MAJ 16/11/2022 Problème de cyberécurité pour les compagnies d'assurance.

Informations sur les pannes informatiques destinés aux particuliers et aux entreprises.

Billet

La crise sanitaire et le covid-19 a accéléré la transformation numérique du secteur des assurances. Cependant, l'aube du stockage de données dans le cloud, personne n'est à l'abri des nouvelles erreurs et/ou attaques.

Problème de cyberécurité pour les compagnies d'assurance.jpg, déc. 2021
Problème de cyberécurité pour les compagnies d'assurance.

Mais cette transformation n'est pas sans risque. Selon une étude du géant de l'industrie de la défense Thales en 2021, 40% des entreprises auraient subi une violation de leurs données dans le cloud au cours des douze derniers mois. Mais la sécurité informatique est un point crucial pour l'assurance. En fait, les entreprises du secteur disposent d'un secteur d'opérateur de services substantiel (OSE). En conséquence, ils ont l'obligation de se protéger plus efficacement contre les cyberattaque. "Lorsque les compagnies d'assurance utilisent des fournisseurs pour leurs solutions cloud ou leur logement de leurs données, ils ne sont pas déchargés de leurs responsabilités, Jean-Paul Frague, vice-président de ACPR, dans nos colonnes de nos colonnes. En juillet dernier. En juillet. L'échelle de Les activités critiques soumises à une notification obligatoire à l'ACPR ont été étendues aux TIC (technologies de l'information et de la communication). L'entrepreneur, c'est-à-dire que la compagnie d'assurance doit veiller à ce que le sous-traitant réponde aux mêmes exigences de sécurité. "
Depuis peu en France, il est possible pour une entreprise ou un particulier de se mettre en relation avec un prestataire local spécialisé suite à une attaque de ransomware via la plateforme en ligne Cybermalveillance.gouv.fr. En plus avec la multiplication des attaques de ce type, la réglementation risque de se durcir ces prochaines années. La menace des ransomwares Un ransomware est un logiciel malveillant prenant les données en otage et demandant une rançon pour le décryptage.

La rançon de 20 000 € sera-t-elle couverte par votre police d'assurance multirisques dommage ou par votre contrat d’assurance RC ? La réponse est très certainement négative, les polices d'assurance dommage et RC offrant une couverture limitée pour les dommages causés aux données par des virus informatiques et excluant systématiquement le paiement des rançons en cas d’attaque subie par ransomware. Cyber assurance contre les cyber-extorsions Couvertures assurance offertes L’assurance cyber extorsion est une garantie proposée dans de nombreux contrats d’assurance cybercriminalité.

La rançon de 20 000 € sera-t-elle couverte par votre police d'assurance multirisques dommage ou par votre contrat d’assurance RC ? La réponse est très certainement négative, les polices d'assurance dommage et RC offrant une couverture limitée pour les dommages causés aux données par des virus informatiques et excluant systématiquement le paiement des rançons en cas d’attaque subie par ransomware. Cyber assurance contre les cyber-extorsions Couvertures assurance offertes L’assurance cyber extorsion est une garantie proposée dans de nombreux contrats d’assurance cybercriminalité.

> CLIQUEZ ICI POUR UNE SOLUTION DE SAUVEGARDE << Depuis peu en France, il est possible pour une entreprise ou un particulier de se mettre en relation avec un prestataire local spécialisé suite à une attaque de ransomware via la plateforme en ligne Cybermalveillance.gouv.fr. En plus avec la multiplication des attaques de ce type, la réglementation risque de se durcir ces prochaines années. La menace des ransomwares Un ransomware est un logiciel malveillant prenant les données en otage et demandant une rançon pour le décryptage.

permettent la publication de rapport utiles pour la compréhension de la cybercriminalité. Conclusion Devriez-vous souscrire une cyber assurance afin de vous protéger contre les attaques par ransomware ? La mise en place d’un contrat dédié aux cyberattaques ne vous protégera pas contre les attaques menées par des cybercriminels mais vous permettra d’amortir l’impact financier de cette attaque. L’étude préalable peut être réalisée par un courtier spécialisé en cyber assurance, qui s’assurera du périmètre à assurer, de la limite de garantie nécessaire

La plupart des polices limitent la couverture aux menaces qui se produisent pendant la période de validité de la police. Certains contrats plus favorables stipulent que l'extorsion doit être découverte pendant la période de validité du contrat. Ransomware ou rancongiciels : comment limiter les risques ? Conseils cyber sécurité face aux ransomware Voici quelques mesures que vous et vos employés pouvez prendre pour éviter d'être victimes de cyber-extorsion. - Protégez votre système informatique à l'aide d'un pare-feu et d'un logiciel antivirus et d'analyse du courrier électronique.

Le gouvernement s'attaque au sujet de la cyber-assurance. Suite à la publication d'un rapport de la direction générale du Trésor, le ministère de l’Économie et des Finances propose d'inscrire dans un cadre réglementaire la possibilité pour les entreprises d'être indemnisées en cas d'attaque par ransomware. Un nouveau cadre réglementaire pour la cyber-assurance La cyber-assurance est un sujet qui divise depuis quelques années. Certains assureurs avaient même décidé de jeter l'éponge. En mai 2021, l'assureur a annoncé ne plus vouloir indemniser les attaques par ransomwares.

Il menace ensuite de révéler des détails scandaleux sur vos clients à un tabloïd, à moins que vous ne lui versiez 10 000 dollars. Attaque par Ransomware Ransomware ou rançongiciel : mieux comprendre. Cette forme de cyber attaque connait un renouveau récent un peu partout dans le monde, touchant de plus en plus d’entreprises. Un logiciel malveillant de type cryptolocker bloque l'accès aux données en chiffrant les données de l’organisation. Pour reprendre le contrôle de l'appareil ou des données, la victime doit verser à l'auteur une somme d'argent (la rançon) en l’échange d’une clé de déchiffrement.

Le gouvernement s'attaque au sujet de la cyber-assurance. Suite à la publication d'un rapport de la direction générale du Trésor, le ministère de l’Économie et des Finances propose d'inscrire dans un cadre réglementaire la possibilité pour les entreprises d'être indemnisées en cas d'attaque par ransomware. Un nouveau cadre réglementaire pour la cyber-assurance La cyber-assurance est un sujet qui divise depuis quelques années. Certains assureurs avaient même décidé de jeter l'éponge. En mai 2021, l'assureur a annoncé ne plus vouloir indemniser les attaques par ransomwares.

Un rançongiciel ou ransomware peut infecter pratiquement tout type d'ordinateur, y compris les ordinateurs de bureau, les ordinateurs portables, les tablettes et les smartphones. Un utilisateur d'ordinateur peut télécharger involontairement un logiciel malveillant en cliquant sur une publicité contextuelle, en ouvrant une pièce jointe de courriel infectée ou en cliquant sur un lien dans un email ou sur un site web compromis. L'une des raisons pour lesquelles la cyber-extorsion a proliféré est l'essor des monnaies numériques comme le bitcoin.

permettent la publication de rapport utiles pour la compréhension de la cybercriminalité. Conclusion Devriez-vous souscrire une cyber assurance afin de vous protéger contre les attaques par ransomware ? La mise en place d’un contrat dédié aux cyberattaques ne vous protégera pas contre les attaques menées par des cybercriminels mais vous permettra d’amortir l’impact financier de cette attaque. L’étude préalable peut être réalisée par un courtier spécialisé en cyber assurance, qui s’assurera du périmètre à assurer, de la limite de garantie nécessaire

Sauvegardez régulièrement vos données. Conservez des copies de vos données critiques dans un endroit hors site, déconnecté. - Envisagez de créer un plan d'intervention en cas de violation de données. Bien qu'un plan d'intervention n'empêche pas les violations de se produire, il vous permettra d'économiser du temps et de l'énergie après la découverte d'un incident. - Si vous êtes victime d’une attaque par ransomware, n’hésitez pas à porter plainte. Les signalements effectués par les victimes permettent de tenir les autorités informées des types de délits qui se produisent et

La plupart des polices limitent la couverture aux menaces qui se produisent pendant la période de validité de la police. Certains contrats plus favorables stipulent que l'extorsion doit être découverte pendant la période de validité du contrat. Ransomware ou rancongiciels : comment limiter les risques ? Conseils cyber sécurité face aux ransomware Voici quelques mesures que vous et vos employés pouvez prendre pour éviter d'être victimes de cyber-extorsion. - Protégez votre système informatique à l'aide d'un pare-feu et d'un logiciel antivirus et d'analyse du courrier électronique.

Sauvegardez régulièrement vos données. Conservez des copies de vos données critiques dans un endroit hors site, déconnecté. - Envisagez de créer un plan d'intervention en cas de violation de données. Bien qu'un plan d'intervention n'empêche pas les violations de se produire, il vous permettra d'économiser du temps et de l'énergie après la découverte d'un incident. - Si vous êtes victime d’une attaque par ransomware, n’hésitez pas à porter plainte. Les signalements effectués par les victimes permettent de tenir les autorités informées des types de délits qui se produisent et

Assurances contre les ransomwares : vraie garantie ou écran de fumée ? octobre 2022 par Lynn Lucas, CMO chez Cohesity Avez-vous observé une montée en puissance des cybermenaces ces derniers mois ? Lynn Lucas, Cohesity : Les menaces sont en constante évolution, mais ce qui est particulièrement préoccupant, c’est l’augmentation de la sophistication des techniques employées par les cybercriminels. Les ransomwares en sont l’exemple le plus probant. Fin août dernier, l’hôpital de Corbeil-Essonnes a été victime d’une attaque par ransomware.

Il menace ensuite de révéler des détails scandaleux sur vos clients à un tabloïd, à moins que vous ne lui versiez 10 000 dollars. Attaque par Ransomware Ransomware ou rançongiciel : mieux comprendre. Cette forme de cyber attaque connait un renouveau récent un peu partout dans le monde, touchant de plus en plus d’entreprises. Un logiciel malveillant de type cryptolocker bloque l'accès aux données en chiffrant les données de l’organisation. Pour reprendre le contrôle de l'appareil ou des données, la victime doit verser à l'auteur une somme d'argent (la rançon) en l’échange d’une clé de déchiffrement.

Face à la recrudescence des attaques de ransomwares ces derniers mois faisant de nombreuses victimes, on pense notamment à WannaCry qui a infecté plus de 230 000 ordinateurs dans 150 pays différents, il devient nécessaire de changer les méthodes de protection traditionnelles en optant pour une cyber assurance capable de contrecarrer cette menace. Le principe de cyber assurance La cyber assurance a pour but de protéger les entreprises d'une attaque informatique, dans certains cas des assureurs spécialisés peuvent rembourser les frais de rançon.

Ces monnaies sont faciles à utiliser et permettent aux extorqueurs de rester anonymes. Ransomware : êtes-vous assuré avec vos contrats d’assurance traditionnels ? Exemple d'attaque par ransomware Supposons qu'un de vos employés ouvre une pièce jointe d’un email infectée par un logiciel malveillant. Le logiciel malveillant se propage dans votre système informatique et chiffre vos fichiers mais parfois également vos sauvegardes, les cybercriminels ne cessant d’innover dans ce domaine. Un cyber criminel vous adresse un message, exigeant le paiement d’une rançon de 20 000 dollars pour pouvoir accéder à vos fichiers (cette rançon peut parfois atteindre plusieurs dizaines de millions d’euros pour les grandes entreprises / ETI.

La plupart des polices d’assurance cyber exigent que vous obteniez l'autorisation de votre assureur avant de payer une rançon. Si vous payez une rançon et que vous en informez votre assureur par la suite, il se peut que le paiement ne soit pas couvert. La même règle s'applique aux dépenses liées à l'extorsion. Si vous souhaitez engager un consultant pour vous aider à négocier avec l'extorqueur, vous devez en informer votre assureur à l'avance. Dans le cas contraire, les honoraires du consultant risquent de ne pas être couverts.

Nous préférons offrir à nos clients la garantie d’une plateforme de gestion et de sécurité des données de niveau international, avec l’avantage d’un Comité Consultatif de Sécurité piloté par les experts les plus reconnus, comme Kevin Mandia, un leader mondial de la lutte contre la cybercriminalité. Quel message souhaitez-vous faire passer aux RSSI ? Lynn Lucas, Cohesity : En France, malgré les voix qui s’élèvent contre ces pratiques, la législation évolue en faveur des compagnies d’assurance pour le remboursement des attaques par ransomware.

Face à la recrudescence des attaques de ransomwares ces derniers mois faisant de nombreuses victimes, on pense notamment à WannaCry qui a infecté plus de 230 000 ordinateurs dans 150 pays différents, il devient nécessaire de changer les méthodes de protection traditionnelles en optant pour une cyber assurance capable de contrecarrer cette menace. Le principe de cyber assurance La cyber assurance a pour but de protéger les entreprises d'une attaque informatique, dans certains cas des assureurs spécialisés peuvent rembourser les frais de rançon.

Assurances contre les ransomwares : vraie garantie ou écran de fumée ? octobre 2022 par Lynn Lucas, CMO chez Cohesity Avez-vous observé une montée en puissance des cybermenaces ces derniers mois ? Lynn Lucas, Cohesity : Les menaces sont en constante évolution, mais ce qui est particulièrement préoccupant, c’est l’augmentation de la sophistication des techniques employées par les cybercriminels. Les ransomwares en sont l’exemple le plus probant. Fin août dernier, l’hôpital de Corbeil-Essonnes a été victime d’une attaque par ransomware.

Ainsi, la seule option valable pour prévenir cette situation est d’empêcher en premier lieu les violations de données de se produire. Cela signifie mettre en place des pratiques exemplaires en matière de cybersécurité. La vague d’augmentations pratiquées par les assureurs relève toutes les normes Dans la plupart des cas, les entreprises qui ont été victimes d’un ransomware ont payé la rançon. Cette situation n’a fait qu’encourager les acteurs malveillants à multiplier leurs attaques, avec pour conséquence indirecte de pousser les assureurs à réévaluer leurs offres de polices et même pour certaines, notamment en France, à mettre fin à leurs politiques de cyberassurance.

Les ordinateurs en sont infectés lorsque l'internaute visite un site web particulier ou via une pièce-jointe. Ce type de piratage informatique est apparu d'abord en Russie avant de se propager un peu partout dans le monde. Il est intéressant de noter qu'il existe deux types de ransomwares : les ransomwares classiques de blocage d'écran et les crypto-ransomwares qui appliquent un chiffrement sur les dossiers et fichiers d'ordinateurs. Tous les pays ne sont pas protégés de la même façon : c'est aux Etats-Unis que le pourcentage des virus contenant un ransomware est le plus élevé (61,8%).

Un rançongiciel ou ransomware peut infecter pratiquement tout type d'ordinateur, y compris les ordinateurs de bureau, les ordinateurs portables, les tablettes et les smartphones. Un utilisateur d'ordinateur peut télécharger involontairement un logiciel malveillant en cliquant sur une publicité contextuelle, en ouvrant une pièce jointe de courriel infectée ou en cliquant sur un lien dans un email ou sur un site web compromis. L'une des raisons pour lesquelles la cyber-extorsion a proliféré est l'essor des monnaies numériques comme le bitcoin.

Nous préférons offrir à nos clients la garantie d’une plateforme de gestion et de sécurité des données de niveau international, avec l’avantage d’un Comité Consultatif de Sécurité piloté par les experts les plus reconnus, comme Kevin Mandia, un leader mondial de la lutte contre la cybercriminalité. Quel message souhaitez-vous faire passer aux RSSI ? Lynn Lucas, Cohesity : En France, malgré les voix qui s’élèvent contre ces pratiques, la législation évolue en faveur des compagnies d’assurance pour le remboursement des attaques par ransomware.

Les restrictions se sont également multipliées, avec une hausse des franchises (4 millions d'euros en moyenne pour les grandes entreprises, 7670 euros pour les petites entreprises et 32 217€ pour les moyennes), complétées par des "quotités non garanties". Par exemple, l'assureur ne prend en charge que 50% des coûts liés à un ransomware et applique des "sous-limites" (des plafonds de remboursement par catégories de dommages). "L'assurance cyber, c'est compliqué. Les assureurs sont très frileux, il n'y a pas beaucoup de solutions sur le marché, ils sont très exigeants sur la qualité des risques.

Ces monnaies sont faciles à utiliser et permettent aux extorqueurs de rester anonymes. Ransomware : êtes-vous assuré avec vos contrats d’assurance traditionnels ? Exemple d'attaque par ransomware Supposons qu'un de vos employés ouvre une pièce jointe d’un email infectée par un logiciel malveillant. Le logiciel malveillant se propage dans votre système informatique et chiffre vos fichiers mais parfois également vos sauvegardes, les cybercriminels ne cessant d’innover dans ce domaine. Un cyber criminel vous adresse un message, exigeant le paiement d’une rançon de 20 000 dollars pour pouvoir accéder à vos fichiers (cette rançon peut parfois atteindre plusieurs dizaines de millions d’euros pour les grandes entreprises / ETI.

Ainsi, la seule option valable pour prévenir cette situation est d’empêcher en premier lieu les violations de données de se produire. Cela signifie mettre en place des pratiques exemplaires en matière de cybersécurité. La vague d’augmentations pratiquées par les assureurs relève toutes les normes Dans la plupart des cas, les entreprises qui ont été victimes d’un ransomware ont payé la rançon. Cette situation n’a fait qu’encourager les acteurs malveillants à multiplier leurs attaques, avec pour conséquence indirecte de pousser les assureurs à réévaluer leurs offres de polices et même pour certaines, notamment en France, à mettre fin à leurs politiques de cyberassurance.

Cette combinaison de polices d’assurance plus strictes et de hausses des prix, associée à l’arrivée de nouveaux acteurs issus du « Far West » du ransomware, a été le déclic dont de nombreuses entreprises avaient besoin pour ne plus considérer leur assurance comme unique filet de sécurité. Afin de ne pas s’effondrer suite à une attaque , les entreprises doivent s’astreindre à ne plus compter exclusivement sur leurs assurances et se concentrer sur la mise en place de mesures proactives pour défendre leurs données.

Ces pratiques sont à distinguer des garanties gadgets qui peuvent exposer les entreprises à des risques conséquents plutôt que de les protéger. Prévenir les attaques, anticiper la sécurisation des données, sélectionner des technologies viables et effectuer des tests réguliers en plus de fournir une formation adéquate à l’ensemble des employés de l’entreprise constituent les meilleures protections possibles contre les ransomwares. Ne vous laissez pas avoir par des offres trompeuses !

Cette combinaison de polices d’assurance plus strictes et de hausses des prix, associée à l’arrivée de nouveaux acteurs issus du « Far West » du ransomware, a été le déclic dont de nombreuses entreprises avaient besoin pour ne plus considérer leur assurance comme unique filet de sécurité. Afin de ne pas s’effondrer suite à une attaque , les entreprises doivent s’astreindre à ne plus compter exclusivement sur leurs assurances et se concentrer sur la mise en place de mesures proactives pour défendre leurs données.

Ces pratiques sont à distinguer des garanties gadgets qui peuvent exposer les entreprises à des risques conséquents plutôt que de les protéger. Prévenir les attaques, anticiper la sécurisation des données, sélectionner des technologies viables et effectuer des tests réguliers en plus de fournir une formation adéquate à l’ensemble des employés de l’entreprise constituent les meilleures protections possibles contre les ransomwares. Ne vous laissez pas avoir par des offres trompeuses !

Le nouveau « Far West » du ransomware Les résultats sensationnels et très lucratifs obtenus par les cybergangs d’envergure mondiale via le déploiement de ransomwares ne sont pas passés inaperçus. Et ils ont conduit à un déferlement de nouveaux acteurs – souvent moins expérimentés – sur le marché, qui cherchent à tirer leur épingle du jeu. Le problème, c’est que tous les gangs de cybercriminels ne se valent pas. Les précédents développeurs de ransomwares fonctionnaient avec un niveau de sophistication et des capacités techniques qui leur permettaient non seulement de voler et de conserver les données d’une entreprise, mais également de les restituer intactes une fois la rançon payée.

La plupart des polices d’assurance cyber exigent que vous obteniez l'autorisation de votre assureur avant de payer une rançon. Si vous payez une rançon et que vous en informez votre assureur par la suite, il se peut que le paiement ne soit pas couvert. La même règle s'applique aux dépenses liées à l'extorsion. Si vous souhaitez engager un consultant pour vous aider à négocier avec l'extorqueur, vous devez en informer votre assureur à l'avance. Dans le cas contraire, les honoraires du consultant risquent de ne pas être couverts.

sur la manière de réagir à une menace. - Coûts de réparation. Le paiement d'une rançon ne garantit pas que vos ordinateurs et vos données ne seront pas endommagés après le déchiffrement de votre système d’information, ni même qu'ils seront libérés. La plupart des contrats de cyber assurance couvrent les pertes que vous subissez à la suite d'un dommage, d'une perturbation, d'un vol ou d'une mauvaise utilisation de vos données. Les polices couvrent également les frais de restauration, de remplacement ou de reconstruction des programmes, des logiciels ou des données.

Les cybercriminels lancent une attaque par déni de service contre le site web de votre entreprise, lui envoyant des milliers de messages à la fois. Le site web est incapable de résister à l'attaque et doit fermer. Les auteurs de l'attaque demandent alors une rançon en bitcoin pour mettre fin à l'attaque. - Vous êtes avocat spécialisé dans les divorces dans un cabinet d'avocats qui s'occupe de célébrités. Un cybercriminel pirate le système informatique de votre cabinet et vole les données des clients.

Outre la prise en charge des dommages subis, et éventuellement du rachat de matériel, de la remise en état et des dommages causés aux tiers (responsabilité civile), les prestations d'assistance dans la gestion de la cyberattaque, mentionnées par Hiscox, constituent l'autre gros avantage des assurances cyber, notamment pour les TPE-PME. Se focaliser sur le seul remboursement de la rançon serait de très courte vue, et généralement ce n'est pas ça qui décide les entreprises à souscrire. Des assurés triés sur le volet Mais ces assurances leur coûtent de plus en plus cher. D'après

Les cybercriminels lancent une attaque par déni de service contre le site web de votre entreprise, lui envoyant des milliers de messages à la fois. Le site web est incapable de résister à l'attaque et doit fermer. Les auteurs de l'attaque demandent alors une rançon en bitcoin pour mettre fin à l'attaque. - Vous êtes avocat spécialisé dans les divorces dans un cabinet d'avocats qui s'occupe de célébrités. Un cybercriminel pirate le système informatique de votre cabinet et vole les données des clients.

La plupart des contrats de cyber assurance en matière de cyber délinquance prévoient le remboursement du paiement des frais de rançon et des dépenses connexes. Quels sont les risques couverts par le contrat d’assurance cyber ? L'assurance contre la cyber-extorsion couvre les paiements de rançon que vous effectuez et les dépenses liées à l'extorsion que vous engagez en réponse à une menace. La signification de ce terme est importante car il détermine les types d'actes couverts. La définition varie, mais elle inclut souvent les menaces de commettre tout ou partie des actes suivants : - altérer, endommager ou détruire vos logiciels, programmes ou données - Infecter votre système informatique avec un virus ou un autre code malveillant - Vol et diffusion de vos données - Rendre votre site web ou votre système informatique inaccessible en lançant une cyber-attaque, telle qu'une attaque par déni de service - Cyber fraude qui consiste à transférer des fonds en utilisant votre système informatique.

Pour Sophie Parisot, responsable assurance cyber-risques chez AIG-France « Nos polices sont mixtes et couvrent à la fois l'assistance comme la mise à disposition d'une hotline d'urgence et les frais d'experts informatiques et juridiques, les dommages subis par l'entreprise comme la perte d'exploitation et les dommages subis par les tiers comme les frais de défense suite à atteinte aux données personnelles ». La garantie proposant le remboursement de la rançon n'est pas encore d'actualité pour toutes les assurances même si certaines peuvent la proposer en option.

Ces fameuses attaques durant lesquelles les hackers volent des données, souvent sensibles, et réclament ensuite une rançon. Une annonce qui survenait à une période où les ransomwares étaient n'avaient jamais été aussi nombreux en France. Dans la même catégorie Apple récupérerait les données de ses utilisateurs sans leur consentement Pour clarifier et réglementer le sujet de la cyber-assurance, Bercy a décidé de prendre les choses en main. Le ministère de l’Économie et des Finances a proposé de rédiger un cadre réglementaire pour obliger les assureurs à indemniser les entreprises en cas d'attaques par rançonlogiciels.

Les données ont une valeur inestimable, et leur perte peut paralyser les entreprises. Et même les assurances les plus onéreuses ne permettent pas de les récupérer. D’après le baromètre 2022 de la cybersécurité du CESIN, 54% des entreprises françaises ont fait l’objet d’une cyberattaque en 2021 et une entreprise sur cinq a été visée par une cyberattaque par ransomware ! La tendance était déjà à la hausse avant la pandémie mais, lorsque le monde des affaires a massivement basculé vers le télétravail, les cybercriminels ont sauté sur l’occasion d’exploiter les vulnérabilités nouvellement exposées qui ont surgi dans l’environnement de travail hybride.

Ces fameuses attaques durant lesquelles les hackers volent des données, souvent sensibles, et réclament ensuite une rançon. Une annonce qui survenait à une période où les ransomwares étaient n'avaient jamais été aussi nombreux en France. Dans la même catégorie Apple récupérerait les données de ses utilisateurs sans leur consentement Pour clarifier et réglementer le sujet de la cyber-assurance, Bercy a décidé de prendre les choses en main. Le ministère de l’Économie et des Finances a proposé de rédiger un cadre réglementaire pour obliger les assureurs à indemniser les entreprises en cas d'attaques par rançonlogiciels.

Elle protège votre entreprise contre les pertes causées par les logiciels de rançon et autres types d'extorsion cybernétique. Ce qui est couvert : - L'argent de la rançon. Il s'agit de l'argent que vous payez à un cybercriminel en réponse à une menace. Certaines polices couvrent également les biens (autres que l'argent) que vous cédez à un extorqueur. - Frais liés à l'extorsion. Il s'agit des dépenses que vous engagez à la suite d'une menace d'extorsion. Il s'agit par exemple des frais de déplacement que vous engagez pour verser une rançon et du coût de l'engagement d'un expert en sécurité pour vous conseiller

sur la manière de réagir à une menace. - Coûts de réparation. Le paiement d'une rançon ne garantit pas que vos ordinateurs et vos données ne seront pas endommagés après le déchiffrement de votre système d’information, ni même qu'ils seront libérés. La plupart des contrats de cyber assurance couvrent les pertes que vous subissez à la suite d'un dommage, d'une perturbation, d'un vol ou d'une mauvaise utilisation de vos données. Les polices couvrent également les frais de restauration, de remplacement ou de reconstruction des programmes, des logiciels ou des données.

L’attaque de trop, qui a décidé le Ministère de la Santé à mobiliser deux millions d’euros. Il est désormais nécessaire de reconstruire complètement l’ensemble de l’architecture informatique, mais cela pourrait finalement représenter un investissement de plus de 5 millions d’euros rien que sur l’année à venir… Les chiffres sont souvent impressionnants. Selon Cybersecurity Ventures, d’ici 2031, les attaques par ransomware devraient toucher une entreprise, un client ou un appareil toutes les deux secondes, ce qui coûterait aux victimes environ 265 milliards de dollars par an. Comment les technologies doivent-elles évoluer pour contrer ces menaces ? Lynn Lucas, Cohesity : Les technologies permettant de prévenir ces attaques et de restaurer les systèmes dans un délai très court existent.

Les restrictions se sont également multipliées, avec une hausse des franchises (4 millions d'euros en moyenne pour les grandes entreprises, 7670 euros pour les petites entreprises et 32 217€ pour les moyennes), complétées par des "quotités non garanties". Par exemple, l'assureur ne prend en charge que 50% des coûts liés à un ransomware et applique des "sous-limites" (des plafonds de remboursement par catégories de dommages). "L'assurance cyber, c'est compliqué. Les assureurs sont très frileux, il n'y a pas beaucoup de solutions sur le marché, ils sont très exigeants sur la qualité des risques.

Les ordinateurs en sont infectés lorsque l'internaute visite un site web particulier ou via une pièce-jointe. Ce type de piratage informatique est apparu d'abord en Russie avant de se propager un peu partout dans le monde. Il est intéressant de noter qu'il existe deux types de ransomwares : les ransomwares classiques de blocage d'écran et les crypto-ransomwares qui appliquent un chiffrement sur les dossiers et fichiers d'ordinateurs. Tous les pays ne sont pas protégés de la même façon : c'est aux Etats-Unis que le pourcentage des virus contenant un ransomware est le plus élevé (61,8%).

Elle protège votre entreprise contre les pertes causées par les logiciels de rançon et autres types d'extorsion cybernétique. Ce qui est couvert : - L'argent de la rançon. Il s'agit de l'argent que vous payez à un cybercriminel en réponse à une menace. Certaines polices couvrent également les biens (autres que l'argent) que vous cédez à un extorqueur. - Frais liés à l'extorsion. Il s'agit des dépenses que vous engagez à la suite d'une menace d'extorsion. Il s'agit par exemple des frais de déplacement que vous engagez pour verser une rançon et du coût de l'engagement d'un expert en sécurité pour vous conseiller

Favoriser le marché La clarification du cadre légal porté par le projet de loi vise à encourager le développement et la diversification des compagnies proposant des assurances cyber. Celles-ci ont connu une forte croissance au cours des dernières années, alors que de nombreuses entreprises et organisations sont visées par des attaques de type rançongiciel (ou ransomware, en anglais). Le rapport de Bercy relève que le marché de l’assurance cyber français reste « un marché de niche » face à son équivalent outre-Atlantique, mais que celui-ci fait preuve d’une croissance de « plus de 52 % des cotisations en 2021 ».

"On compte une bonne dizaine d'assureurs de première ligne sur le segment, et en général ils couvrent les frais consécutifs au ransomware, y compris la rançon", indique à l'Usine Digitale Guillaume Deschamps, directeur du département des risques financiers France et Europe de l'Est chez le courtier Willis Towers Watson (WTW). AIG, Chubb, Zurich, Axa XL, SMA, Hiscox, mais aussi Groupama et MMA par exemple, font partie de ceux-là. "Le remboursement de la rançon est compris d'office dans les dommages subis de nos contrats cyber, ainsi que dans l'option pertes d'exploitation.

À noter que tout paiement de rançon effectif ne pourra faire l’objet d’un remboursement. Comme l’a mentionné Guillaume Poupard, Directeur Général de l’ANSSI au début du mois d’octobre : “lorsque vous hésitez à payer ou non la rançon, il est déjà trop tard. Il n’y pas de bonne solution. La seule chose à faire est de vous protéger pour ne pas que cela arrive”. Quels sont les points forts des solutions que vous proposez ? Lynn Lucas, Cohesity : Plutôt que des garanties en écran de fumée, Cohesity a développé FortKnox, une solution technologique qui améliore la cyber-résilience grâce à une “golden copy” immuable des données, stockée dans une cyber-voûte.

Outre la prise en charge des dommages subis, et éventuellement du rachat de matériel, de la remise en état et des dommages causés aux tiers (responsabilité civile), les prestations d'assistance dans la gestion de la cyberattaque, mentionnées par Hiscox, constituent l'autre gros avantage des assurances cyber, notamment pour les TPE-PME. Se focaliser sur le seul remboursement de la rançon serait de très courte vue, et généralement ce n'est pas ça qui décide les entreprises à souscrire. Des assurés triés sur le volet Mais ces assurances leur coûtent de plus en plus cher. D'après

Qu'est-ce que la cyber extorsion ? Ces dernières années, de nombreuses petites et moyennes entreprises ont été victimes de rancongiciels ou cyber extorsion. Les cybercriminels utilisent des logiciels de rançon ou ransomware de plus en plus élaborés pour extorquer de l'argent aux entreprises. Les pertes résultant de tels événements ont entraîné la fermeture de certaines de ces entreprises victimes de ces rançongiciels. L’assurance cyber offre-t’elle une protection efficace contre ces rancongiciels et la cyber extorsion?

À noter que tout paiement de rançon effectif ne pourra faire l’objet d’un remboursement. Comme l’a mentionné Guillaume Poupard, Directeur Général de l’ANSSI au début du mois d’octobre : “lorsque vous hésitez à payer ou non la rançon, il est déjà trop tard. Il n’y pas de bonne solution. La seule chose à faire est de vous protéger pour ne pas que cela arrive”. Quels sont les points forts des solutions que vous proposez ? Lynn Lucas, Cohesity : Plutôt que des garanties en écran de fumée, Cohesity a développé FortKnox, une solution technologique qui améliore la cyber-résilience grâce à une “golden copy” immuable des données, stockée dans une cyber-voûte.

Les données ont une valeur inestimable, et leur perte peut paralyser les entreprises. Et même les assurances les plus onéreuses ne permettent pas de les récupérer. D’après le baromètre 2022 de la cybersécurité du CESIN, 54% des entreprises françaises ont fait l’objet d’une cyberattaque en 2021 et une entreprise sur cinq a été visée par une cyberattaque par ransomware ! La tendance était déjà à la hausse avant la pandémie mais, lorsque le monde des affaires a massivement basculé vers le télétravail, les cybercriminels ont sauté sur l’occasion d’exploiter les vulnérabilités nouvellement exposées qui ont surgi dans l’environnement de travail hybride.

Les compagnies d’assurance réagissent au nombre croissant de réclamations en augmentant le prix de leurs polices ou en refusant de couvrir certains vecteurs d’attaques afin d’éviter de se retrouver sur la paille. Par exemple, en France, AXA a complètement cessé de couvrir le paiement des rançons liées aux ransomwares tandis qu’au Royaume-Uni la Lloyd’s of London a exclu les attaques étatiques de ses polices. De nombreux assureurs dans le monde ont divisé par deux le montant de leurs couvertures après que la pandémie et le télétravail ont entraîné une flambée des attaques de ransomwares dont la lourde indemnisation leur a laissé un sentiment d’amertume.

En deuxième position on retrouve la France avec 55,80% qui est au coude à coude avec le Royaume-Uni, la Roumanie et l'Australie (54,50%, 50,20% et 47,90%). Le risque existe pour chaque secteur d'activité mais on remarque que certains secteurs sont plus touchés que d'autres : >> CLIQUEZ ICI POUR COMPARER LES ASSURANCES CYBER-RISQUES << Que peuvent proposer les assurances ? Suite à l'intrusion d'un ransomware toutes les assurances ne proposent pas les mêmes formules même si en majorité les garanties les plus souscrites sont celles assurant la responsabilité civile de l'entreprise et celles couvrant la perte d'exploitation.

Le nouveau « Far West » du ransomware Les résultats sensationnels et très lucratifs obtenus par les cybergangs d’envergure mondiale via le déploiement de ransomwares ne sont pas passés inaperçus. Et ils ont conduit à un déferlement de nouveaux acteurs – souvent moins expérimentés – sur le marché, qui cherchent à tirer leur épingle du jeu. Le problème, c’est que tous les gangs de cybercriminels ne se valent pas. Les précédents développeurs de ransomwares fonctionnaient avec un niveau de sophistication et des capacités techniques qui leur permettaient non seulement de voler et de conserver les données d’une entreprise, mais également de les restituer intactes une fois la rançon payée.

Sénat le rôle des assureurs dans le paiement des rançons, expliquant que ceux-ci « garantissent trop souvent le paiement des sommes exigées par les cybercriminels ». Un constat amer, alors que l’agence défendait publiquement le fait de ne pas payer les rançons. En outre, un rapport parlementaire publié au mois d’octobre 2021 plaidait pour l’interdiction du paiement des rançons. Il était principalement reproché aux assureurs qui endossaient le paiement de rançons de faire des sociétés françaises ayant souscrit à leurs polices d’assurance des cibles « faciles ».

Asie sont autant d'acteurs du secteur de l'assurance français à avoir été la cible d'une cyberattaque en 2021. Loin d'être des actes isolés, le baromètre Anozr Way du ransomware 2021 révèle que c'est bel et bien une stratégie des hackers qui ciblent les entreprises hexagonales. ... Cet article est réservé aux abonnés L'Argus de l'assurance Soutenez un journalisme d'expertise. SUR LE MÊME SUJET - Climat, cyber et risques sociétaux : les trois menaces des dirigeants en 2022 - Cyber assurance : le paradoxe des TPE et PME - Cyberattaque de Verlingue et Génération : reprise progressive de l’activité - Cyberattaque en cours dans un grand groupe de courtage Base des organismes d'assuranceAbonnés Retrouvez les informations complètes, les risques couverts et les dirigeants de plus de 850 organismes d’assuranceJe consulte la base

Pour Sophie Parisot, responsable assurance cyber-risques chez AIG-France « Nos polices sont mixtes et couvrent à la fois l'assistance comme la mise à disposition d'une hotline d'urgence et les frais d'experts informatiques et juridiques, les dommages subis par l'entreprise comme la perte d'exploitation et les dommages subis par les tiers comme les frais de défense suite à atteinte aux données personnelles ». La garantie proposant le remboursement de la rançon n'est pas encore d'actualité pour toutes les assurances même si certaines peuvent la proposer en option.

Les employés en télétravail sont ainsi rapidement devenus les premières cibles des pirates, et le volume de violations réussies dues à des ransomwares a atteint des sommets. Tout comme le coût de la récupération des données. Un récent rapport d’IBM montre que le coût total moyen d’une violation de données a augmenté en 2021, passant de 4,24 millions de dollars à 4,35 millions de dollars, soit le plus haut niveau jamais enregistré. Les assurances ont commencé à couvrir ces coûts pour les entreprises, y compris via le paiement de rançons.

La plupart des contrats de cyber assurance en matière de cyber délinquance prévoient le remboursement du paiement des frais de rançon et des dépenses connexes. Quels sont les risques couverts par le contrat d’assurance cyber ? L'assurance contre la cyber-extorsion couvre les paiements de rançon que vous effectuez et les dépenses liées à l'extorsion que vous engagez en réponse à une menace. La signification de ce terme est importante car il détermine les types d'actes couverts. La définition varie, mais elle inclut souvent les menaces de commettre tout ou partie des actes suivants : - altérer, endommager ou détruire vos logiciels, programmes ou données - Infecter votre système informatique avec un virus ou un autre code malveillant - Vol et diffusion de vos données - Rendre votre site web ou votre système informatique inaccessible en lançant une cyber-attaque, telle qu'une attaque par déni de service - Cyber fraude qui consiste à transférer des fonds en utilisant votre système informatique.

Asie sont autant d'acteurs du secteur de l'assurance français à avoir été la cible d'une cyberattaque en 2021. Loin d'être des actes isolés, le baromètre Anozr Way du ransomware 2021 révèle que c'est bel et bien une stratégie des hackers qui ciblent les entreprises hexagonales. ... Cet article est réservé aux abonnés L'Argus de l'assurance Soutenez un journalisme d'expertise. SUR LE MÊME SUJET - Climat, cyber et risques sociétaux : les trois menaces des dirigeants en 2022 - Cyber assurance : le paradoxe des TPE et PME - Cyberattaque de Verlingue et Génération : reprise progressive de l’activité - Cyberattaque en cours dans un grand groupe de courtage Base des organismes d'assuranceAbonnés Retrouvez les informations complètes, les risques couverts et les dirigeants de plus de 850 organismes d’assuranceJe consulte la base

L’attaque de trop, qui a décidé le Ministère de la Santé à mobiliser deux millions d’euros. Il est désormais nécessaire de reconstruire complètement l’ensemble de l’architecture informatique, mais cela pourrait finalement représenter un investissement de plus de 5 millions d’euros rien que sur l’année à venir… Les chiffres sont souvent impressionnants. Selon Cybersecurity Ventures, d’ici 2031, les attaques par ransomware devraient toucher une entreprise, un client ou un appareil toutes les deux secondes, ce qui coûterait aux victimes environ 265 milliards de dollars par an. Comment les technologies doivent-elles évoluer pour contrer ces menaces ? Lynn Lucas, Cohesity : Les technologies permettant de prévenir ces attaques et de restaurer les systèmes dans un délai très court existent.

Cyberattaques : l'assurance et le secteur financier premières cibles des ransomware Le Baromètre Anozr Way du ransomware 2021 révèle que la France est le pays de l'Union européenne le plus ciblé par les cyberattaques. Par ailleurs, les entreprises des secteurs de l'assurance et de la finance seraient les victimes privilégiées des cyberattaquants. Marie-Caroline Carrère \ 11h20 Marie-Caroline Carrère En 2021, les cyberattaquants n'ont pas épargnés le secteur de l'assurance français. En effet, April, Verlingue, AssurOne, Stelliant, la MNH (Mutuelle Nationale des Hospitaliers), MMA ou encore Axa via sa filiale Axa Partners en

Axa et Generali avaient cessé de proposer des contrats couvrant les dommages liés à des rançongiciels. Les parlementaires s’étaient inquiétés dans un rapport d’un lien entre cyberattaque et cyber-assurance. Les entreprises disposant d’une couverture devenaient ainsi une cible privilégiée des pirates, étant sûrs d’être payés. Guillaume Poupard, directeur général de l’Anssi, avait aussi taclé les assureurs qui, « se focalisent sur les rançons et se dotent de capacités à négocier ». Une porte ouverte à l’arrivée d’intermédiaires peu scrupuleux.

En deuxième position on retrouve la France avec 55,80% qui est au coude à coude avec le Royaume-Uni, la Roumanie et l'Australie (54,50%, 50,20% et 47,90%). Le risque existe pour chaque secteur d'activité mais on remarque que certains secteurs sont plus touchés que d'autres : >> CLIQUEZ ICI POUR COMPARER LES ASSURANCES CYBER-RISQUES << Que peuvent proposer les assurances ? Suite à l'intrusion d'un ransomware toutes les assurances ne proposent pas les mêmes formules même si en majorité les garanties les plus souscrites sont celles assurant la responsabilité civile de l'entreprise et celles couvrant la perte d'exploitation.

Les souscripteurs français de ce type de garanties restent principalement les grandes entreprises (84 % d’entre elles disposent d’un tel contrat), tandis que les organisations de taille plus modestes peinent encore à adopter ces outils. L’autre ambition du texte est de permettre une meilleure appréciation du phénomène des attaques par rançongiciels par les pouvoirs publics. Dans de nombreux cas, les forces de l’ordre estiment que le nombre de plaintes déposées est bien en dessous du chiffre réel des entreprises piratées, parce qu’elles choisissent souvent de payer la rançon sans signaler l’incident.

Cette hausse des prix et des seuils d’indemnisation par les assureurs a une conséquence positive cachée pour le monde des affaires. Elle contraint les entreprises à réévaluer leurs défenses et leurs faiblesses et à mettre en place des pratiques cybersécuritaires exemplaires. Et cela contribue également à intensifier la sensibilisation à la cybersécurité au sein des organisations. Dans la mesure où le rôle principal des assureurs consiste à évaluer les risques, ils exigent des entreprises qu’elles leur fournissent la preuve qu’elles sont préparées à faire face à une future attaque, les incitant ainsi à relever leurs normes.

Dans le même temps, le ministère de l’économie et des finances publie un rapport portant sur « le développement de l’assurance du risque cyber ». Le texte de loi prévoit l’autorisation du paiement des rançons par les assureurs, tout en conditionnant celle-ci « au dépôt de plainte de la victime afin de renforcer son accompagnement et améliorer les opérations d’investigation des autorités de police, justice et gendarmerie ». Voir notre dossier : Attaques aux rançongiciels : la déferlante Le rapport ébauche également un plan d’action destiné à accompagner le développement de l’assurance cyber en France, qui ne représente aujourd’hui que « 3 % des cotisations en assurance dommage des professionnels ».

Qu'est-ce que la cyber extorsion ? Ces dernières années, de nombreuses petites et moyennes entreprises ont été victimes de rancongiciels ou cyber extorsion. Les cybercriminels utilisent des logiciels de rançon ou ransomware de plus en plus élaborés pour extorquer de l'argent aux entreprises. Les pertes résultant de tels événements ont entraîné la fermeture de certaines de ces entreprises victimes de ces rançongiciels. L’assurance cyber offre-t’elle une protection efficace contre ces rancongiciels et la cyber extorsion?

Favoriser le marché La clarification du cadre légal porté par le projet de loi vise à encourager le développement et la diversification des compagnies proposant des assurances cyber. Celles-ci ont connu une forte croissance au cours des dernières années, alors que de nombreuses entreprises et organisations sont visées par des attaques de type rançongiciel (ou ransomware, en anglais). Le rapport de Bercy relève que le marché de l’assurance cyber français reste « un marché de niche » face à son équivalent outre-Atlantique, mais que celui-ci fait preuve d’une croissance de « plus de 52 % des cotisations en 2021 ».

"On compte une bonne dizaine d'assureurs de première ligne sur le segment, et en général ils couvrent les frais consécutifs au ransomware, y compris la rançon", indique à l'Usine Digitale Guillaume Deschamps, directeur du département des risques financiers France et Europe de l'Est chez le courtier Willis Towers Watson (WTW). AIG, Chubb, Zurich, Axa XL, SMA, Hiscox, mais aussi Groupama et MMA par exemple, font partie de ceux-là. "Le remboursement de la rançon est compris d'office dans les dommages subis de nos contrats cyber, ainsi que dans l'option pertes d'exploitation.

et du choix du contrat d’assurance à mettre en place afin de veiller à ce qu’il n’y a pas de trou de garantie. Vous souhaitez en savoir davantage, un devis assurance cyber personnalisé ? Contactez-nous au 01 76 41 03 44 ! Nous serons heureux de répondre à vos questions ! Marc-Henri BOYDRON

Les compagnies d’assurance réagissent au nombre croissant de réclamations en augmentant le prix de leurs polices ou en refusant de couvrir certains vecteurs d’attaques afin d’éviter de se retrouver sur la paille. Par exemple, en France, AXA a complètement cessé de couvrir le paiement des rançons liées aux ransomwares tandis qu’au Royaume-Uni la Lloyd’s of London a exclu les attaques étatiques de ses polices. De nombreux assureurs dans le monde ont divisé par deux le montant de leurs couvertures après que la pandémie et le télétravail ont entraîné une flambée des attaques de ransomwares dont la lourde indemnisation leur a laissé un sentiment d’amertume.

Sénat le rôle des assureurs dans le paiement des rançons, expliquant que ceux-ci « garantissent trop souvent le paiement des sommes exigées par les cybercriminels ». Un constat amer, alors que l’agence défendait publiquement le fait de ne pas payer les rançons. En outre, un rapport parlementaire publié au mois d’octobre 2021 plaidait pour l’interdiction du paiement des rançons. Il était principalement reproché aux assureurs qui endossaient le paiement de rançons de faire des sociétés françaises ayant souscrit à leurs polices d’assurance des cibles « faciles ».

Cyberattaques : l'assurance et le secteur financier premières cibles des ransomware Le Baromètre Anozr Way du ransomware 2021 révèle que la France est le pays de l'Union européenne le plus ciblé par les cyberattaques. Par ailleurs, les entreprises des secteurs de l'assurance et de la finance seraient les victimes privilégiées des cyberattaquants. Marie-Caroline Carrère \ 11h20 Marie-Caroline Carrère En 2021, les cyberattaquants n'ont pas épargnés le secteur de l'assurance français. En effet, April, Verlingue, AssurOne, Stelliant, la MNH (Mutuelle Nationale des Hospitaliers), MMA ou encore Axa via sa filiale Axa Partners en

Mais, ce n’est pas parce que l’on dispose d’une cyberassurance que l’on peut se passer d’une posture de sécurité robuste et proactive. Les violations coûtent plus cher aux entreprises que leurs primes d’assurance : outre la perte des données et le processus de récupération, les entreprises doivent également assumer les frais liés à la remédiation, à la perte de réputation et aux amendes réglementaires. Les hausses de prix ne sont pas une bonne chose en soi, mais l’augmentation des primes de cyberassurance pourrait bien faire exception à la règle, en incitant toutes les entreprises à revoir sans délai leurs protocoles de cybersécurité et à s’assurer que leurs équipes sont correctement outillées pour identifier, signaler et traiter les menaces afin qu’un basculement d’une attitude de récupération réactive vers une attitude de prévention proactive et de cyber-résilience puisse s’opérer.

Axa et Generali avaient cessé de proposer des contrats couvrant les dommages liés à des rançongiciels. Les parlementaires s’étaient inquiétés dans un rapport d’un lien entre cyberattaque et cyber-assurance. Les entreprises disposant d’une couverture devenaient ainsi une cible privilégiée des pirates, étant sûrs d’être payés. Guillaume Poupard, directeur général de l’Anssi, avait aussi taclé les assureurs qui, « se focalisent sur les rançons et se dotent de capacités à négocier ». Une porte ouverte à l’arrivée d’intermédiaires peu scrupuleux.

Il y a un véritable risque pour les victimes de la génération 2022 (et suivantes) de se retrouver à verser une rançon sans que leurs données leur soient restituées. Si elles consentent à payer une rançon ne serait-ce qu’une fois – ce que les cybercriminels perçoivent comme une faiblesse –, les entreprises s’exposent au risque d’être à nouveau ciblées. Les données ont une valeur inestimable, et leur perte peut paralyser les entreprises. Et même les assurances les plus onéreuses ne permettent pas de les récupérer.

C’est assez incroyable de voir ce que certaines entreprises sont prêtes à promettre pour vendre une solution… Et si une victime est amenée à faire valoir ces garanties, elle doit être prête à lire les petits caractères en fin de contrat ! Car dans la plupart des cas, ces assurances ne prévoient pas : • La couverture de tout logiciel malveillant introduit par un tiers dans les systèmes internes via une brèche de sécurité. Par exemple, elles n’incluent pas l’introduction d’un logiciel malveillant par un cyber-attaquant d’origine étrangère ayant enfreint la sécurité de l’entreprise. • La couverture de tout logiciel malveillant introduit dans les systèmes internes par un employé via une brèche de sécurité.

C’est assez incroyable de voir ce que certaines entreprises sont prêtes à promettre pour vendre une solution… Et si une victime est amenée à faire valoir ces garanties, elle doit être prête à lire les petits caractères en fin de contrat ! Car dans la plupart des cas, ces assurances ne prévoient pas : • La couverture de tout logiciel malveillant introduit par un tiers dans les systèmes internes via une brèche de sécurité. Par exemple, elles n’incluent pas l’introduction d’un logiciel malveillant par un cyber-attaquant d’origine étrangère ayant enfreint la sécurité de l’entreprise. • La couverture de tout logiciel malveillant introduit dans les systèmes internes par un employé via une brèche de sécurité.

Le rapport du Trésor tente donc de clarifier le cadre juridique pour l’ensemble des acteurs. Outre l’indemnisation des victimes avec obligation d’un dépôt de plainte, l’administration plaide pour « un principe général d’inassurabilité des sanctions administratives », c’est-à-dire de ne pas couvrir les amendes potentielles liées à la non-conformité avec un cadre réglementaire, comme le RGPD. Parmi les autres recommandations, le rapport donne des pistes de solutions : « L’assurance paramétrique qui permet le versement automatique d’une prestation établie en fonction d’un indice mesurable automatiquement, le développement de solutions d’auto-assurance telles que les captives de réassurance pourrait permettre de créer un marché de l’assurance du risque cyber ».

Tous les indicateurs convergent en tout cas vers une hausse de la demande pour l'assurance cyber de la part des TPE-PME, qui sont aujourd'hui moins de 1% à être couvertes. Une demande malheureusement supérieure à l'offre.

aux cyber-rançons au sein du projet de loi d’orientation et de programmation du ministère de l’Intérieur (LOPMI) ». Dans le communiqué, il est précisé que cette mesure concerne l’obligation pour les victimes de déposer une plainte pour être indemnisée. Il s’agit d’une des propositions du rapport du Trésor, qui souhaite « conditionner l’indemnisation d’une assurance cyber-rançon au dépôt de plainte de la victime afin de renforcer son accompagnement et améliorer les opérations d’investigation des autorités de police, de justice et de gendarmerie ».

Une proposition qui semble étonnante quand on sait que les autorités suggèrent généralement aux entreprises de ne surtout pas payer les rançons réclamées par les hackers. Cependant, la réalité est généralement différente : le FBI estime que la cybercriminalité a coûté 6,3 milliards d’euros au cours de l’année passée. Dans de nombreuses situations, les entreprises sont obligées de payer pour récupérer leurs données, ou simplement ou pour pouvoir accéder à leurs infrastructures numériques. Ce nouveau texte vise également à décourager les hackers.

La proposition peut apparaître surprenante aux premiers abords, car le message martelé par les autorités est de ne pas payer les rançons en cas d’attaques. Mais de la théorie à la pratique, il y a souvent un fossé. Certaines PME-PMI n’ont souvent pas d’autres choix de payer pour tenter de récupérer leurs données ou l’accès à leur système. Par contre, les victimes sont peu nombreuses à se faire connaître et à déposer plainte. Structurer un marché en plein doute Sur le volet cyber-assurance, cette décision remet les acteurs du marché dans le jeu à un moment où plusieurs assureurs avaient jeté l’éponge.

Ils se comportaient comme des entreprises, proposant des ransomwares en tant que service (RaaS) et vendant leurs codes au plus offrant sur le Dark Web, avec pour conséquence indirecte d’avoir réduit les obstacles à l’entrée pour une nouvelle génération de cybergangs. En plus de n’avoir pas le même niveau de compétences et de connaissances permettant de gérer ce type d’entreprise complexe, ces nouveaux acteurs malveillants font également peu de cas des règles établies par les gangs notoires, tels que GandCrab.

En effet, les cybercriminels visent en priorité les entreprises qui disposent d’une couverture, car ils sont assurés d'être payés. Si toutes les entreprises sont logées à la même enseigne, cela devrait peut-être aider. Sur les conseils du Trésor, une équipe de travail a été créée pour réfléchir à d'autres solutions afin de faire évoluer la cyber-assurance. Les membres du groupe doivent se réunir en septembre pour une première réunion.

Il y a un véritable risque pour les victimes de la génération 2022 (et suivantes) de se retrouver à verser une rançon sans que leurs données leur soient restituées. Si elles consentent à payer une rançon ne serait-ce qu’une fois – ce que les cybercriminels perçoivent comme une faiblesse –, les entreprises s’exposent au risque d’être à nouveau ciblées. Les données ont une valeur inestimable, et leur perte peut paralyser les entreprises. Et même les assurances les plus onéreuses ne permettent pas de les récupérer.

Cette hausse des prix et des seuils d’indemnisation par les assureurs a une conséquence positive cachée pour le monde des affaires. Elle contraint les entreprises à réévaluer leurs défenses et leurs faiblesses et à mettre en place des pratiques cybersécuritaires exemplaires. Et cela contribue également à intensifier la sensibilisation à la cybersécurité au sein des organisations. Dans la mesure où le rôle principal des assureurs consiste à évaluer les risques, ils exigent des entreprises qu’elles leur fournissent la preuve qu’elles sont préparées à faire face à une future attaque, les incitant ainsi à relever leurs normes.

Nous estimons qu'il est extrêmement important de pouvoir payer la rançon, car cela peut limiter ou éviter la perte d'exploitation. Nous sommes là pour aider nos clients, or dans certaines situations c'est la meilleure solution, et cela peut être économiquement plus rentable", justifie Hiscox, l'un des assureurs les plus anciens sur le marché français de l'assurance cyber dont il détient environ 10%. La décision finale revient toujours à l'expert de l'assureur Mais attention, "l'idée n'est pas de payer à tout prix", précise Nicolas Kaddeche, directeur technique de Hiscox Assurances France.

Dans le même temps, le ministère de l’économie et des finances publie un rapport portant sur « le développement de l’assurance du risque cyber ». Le texte de loi prévoit l’autorisation du paiement des rançons par les assureurs, tout en conditionnant celle-ci « au dépôt de plainte de la victime afin de renforcer son accompagnement et améliorer les opérations d’investigation des autorités de police, justice et gendarmerie ». Voir notre dossier : Attaques aux rançongiciels : la déferlante Le rapport ébauche également un plan d’action destiné à accompagner le développement de l’assurance cyber en France, qui ne représente aujourd’hui que « 3 % des cotisations en assurance dommage des professionnels ».

à la technologie d’œuvrer ensemble vers un objectif de « prévention ». Des processus doivent également être définis pour le cas où la technologie ferait défaut ou serait contournée par des cybercriminels, y compris des processus de contrôle proactif, de détection rapide et de réponse et d’endiguement immédiats. L’assurance demeure pertinente uniquement en tant que « remède » d’urgence, dans la mesure où une bonne cyber-résilience est plus que jamais déterminante pour les entreprises. Et effet, même si la France travaille actuellement sur un projet de loi autorisant l’indemnisation par les assurances des rançons payées par leurs clients, c’est bien dans un objectif global d’élever le niveau de cybersécurité des entreprises car il est évident qu’une cyberassurance sera conditionnée au fait que l’entreprise justifie d’investissements préalables.

Suite à un rapport de la direction générale du Trésor sur le marché de la cyber-assurance, Bercy va intégrer dans un projet de la loi la possibilité d'être indemnisée en cas d'attaque par rançongiciel. Seule obligation pour les entreprises, le dépôt d'une plainte. C’est un sujet délicat auquel s’attaque le Gouvernement et Bercy en particulier : la cyber-assurance. A la suite d’un rapport de la direction générale du Trésor sur ce marché (initié il y a un peu plus d'un an), le ministère de l’Economie et des Finances a proposé en Conseil des ministres du 7 septembre, « une mesure dédiée

Une proposition qui semble étonnante quand on sait que les autorités suggèrent généralement aux entreprises de ne surtout pas payer les rançons réclamées par les hackers. Cependant, la réalité est généralement différente : le FBI estime que la cybercriminalité a coûté 6,3 milliards d’euros au cours de l’année passée. Dans de nombreuses situations, les entreprises sont obligées de payer pour récupérer leurs données, ou simplement ou pour pouvoir accéder à leurs infrastructures numériques. Ce nouveau texte vise également à décourager les hackers.

Il n'est pas rare de voir des questionnaires de 300 à 500 questions destinés à apprécier la qualité du risque. Les PME commencent à bouger, mais les attentes techniques sont tellement importantes que parfois elles sont dans l'incapacité de s'assurer", détaille Guillaume Deschamps. Stoïk, l'assurtech qui dit non au paiement des rançons Chez Stoïk, un nouvel entrant sur le marché de l'assurance cyber, pas de questionnaire à rallonge. La start-up, qui a récemment levé 11 millions d'euros, a pour ambition de devenir leader de l'assurance cyber sur le marché des TPE-PME (jusqu'à 50 millions d'euros de CA) avec un concept : une assurance associée à un logiciel de détection des failles de sécurité, qui lui sert aussi à

En effet, les cybercriminels visent en priorité les entreprises qui disposent d’une couverture, car ils sont assurés d'être payés. Si toutes les entreprises sont logées à la même enseigne, cela devrait peut-être aider. Sur les conseils du Trésor, une équipe de travail a été créée pour réfléchir à d'autres solutions afin de faire évoluer la cyber-assurance. Les membres du groupe doivent se réunir en septembre pour une première réunion.

Les employés en télétravail sont ainsi rapidement devenus les premières cibles des pirates, et le volume de violations réussies dues à des ransomwares a atteint des sommets. Tout comme le coût de la récupération des données. Un récent rapport d’IBM montre que le coût total moyen d’une violation de données a augmenté en 2021, passant de 4,24 millions de dollars à 4,35 millions de dollars, soit le plus haut niveau jamais enregistré. Les assurances ont commencé à couvrir ces coûts pour les entreprises, y compris via le paiement de rançons.

Une minorité d'assureurs refuse de couvrir les rançons Bien que Generali France et Axa France (hors grandes entreprises, toujours couvertes par Axa XL) aient tous les deux renoncé au remboursement des rançons, ils ne représentent pas la position majoritaire des assureurs. Le 21 juillet 2022, l'Association de Genève, un lobby international de l'assurance, a annoncé qu'elle s'opposait à l’interdiction du paiement des rançons par les gouvernements. "Interdire le paiement des rançons ou leur remboursement par les assureurs entraînerait probablement la clandestinité des transactions, privant les autorités de la capacité d’enregistrer et d’analyser les incidents et de poursuivre les criminels", estime-t-elle.

Payer la rançon, pas toujours rentable En effet, un rapport d'IBM évaluant le coût moyen des cyberattaques entre mars 2021 et mars 2022, indique que le paiement de la rançon n'est pas toujours rentable pour l'entreprise. Cela ferait diminuer la note d'une cyberattaque de 610 000 dollars en moyenne mondiale, mais sans compter la rançon, dont la moyenne est supérieure selon Sophos. Une autre étude d'avril 2022 de la société spécialisée en cybersécurité Cybereason, réalisée auprès de 1456 entreprises de plus de 700 salariés (dont 10% en France), révèle que 68% des sociétés qui paient se font attaquer de nouveau moins d’un mois après la première cyberattaque.

aux cyber-rançons au sein du projet de loi d’orientation et de programmation du ministère de l’Intérieur (LOPMI) ». Dans le communiqué, il est précisé que cette mesure concerne l’obligation pour les victimes de déposer une plainte pour être indemnisée. Il s’agit d’une des propositions du rapport du Trésor, qui souhaite « conditionner l’indemnisation d’une assurance cyber-rançon au dépôt de plainte de la victime afin de renforcer son accompagnement et améliorer les opérations d’investigation des autorités de police, de justice et de gendarmerie ».

Maintenez vos logiciels à jour. - Examinez attentivement les emails avant de les ouvrir. Soyez attentifs aux signaux d'alerte. Par exemple, l'adresse de l'expéditeur peut être erronée, les URL intégrées peuvent sembler étranges ou le courriel peut contenir de nombreuses fautes d'orthographe et de grammaire. - Ne cliquez pas sur les fenêtres publicitaires lorsque vous utilisez l'internet. Les cybercriminels utilisent de fausses publicités pour attirer leurs victimes. Vous pouvez éviter les pop-up en utilisant un bloqueur de pop-up. -

Tous les indicateurs convergent en tout cas vers une hausse de la demande pour l'assurance cyber de la part des TPE-PME, qui sont aujourd'hui moins de 1% à être couvertes. Une demande malheureusement supérieure à l'offre.

La proposition peut apparaître surprenante aux premiers abords, car le message martelé par les autorités est de ne pas payer les rançons en cas d’attaques. Mais de la théorie à la pratique, il y a souvent un fossé. Certaines PME-PMI n’ont souvent pas d’autres choix de payer pour tenter de récupérer leurs données ou l’accès à leur système. Par contre, les victimes sont peu nombreuses à se faire connaître et à déposer plainte. Structurer un marché en plein doute Sur le volet cyber-assurance, cette décision remet les acteurs du marché dans le jeu à un moment où plusieurs assureurs avaient jeté l’éponge.

Il n'est pas rare de voir des questionnaires de 300 à 500 questions destinés à apprécier la qualité du risque. Les PME commencent à bouger, mais les attentes techniques sont tellement importantes que parfois elles sont dans l'incapacité de s'assurer", détaille Guillaume Deschamps. Stoïk, l'assurtech qui dit non au paiement des rançons Chez Stoïk, un nouvel entrant sur le marché de l'assurance cyber, pas de questionnaire à rallonge. La start-up, qui a récemment levé 11 millions d'euros, a pour ambition de devenir leader de l'assurance cyber sur le marché des TPE-PME (jusqu'à 50 millions d'euros de CA) avec un concept : une assurance associée à un logiciel de détection des failles de sécurité, qui lui sert aussi à

Maintenez vos logiciels à jour. - Examinez attentivement les emails avant de les ouvrir. Soyez attentifs aux signaux d'alerte. Par exemple, l'adresse de l'expéditeur peut être erronée, les URL intégrées peuvent sembler étranges ou le courriel peut contenir de nombreuses fautes d'orthographe et de grammaire. - Ne cliquez pas sur les fenêtres publicitaires lorsque vous utilisez l'internet. Les cybercriminels utilisent de fausses publicités pour attirer leurs victimes. Vous pouvez éviter les pop-up en utilisant un bloqueur de pop-up. -

Tout le monde ne réagit pas comme l'hôpital de Corbeil-Essonnes, victime d'une cyberattaque par rançongiciel au mois d'août, qui affirme qu'il ne paiera jamais la rançon que lui réclament les pirates (même si celle-ci a été ramenée de 10 à 1 million de dollars par le GIGN). 62% des entreprises françaises ayant été victimes d'un rançongiciel ont payé la rançon, selon un rapport de l'assureur Hiscox, pour lequel Forrester a interrogé 900 entreprises françaises fin 2021 et début 2022. C'est 3 points de moins que l'année précédente, et c'est tant mieux, si l'on en croit les dernières études publiées sur la question.

Mais, ce n’est pas parce que l’on dispose d’une cyberassurance que l’on peut se passer d’une posture de sécurité robuste et proactive. Les violations coûtent plus cher aux entreprises que leurs primes d’assurance : outre la perte des données et le processus de récupération, les entreprises doivent également assumer les frais liés à la remédiation, à la perte de réputation et aux amendes réglementaires. Les hausses de prix ne sont pas une bonne chose en soi, mais l’augmentation des primes de cyberassurance pourrait bien faire exception à la règle, en incitant toutes les entreprises à revoir sans délai leurs protocoles de cybersécurité et à s’assurer que leurs équipes sont correctement outillées pour identifier, signaler et traiter les menaces afin qu’un basculement d’une attitude de récupération réactive vers une attitude de prévention proactive et de cyber-résilience puisse s’opérer.

Les entreprises peuvent ainsi se parer face aux attaques et s’en rétablir rapidement en bénéficiant d’une récupération granulaire à la source, ou sur un autre emplacement de stockage, y compris de cloud public. Grâce à ses fonctionnalités "virtual air gap”, de sécurité multicouche, et à la détection des anomalies par ML, FortKnox protège les entreprises non seulement contre les ransomwares mais aussi contre les menaces internes. Il ne serait pas difficile d’aligner nos garanties sur celles de nos concurrents, mais elles ne protègeront pas plus les entreprises que les leurs !

Les entreprises peuvent ainsi se parer face aux attaques et s’en rétablir rapidement en bénéficiant d’une récupération granulaire à la source, ou sur un autre emplacement de stockage, y compris de cloud public. Grâce à ses fonctionnalités "virtual air gap”, de sécurité multicouche, et à la détection des anomalies par ML, FortKnox protège les entreprises non seulement contre les ransomwares mais aussi contre les menaces internes. Il ne serait pas difficile d’aligner nos garanties sur celles de nos concurrents, mais elles ne protègeront pas plus les entreprises que les leurs !

Ils se comportaient comme des entreprises, proposant des ransomwares en tant que service (RaaS) et vendant leurs codes au plus offrant sur le Dark Web, avec pour conséquence indirecte d’avoir réduit les obstacles à l’entrée pour une nouvelle génération de cybergangs. En plus de n’avoir pas le même niveau de compétences et de connaissances permettant de gérer ce type d’entreprise complexe, ces nouveaux acteurs malveillants font également peu de cas des règles établies par les gangs notoires, tels que GandCrab.

À l'occasion du Conseil des Ministres du 7 septembre 2022, Bercy a donc proposé d'intégrer « une mesure dédiée aux cyber-rançons au sein du projet de loi d’orientation et de programmation du ministère de l’Intérieur (LOPMI) ». Une indemnisation conditionnée à un dépôt de plainte Dans le communiqué de presse du ministère, il est précisé que cette mesure concerne l’obligation pour les victimes de déposer une plainte pour être indemnisée. Cette décision découle du rapport publié par la direction générale du Trésor qui propose de « conditionner l’indemnisation d’une assurance cyber-rançon au dépôt de plainte de la victime afin de renforcer son accompagnement et améliorer les opérations d’investigation des autorités de police, de justice et de gendarmerie ».

Bercy annonce ainsi la mise en place d’une task force consacrée à l’assurance du risque cyber à partir du mois de septembre. Celle-ci sera chargée de mettre en œuvre les orientations détaillées dans le cadre du plan d’action gouvernemental visant à soutenir le développement de l’assurance cyber. Clarification nécessaire Le paiement des rançons exigées par les cybercriminels n’a jamais été illégal en France, mais cette solution restait officiellement déconseillée par les autorités. Au mois d’avril 2021, le directeur de l’Agence nationale de sécurité des systèmes d’information (Anssi), Guillaume Poupard, avait ainsi dénoncé lors d’une audition au

à la technologie d’œuvrer ensemble vers un objectif de « prévention ». Des processus doivent également être définis pour le cas où la technologie ferait défaut ou serait contournée par des cybercriminels, y compris des processus de contrôle proactif, de détection rapide et de réponse et d’endiguement immédiats. L’assurance demeure pertinente uniquement en tant que « remède » d’urgence, dans la mesure où une bonne cyber-résilience est plus que jamais déterminante pour les entreprises. Et effet, même si la France travaille actuellement sur un projet de loi autorisant l’indemnisation par les assurances des rançons payées par leurs clients, c’est bien dans un objectif global d’élever le niveau de cybersécurité des entreprises car il est évident qu’une cyberassurance sera conditionnée au fait que l’entreprise justifie d’investissements préalables.

Payer la rançon, pas toujours rentable En effet, un rapport d'IBM évaluant le coût moyen des cyberattaques entre mars 2021 et mars 2022, indique que le paiement de la rançon n'est pas toujours rentable pour l'entreprise. Cela ferait diminuer la note d'une cyberattaque de 610 000 dollars en moyenne mondiale, mais sans compter la rançon, dont la moyenne est supérieure selon Sophos. Une autre étude d'avril 2022 de la société spécialisée en cybersécurité Cybereason, réalisée auprès de 1456 entreprises de plus de 700 salariés (dont 10% en France), révèle que 68% des sociétés qui paient se font attaquer de nouveau moins d’un mois après la première cyberattaque.

Une minorité d'assureurs refuse de couvrir les rançons Bien que Generali France et Axa France (hors grandes entreprises, toujours couvertes par Axa XL) aient tous les deux renoncé au remboursement des rançons, ils ne représentent pas la position majoritaire des assureurs. Le 21 juillet 2022, l'Association de Genève, un lobby international de l'assurance, a annoncé qu'elle s'opposait à l’interdiction du paiement des rançons par les gouvernements. "Interdire le paiement des rançons ou leur remboursement par les assureurs entraînerait probablement la clandestinité des transactions, privant les autorités de la capacité d’enregistrer et d’analyser les incidents et de poursuivre les criminels", estime-t-elle.

et du choix du contrat d’assurance à mettre en place afin de veiller à ce qu’il n’y a pas de trou de garantie. Vous souhaitez en savoir davantage, un devis assurance cyber personnalisé ? Contactez-nous au 01 76 41 03 44 ! Nous serons heureux de répondre à vos questions ! Marc-Henri BOYDRON

Nous estimons qu'il est extrêmement important de pouvoir payer la rançon, car cela peut limiter ou éviter la perte d'exploitation. Nous sommes là pour aider nos clients, or dans certaines situations c'est la meilleure solution, et cela peut être économiquement plus rentable", justifie Hiscox, l'un des assureurs les plus anciens sur le marché français de l'assurance cyber dont il détient environ 10%. La décision finale revient toujours à l'expert de l'assureur Mais attention, "l'idée n'est pas de payer à tout prix", précise Nicolas Kaddeche, directeur technique de Hiscox Assurances France.

Les souscripteurs français de ce type de garanties restent principalement les grandes entreprises (84 % d’entre elles disposent d’un tel contrat), tandis que les organisations de taille plus modestes peinent encore à adopter ces outils. L’autre ambition du texte est de permettre une meilleure appréciation du phénomène des attaques par rançongiciels par les pouvoirs publics. Dans de nombreux cas, les forces de l’ordre estiment que le nombre de plaintes déposées est bien en dessous du chiffre réel des entreprises piratées, parce qu’elles choisissent souvent de payer la rançon sans signaler l’incident.

Suite à un rapport de la direction générale du Trésor sur le marché de la cyber-assurance, Bercy va intégrer dans un projet de la loi la possibilité d'être indemnisée en cas d'attaque par rançongiciel. Seule obligation pour les entreprises, le dépôt d'une plainte. C’est un sujet délicat auquel s’attaque le Gouvernement et Bercy en particulier : la cyber-assurance. A la suite d’un rapport de la direction générale du Trésor sur ce marché (initié il y a un peu plus d'un an), le ministère de l’Economie et des Finances a proposé en Conseil des ministres du 7 septembre, « une mesure dédiée

Toutefois, la situation est bien différente en 2022. Tout comme le paysage des menaces de cybersécurité, le marché de la cyberassurance a rapidement évolué l’année dernière. Les cyberassureurs, qui se remettent de deux années historiques, affinent leurs processus de qualification et haussent la barre pour les indemnisations, de sorte que les entreprises ne peuvent plus compter sur les seules assurances dans le cadre de leurs stratégies de protection et de récupération. Il est désormais nécessaire de mettre en place une stratégie de cybersécurité sophistiquée permettant autant que possible aux personnes, aux processus et

"D'abord, on cherche à savoir quelle est la sensibilité des données chiffrées, s'il existe des sauvegardes, ou une autre solution. Nous travaillons avec des partenaires en fonction des types de clients et d'attaques pour qualifier, circonscrire l'incident, et éviter qu'il ne s'aggrave. C'est l'expert qui statue en dernier ressort. La décision est prise considérant l'intérêt opérationnel et économique. Si le client décide tout seul de payer sans l'accord de l'assureur, il ne sera pas remboursé. Si l'assureur donne son feu vert, nous assistons le client pour payer et négocier", Moins de 60% des clients de Hiscox paient la rançon.

Tout le monde ne réagit pas comme l'hôpital de Corbeil-Essonnes, victime d'une cyberattaque par rançongiciel au mois d'août, qui affirme qu'il ne paiera jamais la rançon que lui réclament les pirates (même si celle-ci a été ramenée de 10 à 1 million de dollars par le GIGN). 62% des entreprises françaises ayant été victimes d'un rançongiciel ont payé la rançon, selon un rapport de l'assureur Hiscox, pour lequel Forrester a interrogé 900 entreprises françaises fin 2021 et début 2022. C'est 3 points de moins que l'année précédente, et c'est tant mieux, si l'on en croit les dernières études publiées sur la question.

qualifier les dossiers de souscription. L'autre particularité de Stoïk, c'est qu'elle refuse catégoriquement d'intégrer le paiement des rançons à son produit. Pour son président Jules Veyrat, cela revient à "se tirer une balle dans le pied en alimentant la criminalité", et "c'est déresponsabilisant". Il préfère miser sur la prévention. La start-up couvre les entreprises jusqu'à 1 million d'euros. Distribuée par les courtiers, elle prévoit 800 à 1000 contrats signés en 2022, et assure que le non-remboursement de la rançon n'est en aucune façon un obstacle à son développement.

Sur le paiement par les assureurs des rançons réclamées par des pirates informatiques, le gouvernement persiste et signe : dans un communiqué diffusé mercredi 7 septembre au matin, le ministère de l’économie confirme que la mesure autorisant le paiement des rançons par les entreprises victimes de piratage informatique reste à l’ordre du jour du projet de loi d’orientation et de programmation du ministère de l’intérieur. Ce texte, initialement présenté au mois de mars, avant l’élection présidentielle, a été inscrit mercredi au conseil des ministres dans une version allégée, comptant quinze articles contre la trentaine prévue.

Bercy annonce ainsi la mise en place d’une task force consacrée à l’assurance du risque cyber à partir du mois de septembre. Celle-ci sera chargée de mettre en œuvre les orientations détaillées dans le cadre du plan d’action gouvernemental visant à soutenir le développement de l’assurance cyber. Clarification nécessaire Le paiement des rançons exigées par les cybercriminels n’a jamais été illégal en France, mais cette solution restait officiellement déconseillée par les autorités. Au mois d’avril 2021, le directeur de l’Agence nationale de sécurité des systèmes d’information (Anssi), Guillaume Poupard, avait ainsi dénoncé lors d’une audition au

Toutefois, la situation est bien différente en 2022. Tout comme le paysage des menaces de cybersécurité, le marché de la cyberassurance a rapidement évolué l’année dernière. Les cyberassureurs, qui se remettent de deux années historiques, affinent leurs processus de qualification et haussent la barre pour les indemnisations, de sorte que les entreprises ne peuvent plus compter sur les seules assurances dans le cadre de leurs stratégies de protection et de récupération. Il est désormais nécessaire de mettre en place une stratégie de cybersécurité sophistiquée permettant autant que possible aux personnes, aux processus et

Le rapport du Trésor tente donc de clarifier le cadre juridique pour l’ensemble des acteurs. Outre l’indemnisation des victimes avec obligation d’un dépôt de plainte, l’administration plaide pour « un principe général d’inassurabilité des sanctions administratives », c’est-à-dire de ne pas couvrir les amendes potentielles liées à la non-conformité avec un cadre réglementaire, comme le RGPD. Parmi les autres recommandations, le rapport donne des pistes de solutions : « L’assurance paramétrique qui permet le versement automatique d’une prestation établie en fonction d’un indice mesurable automatiquement, le développement de solutions d’auto-assurance telles que les captives de réassurance pourrait permettre de créer un marché de l’assurance du risque cyber ».

En France le système de cyber assurance est peu connu, le chiffre d'affaire est de seulement 50 millions de dollars selon la Fédération française de l'assurance (FFA) contre 3 milliards aux États-Unis, soit une différence de 2,95 milliards de dollars ! Pour Christophe Zaniewski le directeur général d'AIG France « La réglementation liée aux données personnelles est stricte aux États-Unis depuis 2004. Les entreprises sont donc sensibilisées au vol des informations de leurs clients et s'assurent contre ce risque ».

Et seulement 42% ont récupéré l'intégralité de leurs données et de l'usage de leurs systèmes d'information. Pour autant, on ne parle plus, en France, d'interdire le paiement des rançons. Au contraire, un projet de loi (LOPMI) proposait avant l'élection présidentielle de clarifier cette question, en conditionnant leur remboursement par les assurances cyber au dépôt d'une plainte sous 48h, afin que "les services compétents disposent des informations nécessaires pour poursuivre les auteurs de l’infraction".

Et seulement 42% ont récupéré l'intégralité de leurs données et de l'usage de leurs systèmes d'information. Pour autant, on ne parle plus, en France, d'interdire le paiement des rançons. Au contraire, un projet de loi (LOPMI) proposait avant l'élection présidentielle de clarifier cette question, en conditionnant leur remboursement par les assurances cyber au dépôt d'une plainte sous 48h, afin que "les services compétents disposent des informations nécessaires pour poursuivre les auteurs de l’infraction".

Sur le paiement par les assureurs des rançons réclamées par des pirates informatiques, le gouvernement persiste et signe : dans un communiqué diffusé mercredi 7 septembre au matin, le ministère de l’économie confirme que la mesure autorisant le paiement des rançons par les entreprises victimes de piratage informatique reste à l’ordre du jour du projet de loi d’orientation et de programmation du ministère de l’intérieur. Ce texte, initialement présenté au mois de mars, avant l’élection présidentielle, a été inscrit mercredi au conseil des ministres dans une version allégée, comptant quinze articles contre la trentaine prévue.

"D'abord, on cherche à savoir quelle est la sensibilité des données chiffrées, s'il existe des sauvegardes, ou une autre solution. Nous travaillons avec des partenaires en fonction des types de clients et d'attaques pour qualifier, circonscrire l'incident, et éviter qu'il ne s'aggrave. C'est l'expert qui statue en dernier ressort. La décision est prise considérant l'intérêt opérationnel et économique. Si le client décide tout seul de payer sans l'accord de l'assureur, il ne sera pas remboursé. Si l'assureur donne son feu vert, nous assistons le client pour payer et négocier", Moins de 60% des clients de Hiscox paient la rançon.

Mais même lorsque les employés sont formés à identifier ces risques, des incidents peuvent malgré tout se produire. Dans ce contexte, les compagnies d’assurance ont mis en place des offres pour soutenir les entreprises qui ne seraient pas en mesure de se rétablir d’une attaque . En parallèle, d’autres entreprises se sont inspirées de ce modèle économique pour développer leur propre assurance. Mais évidemment, compte tenu des sommes en jeu, ces assurances intègrent des exclusions de garantie pouvant être pénalisantes.

À l'occasion du Conseil des Ministres du 7 septembre 2022, Bercy a donc proposé d'intégrer « une mesure dédiée aux cyber-rançons au sein du projet de loi d’orientation et de programmation du ministère de l’Intérieur (LOPMI) ». Une indemnisation conditionnée à un dépôt de plainte Dans le communiqué de presse du ministère, il est précisé que cette mesure concerne l’obligation pour les victimes de déposer une plainte pour être indemnisée. Cette décision découle du rapport publié par la direction générale du Trésor qui propose de « conditionner l’indemnisation d’une assurance cyber-rançon au dépôt de plainte de la victime afin de renforcer son accompagnement et améliorer les opérations d’investigation des autorités de police, de justice et de gendarmerie ».

En France le système de cyber assurance est peu connu, le chiffre d'affaire est de seulement 50 millions de dollars selon la Fédération française de l'assurance (FFA) contre 3 milliards aux États-Unis, soit une différence de 2,95 milliards de dollars ! Pour Christophe Zaniewski le directeur général d'AIG France « La réglementation liée aux données personnelles est stricte aux États-Unis depuis 2004. Les entreprises sont donc sensibilisées au vol des informations de leurs clients et s'assurent contre ce risque ».

qualifier les dossiers de souscription. L'autre particularité de Stoïk, c'est qu'elle refuse catégoriquement d'intégrer le paiement des rançons à son produit. Pour son président Jules Veyrat, cela revient à "se tirer une balle dans le pied en alimentant la criminalité", et "c'est déresponsabilisant". Il préfère miser sur la prévention. La start-up couvre les entreprises jusqu'à 1 million d'euros. Distribuée par les courtiers, elle prévoit 800 à 1000 contrats signés en 2022, et assure que le non-remboursement de la rançon n'est en aucune façon un obstacle à son développement.

Par exemple, par le biais de certains types de phishing - alors que 90% des cyberattaques débutent par du phishing ! Et si ces exclusions ne font pas fuir les entreprises, voici une sélection parmi les dizaines de conditions supplémentaires qu’elles devront remplir pour faire valoir ces garanties : • Faire un check-up mensuel et appliquer toutes les instructions qui en découlent, aussi lourdes et coûteuses soient-elles. • Être en permanence à jour des dernières versions et corrections. • Être tenue de suivre à la fois (a) les règles sur le "renforcement de la sécurité", qui changent fréquemment, et (b) les meilleures pratiques de l’industrie "alors en vigueur" concernant la protection des informations d’identification, un domaine régulièrement ciblé par les auteurs d’attaques par phishing (comment ces “best practices" sont définies est ouvert à interprétation et souvent laissé à l’appréciation de l’assureur).

l'Amrae, le montant des primes versées par les entreprises a augmenté de plus de 44% en 2021, alors même que les capacités souscrites (le montant maximum des garanties) ont baissé de 32%. Pour les grandes entreprises par exemple, les taux de prime ont doublé. Un "traitement de cheval", de la bouche même de l'Amrae, destiné à redresser la rentabilité de l'assurance cyber pour les assureurs. Chez Hiscox, qui s'adresse à un coeur de cible PME (jusqu'à 50 millions d'euros de chiffre d'affaires), les primes ont augmenté de 15 à 25% en moyenne.

Par exemple, par le biais de certains types de phishing - alors que 90% des cyberattaques débutent par du phishing ! Et si ces exclusions ne font pas fuir les entreprises, voici une sélection parmi les dizaines de conditions supplémentaires qu’elles devront remplir pour faire valoir ces garanties : • Faire un check-up mensuel et appliquer toutes les instructions qui en découlent, aussi lourdes et coûteuses soient-elles. • Être en permanence à jour des dernières versions et corrections. • Être tenue de suivre à la fois (a) les règles sur le "renforcement de la sécurité", qui changent fréquemment, et (b) les meilleures pratiques de l’industrie "alors en vigueur" concernant la protection des informations d’identification, un domaine régulièrement ciblé par les auteurs d’attaques par phishing (comment ces “best practices" sont définies est ouvert à interprétation et souvent laissé à l’appréciation de l’assureur).

Une meilleure visibilité dans un monde où prévaut le télétravail La technologie XDR (détection et réponse étendues) est aujourd’hui l’un des concepts de cybersécurité à la mode. Et pour cause, l’XDR améliore la visibilité sur les opérations de sécurité et renforce l’efficacité des équipes de défense en leur donnant accès à un contexte plus riche mais également un accès centralisé à un ensemble d’outils pour stopper les attaques. La cyberassurance est vraisemblablement en passe de devenir indispensable aux organisations.

Lire aussi Article réservé à nos abonnés Experts en gestion de crise, des négociateurs assistent les entreprises face aux rançongiciels Après les interrogations soulevées par le dirigeant de l’Anssi, plusieurs compagnies d’assurances avaient annoncé en début d’année 2021 la suspension de leurs offres proposant de couvrir le paiement des rançons, tout en réclamant une clarification des règles en vigueur. Le ministère de l’intérieur avait alors annoncé la mise en place d’un groupe de travail et d’une consultation publique sur le sujet.

Une estimation délicate, qui pose problème aux autorités, mais aussi aux compagnies d’assurances. Celles-ci ont besoin de données précises et fiables sur le nombre de victimes afin de pouvoir dimensionner correctement leurs offres et leurs prix. Louis Adam

En cas de non-conformité à 100 %, aucun dédommagement n’est bien sûr possible. • Réaliser un audit payant et non remboursable de la gestion de l’expérience client. • Accepter de faire l’objet d’une étude de cas publique sur la compromission en question. • Demander la permission à l’assureur avant de pouvoir engager des frais de recouvrement. Même si l’entreprise parvient à prouver qu’elle a respecté l’intégralité des conditions, elle ne sera éligible qu’au remboursement des dépenses de récupération, restauration et de création des données corrompues préalablement approuvées et après qu’elles aient été engagées.

Lire aussi Article réservé à nos abonnés Experts en gestion de crise, des négociateurs assistent les entreprises face aux rançongiciels Après les interrogations soulevées par le dirigeant de l’Anssi, plusieurs compagnies d’assurances avaient annoncé en début d’année 2021 la suspension de leurs offres proposant de couvrir le paiement des rançons, tout en réclamant une clarification des règles en vigueur. Le ministère de l’intérieur avait alors annoncé la mise en place d’un groupe de travail et d’une consultation publique sur le sujet.

l'Amrae, le montant des primes versées par les entreprises a augmenté de plus de 44% en 2021, alors même que les capacités souscrites (le montant maximum des garanties) ont baissé de 32%. Pour les grandes entreprises par exemple, les taux de prime ont doublé. Un "traitement de cheval", de la bouche même de l'Amrae, destiné à redresser la rentabilité de l'assurance cyber pour les assureurs. Chez Hiscox, qui s'adresse à un coeur de cible PME (jusqu'à 50 millions d'euros de chiffre d'affaires), les primes ont augmenté de 15 à 25% en moyenne.

Une meilleure visibilité dans un monde où prévaut le télétravail La technologie XDR (détection et réponse étendues) est aujourd’hui l’un des concepts de cybersécurité à la mode. Et pour cause, l’XDR améliore la visibilité sur les opérations de sécurité et renforce l’efficacité des équipes de défense en leur donnant accès à un contexte plus riche mais également un accès centralisé à un ensemble d’outils pour stopper les attaques. La cyberassurance est vraisemblablement en passe de devenir indispensable aux organisations.

Une estimation délicate, qui pose problème aux autorités, mais aussi aux compagnies d’assurances. Celles-ci ont besoin de données précises et fiables sur le nombre de victimes afin de pouvoir dimensionner correctement leurs offres et leurs prix. Louis Adam

Mais même lorsque les employés sont formés à identifier ces risques, des incidents peuvent malgré tout se produire. Dans ce contexte, les compagnies d’assurance ont mis en place des offres pour soutenir les entreprises qui ne seraient pas en mesure de se rétablir d’une attaque . En parallèle, d’autres entreprises se sont inspirées de ce modèle économique pour développer leur propre assurance. Mais évidemment, compte tenu des sommes en jeu, ces assurances intègrent des exclusions de garantie pouvant être pénalisantes.

Pour réfléchir à ces différentes propositions et à d'autres sujets (exclusion des actes de guerre, formulaire à remplir, etc.), une task force réunissant l’ensemble des acteurs sera installée fin septembre.

Pour réfléchir à ces différentes propositions et à d'autres sujets (exclusion des actes de guerre, formulaire à remplir, etc.), une task force réunissant l’ensemble des acteurs sera installée fin septembre.

En cas de non-conformité à 100 %, aucun dédommagement n’est bien sûr possible. • Réaliser un audit payant et non remboursable de la gestion de l’expérience client. • Accepter de faire l’objet d’une étude de cas publique sur la compromission en question. • Demander la permission à l’assureur avant de pouvoir engager des frais de recouvrement. Même si l’entreprise parvient à prouver qu’elle a respecté l’intégralité des conditions, elle ne sera éligible qu’au remboursement des dépenses de récupération, restauration et de création des données corrompues préalablement approuvées et après qu’elles aient été engagées.