Alain Nurbel 25 octobre 2017 Mise en valeur d'un dossier de l'Argus de l'assurance sur la Cyber Assurance

Une revue d’articles de Mathieu LEHOT et Mathias THEPOT

« Dossier Cyber Assurance. Les assureurs se plient en quatre »,
L’Argus de l’assurance, n°7523, 22 septembre 2017, pp.36-411
***
Avec la banalisation de l’usage d’internet dans les milieux professionnels et la multiplication des
supports numériques permettant de pratiquer l’Internet mobile, les systèmes d’information (SI)
des entreprises, tous secteurs d’activité confondus, sont de plus en plus exposés aux risques
cyber. En effet, dans l’espace virtuel que représente « la toile », rôdent des hackers qui, pour des
motifs idéologiques ou financiers, attaquent à distance les entreprises au moyen de logiciels
malveillants dans le but de siphonner leurs données stratégiques ou paralyser leurs systèmes
d’information.
Quelles que soient les formes que prennent ces cyberattaques, les entreprises sont exposées à un
risque de perte financière mais aussi à un risque de réputation tant vis-à-vis des clients en
portefeuille que vis-à-vis des prospects. Il y a donc une prise de conscience croissante dans les
entreprises pour mieux se protéger des hackers, en s’appuyant sur l’expertise des assureurs en
matière de prévention et de gestion du risque cyber.

1. Les logiciels malveillants utilisés dans les cyberattaques et les sinistres pour les
entreprises victimes
Principe de fonctionnement
Les logiciels malveillants peuvent se loger dans les pièces jointes des courriels entrants de
nombreux collaborateurs d’une même entreprise. En cliquant sur la pièce jointe, le logiciel
malveillant est activé, pénètre dans le système d’information et procède au cryptage des données
stratégiques qui deviennent inutilisables, entraînant alors un arrêt de la production de
l’entreprise.
Motivation des hackers
Les motivations des hackers peuvent être purement idéologiques : c’est le cas lorsqu’ils cherchent
à altérer le fonctionnement des entreprises en mettant hors service leurs sites web ou l’extranet,
dont ils savent qu’ils sont devenus des canaux stratégiques dans la gestion des relations d’affaires

1

Document pédagogique, mercredi 25 octobre 2017. Réalisé par Alain NURBEL, Directeur des études et Tuteur
universitaire de la LPBA à partir de Mathieu LEHOT et Mathias THEPOT, 2017, « Dossier Cyber assurance. Les
assureurs se plient en quatre », L’Argus de l’assurance, n°7523, 22 septembre, pp.36-41.

Page 1 sur 5

avec les clients et les partenaires. Ce type de cyberattaque correspond à une « attaque par déni de
service dite DDoS »2.
Les hackers peuvent aussi agir pour des raisons financières en procédant à un chantage au
déblocage des systèmes d’information des entreprises victimes : si vous voulez recouvrer
l’intégration de vos données et poursuivre votre activité comme avant, alors payez3 ! D’où le
néologisme « rançonlogiciel » pour désigner les logiciels malveillants ayant pour finalité la
réclamation d’une somme d’argent.
Exemples de « rançonlogiciels » et d’entreprises victimes
Nom

Date

Echelle

Entreprises victimes

Wannacry

Vendredi 12 mai 2017

150 pays dans le monde
300 000 entreprises

NHS (National Health System),
Angleterre,
400 hôpitaux et cliniques affectés
Renault, France, site de production
de Douai à l’arrêt.
(1 000 véhicules produits par jour)

NotPetya

Mardi 27 juin 2017

Entreprises européennes

SNCF, Auchan.
Saint-Gobain (220 millions d’euros
perdus soit 1,1% du chiffre
d’affaires)

Panorama des sinistres pour les entreprises victimes de cyberattaques

Dommage technique consécutif à
l'altération des fonctionnalités du
système d'information

Pertes financières liées à l'arrêt de
la chaîne de production

Panorama des
sinistres liés à la
cyberattaque
Pertes financières liées à la faible
productivité de l'entreprise durant
la phase de restauration du SI

2
3

Risque de réputation vis-à-vis des
clients, accompagné d'un risque
d'attrition consécutif à la perte de
confiance

Cf. Mathias THEPOT, L’Argus de l’assurance, n°7523, 22 septembre 2017, p.41.
En euros, en dollars ou en monnaies cryptographiques (bitcoin par exemple).

Page 2 sur 5

2. Les services d’assistance prévus dans les polices d’assurance dans le cadre de la
gestion du risque cyber par les assureurs
Typologie des services d’assistance en cas de cyberattaque

Assistance purement technique
Assistance juridique

pour débloquer les systèmes
d'information

Assistance pour communiquer
avec les clients et les partenaires
dans le but de les rassurer et de
préserver la réputation de
l'entreprise

Démarche dans la mise en œuvre de l’assistance technique chez CHUBB France4

Numéro
d'urgence appelé
par l'entreprise
victime de la
cyberattaque

4

Prise en charge
par un coach

Evaluation de la
gravité des
sinistres

Envoi d'experts
dans l'entreprise
victime de la
cyberattaque

Courtier grossiste en assurance spécialisé en risque d’entreprises.

Page 3 sur 5

3. Les bonnes pratiques mises en place par les assureurs pour se protéger du
risque cyber

Dispositifs de sauvegardes
régulières des données

Recours à des sociétés
spécialisées pour décrypter
les nouvelles techniques
des hackers sur le Dark Net
et le Deep Web

Mise en place dans le SI de
logiciels de détection des
intrusions

4. Les outils mis en place par les assureurs pour mieux prévenir et gérer le risque
cyber auquel leurs clients professionnels sont exposés
La prévention et la gestion du risque cyber passent par la souscription des bonnes polices
d’assurance qui permettront de déclencher les services d’assistance efficaces en cas de
survenance d’une cyberattaque. Cependant, pour qu’il en soit ainsi et pour que l’assureur soit
donc vraiment en mesure de respecter sa promesse, il faut que l’entreprise, qu’elle soit une PME,
un établissement de taille intermédiaire (ETI) ou une grande entreprise, collabore avec son
assureur en amont de la souscription afin de déterminer précisément son degré d’exposition aux
risques cyber.
Cette démarche adoptée par les professionnels opérant sur le marché de la cyberassurance est
illustrée par les outils mis en place par le courtier grossiste Gras Savoye5. Sa responsable technique
du risque cyber, Laure Zicry, indique que Gras Savoye a « mis au point un outil de cartographie des
risques qui permet d’identifier les scénarios majeurs en terme d’impact et de fréquence. [Gras
Savoye] propose aussi de réaliser une enquête qui permet de savoir comment la sécurité
informatique est perçue par les salariés de l’entreprise. Cela permet aux directions générales

5

Courtier grossiste présent dans le courtage d’assurance, de réassurance et de management des risques.

Page 4 sur 5

d’avoir une mesure de la sensibilité informatique dans leur société et de prendre les mesures
nécessaires de sensibilisation »6.
Cependant, les professionnels de l’assurance reconnaissent que des progrès restent à faire pour
maîtriser toutes les dimensions du risque cyber et construire des solutions d’équipement en
cyberassurance vraiment adaptées aux profils risques des entreprises. C’est le sens des propos de
José Pérez, Responsable de la sécurité de l’information chez Allianz France, qui reconnaît que les
assureurs « [recherchent] encore les paramètres qui vont [leur] permettre de cibler le risque cyber
de manière plus précise. Le manque de recul sur ce type de sinistre ne [leur] permet pas encore
d’avoir cette vision. Le spectre des attaques est, en effet, tellement large qu’il est très délicat
d’élaborer des couvertures totalement adaptées »7.

Annexe
Quelques noms de professionnels du risque cyber cités dans le dossier de l’Argus de l’assurance
Nom

Prénom

Poste

Entreprise

Type

CRESPE

Timothée

Expert cyber

Aon France

Courtier en assurance et
en réassurance

JOANANY

Jean-Paul

Responsable de la
sécurité des SI

Generali France

Compagnie d’assurance

LEPROUX

Xavier

Responsable de la
souscription des
cyberrisques

CHUBB France

Courtier grossiste en
assurance spécialisé en
risques d’entreprises

PEREZ

José

Responsable de la
sécurité de
l’information

Allianz France

Compagnie d’assurance

VIGNANCOUR

Luc

Cyber practice leader

MARSH France

Courtier en assurance et
en gestion des risques

Laure

Responsable
technique cyberrisk

Gras Savoye

Courtier en assurance, en
réassurance et en
management des risques

ZICRY

***

6
7

Propos recueillis par Mathieu LEHOT, L’Argus de l’assurance, n°7523, 22 septembre 2017, p.39.
Propos recueillis par Mathias THEPOT, L’Argus de l’assurance, n°7523, 22 septembre 2017, p.41.

Page 5 sur 5