Le questionnaire de l’assureur cyber : ce qu’on demande à une PME

Une PME qui demande une assurance cyber, ou qui la renouvelle, reçoit un questionnaire. Les cases semblent simples : « Utilisez-vous l’authentification multifacteur ? », « Avez-vous des sauvegardes ? ». Les réponses comptent pourtant plus qu’elles n’en ont l’air. Voici ce que demandent souvent les assureurs, d’après les sources publiques, et pourquoi il vaut mieux répondre avec des preuves.

Ce que couvre une assurance cyber

Pensez cybersécurité, avec le Bureau d’assurance du Canada, décrit ce que l’assurance cyber peut couvrir : les fuites de données, l’extorsion comme les rançongiciels, les interruptions technologiques, et des frais comme les conseils juridiques, l’avis aux personnes touchées, l’enquête et la restauration des données (Pensez cybersécurité). La même source rappelle qu’un avenant peut aussi exclure des garanties : chaque contrat se lit.

Ce que l’assureur demande souvent

Toujours d’après Pensez cybersécurité, l’assureur veut connaître vos activités, la date de votre dernière vérification, les données que vous recueillez et les mesures qui en contrôlent l’accès (Pensez cybersécurité). La liste de vérification du Bureau d’assurance du Canada est plus précise ; elle nomme les questions qu’on peut vous poser en demandant une assurance (Cyber Savvy Canada, en anglais) :

• l’authentification multifacteur ;
• les sauvegardes ;
• les mises à jour des logiciels ;
• l’antivirus et le pare-feu ;
• le chiffrement ;
• la formation des employés.

L’autoévaluation du même organisme ajoute un plan d’intervention en cas d’incident, et un plan de continuité testé au cours des douze derniers mois (Cyber Savvy Canada, en anglais).

Les mêmes contrôles, du côté du Centre canadien

Ces questions recoupent les contrôles de cybersécurité de base que le Centre canadien pour la cybersécurité propose aux petites et moyennes organisations : un plan d’intervention écrit, les mises à jour automatiques, la protection contre les logiciels malveillants, l’authentification à deux facteurs pour les comptes importants, la formation, des sauvegardes hors ligne testées régulièrement, et des droits d’administrateur limités (contrôles de base). Le même document suggère d’ailleurs d’envisager une police d’assurance cyber.

Pour deux de ces cases, nos articles vont plus loin : l’authentification multifacteur obligatoire dans Microsoft 365 et la règle de sauvegarde 3-2-1.

Avant de cocher une case

Pour chaque question, la bonne réponse est celle qu’on peut montrer. Pour l’authentification multifacteur, la liste des comptes qui l’ont, y compris les comptes d’administrateur. Pour les sauvegardes, la date du dernier essai de restauration ; le Centre canadien recommande justement de tester les sauvegardes régulièrement (contrôles de base). Pour les mises à jour, l’état des postes, des serveurs et du pare-feu. Pour le plan d’intervention, un document écrit que l’équipe connaît. Si une réponse est « non » ou « en partie », mieux vaut le savoir avant l’assureur.

Pourquoi répondre avec des preuves

Au Québec, le Code civil oblige à déclarer les faits qui influencent le risque, y compris en réponse aux questions de l’assureur (article 2408). Une fausse déclaration peut rendre le contrat nul à la demande de l’assureur (article 2410) ; sans mauvaise foi, en assurance de dommages, l’indemnité peut être réduite en proportion (article 2411) (Code civil du Québec). L’Autorité des marchés financiers le résume ainsi pour le grand public : une fausse déclaration peut faire perdre le droit d’être indemnisé (AMF). Le NCSC britannique le dit pour l’assurance cyber : si vous déclarez des mesures de sécurité qui ne sont pas en place, l’assureur pourrait ne pas être tenu de payer (NCSC, en anglais). Ceci est un résumé, pas un avis juridique.

Le piège est rarement un mensonge. C’est une case cochée de bonne foi : « oui, nous avons l’authentification multifacteur », alors qu’un compte d’administrateur oublié n’en a pas ; « oui, nous avons des sauvegardes », alors que personne n’a essayé d’en restaurer une. Et le Code civil demande aussi de déclarer, pendant le contrat, les changements qui aggravent le risque (article 2466).

Ce que MPJM fait, et ne fait pas

MPJM ne fixe pas les primes d’assurance, et ne vous promettra jamais qu’elles baissent. Notre analyse de sécurité et certificat MPJM vérifie les dix contrôles que les assureurs cyber vérifient, avec pour chacun ce que nous avons trouvé et ce qu’il faut corriger, pour répondre à votre assureur avec des preuves plutôt qu’avec des cases cochées.

Questions fréquentes

Que demande un assureur cyber à une PME ?

Ses activités, sa dernière vérification, les données qu’elle recueille et les mesures qui en contrôlent l’accès ; la liste du Bureau d’assurance du Canada ajoute l’authentification multifacteur, les sauvegardes, les mises à jour, l’antivirus et le pare-feu, le chiffrement et la formation.

Que risque-t-on en répondant mal au questionnaire ?

Au Québec, une fausse déclaration peut rendre le contrat nul à la demande de l’assureur ; sans mauvaise foi, en assurance de dommages, l’indemnité peut être réduite en proportion (Code civil, articles 2410 et 2411).

Le Centre canadien pour la cybersécurité parle-t-il d’assurance ?

Ses contrôles de base pour les petites et moyennes organisations suggèrent d’envisager une police d’assurance cyber, à côté du plan d’intervention, des sauvegardes et des mises à jour.

Et maintenant ?

Vous avez un questionnaire d’assureur sur votre bureau et vous n’êtes pas sûr de vos réponses ? Demandez l’analyse réseau gratuite de MPJM, offerte aux entreprises de 10 postes et plus.

P.-S. Seize questions, huit domaines, un portrait clair de vos forces et de vos angles morts : commencer l’évaluation.