant de faire appel à des spécialistes externes. Révisez séparément le rançongiciel, l'interruption des activités, la restauration des données, la réponse en matière de protection de la vie privée, le soutien juridique, la notification, l'ingénierie sociale et la fraude par virement de fonds; ils peuvent ne pas être traités de la même façon.
5. Maintenez la préparation à jour
La préparation à l'assurance devrait être révisée lorsque l'entreprise change — pas seulement au renouvellement. Une nouvelle acquisition, une migration infonuagique, un fournisseur majeur, un flux de paiement, une main-d'œuvre à distance ou un déploiement d'IA peuvent modifier le profil de risque.