Qu'est-ce que la cyberassurance, et votre entreprise en a-t-elle besoin ?

La cyberassurance se divise généralement en deux catégories de couverture. La couverture de première partie paie les coûts que l'entreprise elle-même engage après un incident : enquête judiciaire pour déterminer comment les attaquants sont entrés, notification des clients touchés comme l'exige la loi, surveillance du crédit pour ces clients, pertes d'interruption d'activité pendant que les systèmes sont en panne, récupération des données, et dans certaines polices, le paiement de la rançon elle-même, ainsi que le coût d'un négociateur. La couverture de tiers gère les réclamations faites contre l'entreprise par d'autres - poursuites de clients ou de partenaires dont les données ont été exposées, et paiements ou règlements liés à des enquêtes réglementaires, lorsque la couverture des amendes est légalement autorisée. Toute entreprise qui stocke des données clients, traite des paiements ou dépend d'une disponibilité continue des systèmes est une candidate plausible, et de plus en plus, la cyberassurance n'est pas facultative dans la pratique : de nombreux clients d'entreprise et contrats de fournisseurs exigent désormais une preuve de couverture comme condition pour faire affaire.

Obtenir une police - et obtenir une prime raisonnable - dépend de plus en plus de pratiques de sécurité démontrables plutôt que de simplement payer pour la couverture. Les assureurs demandent généralement l'authentification multifacteur pour l'accès à distance et les e-mails, des sauvegardes régulières des données conservées hors ligne ou autrement isolées du réseau principal, un plan écrit de réponse aux incidents, et une formation des employés contre le hameçonnage, et ils peuvent refuser la couverture ou facturer beaucoup plus sans ces bases en place. Il vaut également la peine de lire attentivement les exclusions : de nombreuses polices comportent une « exclusion de guerre » qui peut interdire les paiements pour des attaques attribuées à un État-nation, un domaine de plus en plus contesté à mesure que davantage d'incidents sont liés à des groupes parrainés par des États, et certaines polices plafonnent la couverture du paiement de rançon bien en dessous de ce qu'une demande sérieuse de rançongiciel peut atteindre. Pour ces raisons, la plupart des conseillers en cybersécurité décrivent la cyberassurance comme un filet financier qui se situe aux côtés de véritables contrôles de sécurité, et non comme un substitut à ceux-ci.