Les cyberattaques constituent le premier risque économique couru par les PME/ ETI. Elles constituent la cible privilégiée des hackers, souvent très bien organisés.
Les conséquences financières sur ces entreprises sont particulièrement alarmantes puisqu’elles représentent une perte moyenne de 27 % du CA de la société. En plus des risques économiques, l’entreprise est considérée comme responsable de sa propre perte d’activité ainsi que des impayés à son fournisseur.
C’est pourquoi souscrire à une cyber assurance est un moyen de se prémunir de toute situation litigieuse tout en couvrant les pertes financières. Cependant, des conditions indispensables sont à remplir avant de pouvoir être vraiment couvert. Quelles sont les étapes et pré-requis pour souscrire à une cyber assurance ?
Table des matières
Quels sont les impacts des cyberattaques ?
Nous pouvons recenser plusieurs impacts forts :
- Interruption de service et désorganisation
- Perte d’exploitation (couramment 2 mois)
- Compromission d’information
- Juridique : Impacts sur les tiers (clients et fournisseurs, partenaires)
- Augmentation des relais d’attaque de tiers => forte responsabilité
Responsabilité d'une cyber victime
Une cyber-victime est responsable :
- De sa propre perte d’activité et emplois de ses salariés
- Du paiement d’une éventuelle rançon
- Des pertes de données personnelles vis-à-vis des tiers
- Des pertes/retards induites de ses clients
- Des impayés de ses fournisseurs
- Des anomalies vis-à-vis des services d’états (retard/non conformité des déclarations et paiements)
Les couvertures des cyber-assurances varie selon les contrats pertes financières directes à indirectes.
Pour sa protection cyber et sa couverture assurance d’entreprise un suivi RSSI régulier est indispensable. Upper-Link peut vous accompagner dans sa recherche.
Les pré-requis à mettre en place en interne pour être éligible
1. Votre Security Rating
Il s’agit de la première impression que vous laissez à votre client ou assureur. Le Security Rating implique de travailler son empreinte.
2.Parmi les autres pré-requis nécessaires :
- Antivirus / anti malware et pare feu déployés
Solution de filtrage des emails - Gestion des habilitations comptes / limitation du nombre de comptes ADMIN
- Sensibilisation des collaborateurs & mise en place de fausses campagnes de Phishing
- Politique mise à jour des CVE, absence de vulnérabilités fortes non patchées
- Accès à distance au système d’information via VPN
- Authentification multi facteurs (Comptes ADMIN & Accès distants)
- EDR / XDR managé au sein d’un SOC (interne ou externe)
- Sauvegardes déconnectées et testées
- Maturité / mesure de ses vulnérabilités (audit / pentest)
- Présence de logiciel / équipement en fin de support sans cloisonnement total / séparation du réseau
- Disposer d’un PCA / PRA
- Préparation aux exercices de gestion de crise
Un diagnostic en vue de la souscription
Upper-Link vous aide à établir un diagnostic en vue de la souscription à votre cyber assurance. Ce diagnostic comprend :
- Évaluation de l’exposition d’une organisation aux risques cyber (technique et gouvernance) dans le but de proposer une assurance cyber.
- Définition d’une « feuille de route cyber » afin de faciliter le placement / rendre possible la mise en place d’un contrat d’assurance cyber.
La démarche Upper-Link
Définir le contexte et objectifs
- Avoir une vision pertinente de l’état du niveau de sécurité du SI
- Définir des objectifs de niveau de sécurité à atteindre face aux risques identifiés
- Définir les moyens contrôle (KPI) de la validité du niveau de sécurité atteint
Objectif de la proposition Upper-Link
- Réaliser dans le cadre de sa méthodologie fondée sur le zero Trust un assessment par pilier du niveau de sécurité du SI
- Définir par priorité les postes de sécurité à risque
- Proposer un plan d’actions de remédiation par pilier avec outils requis associés
- Définir les impacts sur l’organisation actuelle du SI
- Accompagner la réalisation des actions et choix des outils
- Suivre l’atteinte des objectifs et mettre en place la gouvernance (RSSI temps partagé)
Nos conseils pour aller plus loin
- Avoir une bonne visibilité de son SI
- Application d’une bonne hygiène informatique (gouvernance …)
- Sensibilisation régulière des utilisateurs
- Déploiement de capacité de détection et de traitement d’incident
Dans la mesure où un plan de sécurisation se fait sur plusieurs années, la cybersécurité est un processus d’adaptation constante. Pour vous aider, pensez à disposer d’un RSSI en temps partagé est indispensable dans les ETI & PME.
Pour recevoir nos conseils en prévision de votre souscription à une cyber assurance, contactez-nous .
