Guide · Accompagnement cyber-assurance
Un assureur cyber pose aujourd’hui des questions précises sur l’informatique de l’entreprise avant d’accorder une garantie ou de la renouveler. Elles portent sur la double authentification, les sauvegardes, la protection des postes, les correctifs ou les comptes d’administration. Elles appellent des réponses exactes, vérifiables et conformes à la réalité du parc. Cette page explique ce que recouvre l’accompagnement technique de cette démarche, à quel moment il devient utile et comment comparer les propositions.
Sommaire
La cyber-assurance, côté informatique, c’est quoi ?
Un questionnaire technique, pas un simple formulaire
Le questionnaire de souscription, ou de renouvellement, est rempli avant la signature du contrat puis à chaque échéance. Il décrit la manière dont l’entreprise protège ses systèmes : accès, sauvegardes, postes de travail, mises à jour, réaction en cas d’incident. L’assureur s’appuie sur ces réponses pour apprécier le risque. Elles engagent l’entreprise, même lorsqu’elles ont été rédigées par un collaborateur ou par un prestataire.
Ce que recouvre l’accompagnement
L’accompagnement porte sur le volet technique de la démarche. Il commence par la lecture de chaque question, rapportée à l’informatique réelle de l’entreprise : ce que recouvre un « oui » sur la double authentification, quels systèmes une sauvegarde protège réellement, quels postes sont couverts par une protection. Il se poursuit par la vérification des réponses sur pièces : configuration des accès, supports de sauvegarde et leur mode de connexion, état des correctifs, séparation des comptes d’administration. Il prépare enfin les mesures manquantes et le dossier de preuves qui justifiera les réponses si l’assureur les demande.
Ce vocabulaire revient souvent : MFA pour la double authentification, EDR pour la protection des postes, sauvegarde déconnectée pour une copie qui n’est pas accessible depuis le réseau, comptes d’administration pour les accès qui modifient la configuration, pièces justificatives pour les éléments remis à l’assureur ou au courtier. Le plan de réponse à incident, lorsqu’il existe, décrit qui décide et qui informe si un sinistre survient.
Ce que l’accompagnement ne couvre pas
Le choix de l’assureur, du courtier, des garanties, des montants, des franchises et la lecture des exclusions relèvent de l’entreprise et de son courtier. L’accompagnement ne remplace pas ce conseil en assurance. Il fournit en revanche les éléments techniques dont ce conseil a besoin, et il permet à la direction de savoir ce qu’elle signe.
Quand faut-il s’en occuper ?
Le sujet arrive presque toujours par une échéance : un questionnaire à renvoyer dans les jours qui viennent, un renouvellement conditionné à des mesures, un courtier qui réclame des pièces. Dans une PME ou une TPE, ces situations reviennent souvent :
- Un questionnaire rempli à la hâte : la personne qui le signe n’a pas le temps de vérifier chaque réponse, et les réponses ne correspondent pas toujours à l’état réel du système.
- Une double authentification annoncée mais pas généralisée : elle est active sur la messagerie, mais pas sur les accès distants ni sur les outils d’administration, alors que la question vise l’ensemble.
- Une sauvegarde présentée comme hors ligne qui ne l’est pas : le support de copie reste connecté au réseau, et une attaque peut l’atteindre.
- Un renouvellement conditionné à des mesures absentes : l’entreprise découvre les exigences au moment où l’échéance approche, sans temps pour les mettre en place.
- Des questions techniques que la direction ne sait pas interpréter : la signature repose sur une compréhension partielle de ce qui est demandé.
- Un courtier qui relance pour obtenir des justificatifs : les preuves existent en partie, mais elles sont éparses ou n’ont jamais été rassemblées.
- Un prestataire qui répond seul : il remplit le questionnaire sans expliquer ses réponses à la direction, qui découvre ensuite ce qu’elle a validé.
- Une première souscription décidée après l’incident d’un partenaire : l’entreprise doit démontrer en peu de temps un niveau de protection qu’elle n’a jamais documenté.
Comment se déroule un projet
L’accompagnement suit trois temps. Leur durée dépend de la taille du parc et de l’écart entre les pratiques actuelles et les exigences de l’assureur.
Avant l’échéance
Le point de départ est le questionnaire lui-même, ou la liste des questions du renouvellement. Chaque question est lue et rattachée à un élément précis de l’informatique : un service, un réglage, une procédure. Les réponses déjà données, lorsqu’elles existent, sont relues à la lumière de cet état des lieux. Les questions auxquelles l’entreprise ne peut pas répondre avec exactitude sont signalées avant l’envoi, et non après.
Pendant la mise à niveau
Les mesures manquantes sont classées par priorité, en commençant par celles dont dépend la souscription ou le renouvellement. Chaque mesure reçoit un responsable, côté entreprise ou côté prestataire, et un critère simple pour savoir si elle est en place. Le déploiement ou le suivi des mesures retenues est documenté au fil de l’eau : une mesure non vérifiée laisse une réponse incertaine.
Après la souscription
Le dossier de preuves est tenu à jour : captures de configuration, rapports de sauvegarde, attestations de protection des postes, procédures d’accès. Il sert à justifier les réponses si l’assureur les demande, et il prépare le renouvellement suivant, où les questions évoluent souvent. Les réponses de l’année précédente sont relues avant d’être reprises, car un réglage modifié entre-temps peut les rendre inexactes.
Ce qui distingue une bonne offre
Le prix dépend de l’écart entre les pratiques actuelles et les mesures demandées, du nombre de sites et de postes, et de l’ampleur du dossier de preuves attendu. Au-delà du montant, trois points permettent de comparer deux propositions.
La vérification sur pièces vient en premier. Une proposition qui se limite à remplir le questionnaire ne dit rien de la réalité du parc. Demandez quels contrôles sont faits avant chaque réponse, et sur quels éléments ils portent.
La priorisation doit être explicite. Toutes les mesures ne pèsent pas de la même façon dans la souscription. Une bonne proposition indique ce qui conditionne l’accord de l’assureur, ce qui renforce le dossier et ce qui peut attendre.
Le périmètre doit être écrit. Le document doit distinguer le volet technique, pris en charge, du conseil en assurance, qui reste à la charge de l’entreprise et de son courtier. Une proposition qui prétend choisir l’assureur ou peser sur le montant de la prime sort de ce cadre et doit être examinée avec prudence.
Les erreurs fréquentes
- Répondre « oui » par habitude : la mesure est partielle, mais la réponse est donnée comme complète. La parade consiste à vérifier chaque réponse sur pièces, sur le périmètre exact visé par la question.
- Signer des réponses techniques que la direction ne comprend pas : la responsabilité reste engagée sans que la portée des réponses soit connue. La parade est une relecture commentée du questionnaire avant envoi.
- Laisser le prestataire remplir seul : les réponses reflètent son point de vue, sans explication à la direction. La parade est un échange écrit sur chaque réponse, avec la personne qui signe.
- Découvrir les preuves le jour où elles sont demandées : les rapports de sauvegarde et les attestations n’ont jamais été archivés. La parade est un dossier de preuves tenu à jour dès la mise en place.
- Croire qu’une exigence reste la même d’un renouvellement à l’autre : une réponse reprise sans relecture devient inexacte après une modification du système. La parade est une revue des réponses à chaque échéance.
Les questions à poser avant de signer
Les réponses sont-elles vérifiées sur pièces avant d’être données ? Demandez quels éléments sont contrôlés et comment le contrôle est tracé.
Comment les mesures manquantes sont-elles priorisées ? La réponse doit distinguer ce qui conditionne la souscription ou le renouvellement de ce qui améliore le dossier.
Quelles preuves sont rassemblées, et où sont-elles conservées ? Le dossier doit être accessible à la direction, pas seulement au prestataire.
L’accompagnement reste-t-il sur le plan technique, sans conseil sur le contrat ? Le choix de l’assureur, des garanties et des montants relève de l’entreprise et de son courtier.
Pour démarrer, décrivez votre situation dans le formulaire de demande de devis : un spécialiste de la préparation à la cyber-assurance vous recontacte.