Cyber-risques : Faire face au désengagement des assurances

Les polices d'assurance de cybersécurité se sont généralisées dans les entreprises depuis une dizaine d'années. Mais la hausse des attaques de ransomware ont mis à mal le modèle économique des cyberassurances. "Les contrats ne sont aujourd'hui plus adaptés car les sociétés d'assurance perdent trop d'argent" , indique Jérémy Sou, Territory Sales Manager de BeyondTrust, société qui développe une solution de gestion des accès privilégié (PAM) permettant de réduire le risque cyber. Selon l'expert, le montant moyen des rançons demandés aux entreprises est passé de 115 000 dollars en 2019 à 570 000 dollars au premier trimestre 2021. " Les attaques de ransomware ont aussi bien explosé en termes de volume que de montants", souligne-t-il. Résultat : de nombreux assureurs ont augmenté leurs cotisations, cessé d'assurer des entreprises à haut risque ou ont même décidé de quitter le marché des cyberassurances. A titre d'exemple, Generali a annoncé en février ne plus assurer les rançons de cyberattaques payées par les entreprises. Axa avait déjà décidé de suspendre cette garantie l'année précédente. Et cette tendance au désengagement de la part des assurances devrait s'amplifier au cours de l'année. " En 2022, il faut s'attendre à une avalanche d'annulations de cyberassurances et à de grandes difficultés pour se couvrir, avec des cotisations bien plus élevées à la clé" , met en garde William Culbert, directeur EMEA Sud de BeyondTrust. Avant d'ajouter : " Les assureurs n'hésiteront pas à invoquer tout défaut de mise en oeuvre des contrôles de cybersécurité préconisés pour refuser l'indemnisation d'un incident ou résilier le contrat" .

Des mesures de cybersécurité strictes

Dans ce contexte, les entreprises ayant mis en place des pratiques de cybersécurité strictes et alignées sur les exigences des assureurs sont les mieux armées pour négocier des conditions de couverture et des tarifs avantageux. " De nombreux assureurs demandent aux entreprises de montrer pattes blanches et de mettre en place un certain nombre de mesures de sécurité telles que la sécurisation des accès distants, la gestion des accès privilégiés, l'application du moindre privilège, la mise en place du contrôle applicatif, etc." , détaille Jérémy Sou. Cela place les entreprises n'ayant pas la capacité de déployer ce genre de mesures dans une position délicate. "Nous pouvons nous attendre à ce que certains assureurs proposent des contrats alternatifs à des taux beaucoup plus élevés pour assurer les entreprises qui n'ont pas le niveau de maturité et/ou les moyens financiers pour mettre en place des pratiques de cybersécurité" , estime Jérémy Sou. Dans ce contexte, la direction financière a un rôle clé à jouer. "Il est important qu'il y ait une vraie prise de conscience de la part des directeurs financiers et qu'ils allouent un budget nécessaire pour aider l'entreprise à améliorer sa posture de sécurité et à faire face aux risques cyber dans de bonnes conditions" , conclut Jérémy Sou.