Qu'est-ce qu'une cyber-assurance et devriez-vous l'obtenir?

Internet est un endroit dangereux sur lequel s'appuyer lorsqu'il est question de votre entreprise, de vos finances ou de vos moyens de subsistance en général. Pourtant, dans notre monde hyper-connecté, nous en dépendons tous plus que nous le voudrions.

Nous donnons nos données aux entreprises et aux services. Nous payons les factures et achetons des choses en ligne. Nous mettons toutes nos identités sur le Web, faisons de notre mieux pour protéger nos identités et sécuriser nos données, et nous nous croisons les doigts: la prochaine brèche massive de données n'affectera pas nos activités ni aucun des services auxquels nous avons fait confiance. l'information financière.

Le problème est que la sécurité ne devient pas plus facile. Notre paysage numérique est en proie à des attaques de phishing, toutes sortes de programmes malveillants, y compris des ransomwares, des réseaux de zombies à la force brutale perpétrant des attaques DDoS massives, ainsi que de nombreux autres programmes de piratage et de vecteurs d'attaques potentiels. Les cybercriminels deviennent de plus en plus intelligents en 2018 et commencent déjà à utiliser l'intelligence artificielle (IA) et le machine learning (ML) pour cibler plus efficacement les entreprises et les particuliers.

Comme la violation d'Equifax a enseigné à presque tous les adultes aux États-Unis, vos données peuvent parfois être compromises par un service que vous ne connaissiez même pas avec vos informations personnellement identifiables (PII). Les vulnérabilités Meltdown et Specter récemment divulguées nous rappellent encore une fois que vos ordinateurs et vos périphériques intelligents peuvent être compromis sans que vous le sachiez. À ce stade, rien ne garantit que vos données sont sécurisées à 100%.

Ce que vous pouvez faire, en tant qu’entreprise ou en tant qu’individu, est de couvrir les pertes potentielles avec la cyberassurance. Il existe de nombreux avantages et inconvénients à l’achat d’une couverture de cyber-responsabilité (ce que nous verrons plus loin), mais si vous avez déjà des polices d’assurance pour votre maison, votre voiture, votre santé, votre animal de compagnie et votre vie, pourquoi ne pas couvrir vos données en ligne et identité numérique aussi?

1 Qu'est-ce que la cyberassurance?

La cyberassurance existe depuis plus d'une décennie. La société d'études de marché Progressive Markets prévoit que le marché mondial de la cyberassurance atteindra plus de 29 milliards de dollars d'ici 2025, tandis que PwC estime qu'il atteindra 7, 5 milliards de dollars dès 2020.

La cyberassurance est une sous-catégorie d'assurances générales qui couvre les entreprises et les particuliers contre la responsabilité et les risques liés à Internet. Il existe généralement deux niveaux de couverture de cyber responsabilité: la première partie et la troisième partie. La couverture par la première partie englobe les pertes directes subies par une organisation ou un particulier, tandis que la couverture par une tierce partie couvre les réclamations et les actions en justice intentées par des clients ou des partenaires.

La couverture diffère d'un fournisseur à l'autre, mais les domaines de couverture courants incluent les violations de données, le vol d'identité et le vol de données à caractère personnel. Il faut également tenir compte des lourds frais juridiques, des amendes et des coûts associés à la récupération des données compromises, à la réparation des systèmes, à la restauration de l'identité personnelle des clients concernés et à la notification aux clients d'infractions. La couverture peut également s'étendre à des scénarios tels que l'interruption des activités, l'extorsion de fonds ou les enquêtes judiciaires, ce qui signifie les coûts associés à la découverte de la cause et de l'impact d'une attaque. L'idée de base de la cyberassurance est de vous aider à récupérer d'une violation de données ou d'un vol d'identité en réduisant tous les coûts engendrés par la suite.



2 entreprise ou personnelle

Il est important de faire la distinction entre les polices d’assurance cyber destinées aux particuliers et celles couvrant l’ensemble de l’entreprise. La plupart des fournisseurs s’intéressent davantage aux politiques commerciales, mais un certain nombre d’entre eux proposent également des régimes personnels, principalement axés sur la couverture contre le vol d’identité. Cela signifie que des facteurs tels que la protection du revenu et le remboursement des dépenses sont associés à la récupération de votre identité, à la restauration de votre historique de crédit et à des poursuites judiciaires contre les voleurs d'identité. D'autres plans de cyberassurance personnels peuvent concerner des problèmes tels que la couverture par un virus informatique ou les dommages matériels causés à l'ordinateur.

Pour les entreprises, les polices d’assurance cyber peuvent devenir beaucoup plus compliquées. Les plans vont de la restauration aux petites et moyennes entreprises (PME) à la couverture des grandes entreprises et entreprises. La couverture commence par les données que vous collectez et stockez sur les clients, qu'il s'agisse d'une carte de crédit avec numéros de compte bancaire, de numéros de sécurité sociale ou de permis de conduire, ou simplement d'adresses et de numéros de téléphone. Un plan de couverture de base pour une petite entreprise peut couvrir les notifications d'infraction, les services de surveillance du crédit et de la fraude, les coûts associés à l'embauche d'une entreprise de relations publiques et les coûts de restauration et de reconstitution des données.

Les régimes de cyber-responsabilité des entreprises couvrent des obligations plus lourdes. Au-delà de la gestion des risques liés à l'atténuation et à la prévention de la perte de données, à la réponse aux incidents ainsi qu'aux coûts juridiques et réglementaires de tiers, cela signifie que les politiques doivent évoluer. Cela est particulièrement important en ce qui concerne les notifications de violation de données suite à des scandales comme la violation d'Uber 2016, qu'il a attendu pendant un an. Cela a conduit le Sénat américain à adopter la loi sur la sécurité des données et des violations, qui obligerait les entreprises à signaler les violations de données dans un délai de 30 jours. Les exigences sont encore plus strictes pour les entreprises opérant en Europe, où le règlement général sur la protection des données (GDPR) entré en vigueur cette année exige que les clients soient informés dans les 72 heures.



3 Comment obtenir une couverture

Il existe une liste exhaustive de plans de cyberassurance proposés par les fournisseurs traditionnels et les entreprises spécialisées dans la sécurité. Voici une liste de certains des régimes et des fournisseurs les plus populaires, et de ce que la couverture responsabilité comporte:
• Assurance ABA: Couverture des tiers et des tiers protégeant les entreprises contre les risques informatiques, réseau et Internet.

• AIG: Selon le dernier rapport de l'agence de notation de crédit Fitch intitulé "Part du marché et performance de la cyberassurance", le géant des assurances AIG est l'un des trois plus grands cyberassureurs du marché. AIG propose différents types de plans de cyberassurance, notamment une couverture d'identité personnelle et son plan CyberEdge, destinés aux entreprises couvrant le recouvrement par une première et une tierce partie, la prévention des pertes, l'extorsion, etc. Il existe également un plan CyberEdge Plus qui couvre les dommages corporels ou matériels associés à une cyberattaque, ainsi que les coûts liés aux interruptions d'activité et à la responsabilité du fait des produits.

• AXIS Capital: Couverture en matière de cyber-responsabilité professionnelle comprenant non seulement les éléments de base - violations de données, extorsion et perte, récupération de données, défense par une tierce partie, etc. - mais également des facteurs tels que violation de la propriété intellectuelle, fraude par les employés, attaques par DDoS et introduction de code malveillant dans le système d'une entreprise.

• BCS: BCS Insurance propose des plans de protection contre la cybercriminalité et la confidentialité des données via Blue Cross et Blue Shield pour les violations de données et de réseau, la perte de données causée par un sous-traitant ou un fournisseur, la protection juridique de tiers, ainsi que des fonctionnalités administratives supervisant les notifications de violation et la réponse aux incidents.

• Chubb: Un autre grand assureur selon Fitch, Chubb propose une large gamme de produits et de services de cyberassurance, notamment la réduction des sinistres et la réponse aux incidents, ainsi que des stratégies personnalisables de gestion des risques couvrant la confidentialité, les violations de réseau, les médias et les réclamations liées aux erreurs et omissions.

• CNA: L’assurance NetProtect Cyber ​​Responsabilité de CNA couvre les facteurs liés à la première et à la tierce partie, notamment l’extorsion de réseau, les frais d’interruption des activités, le vol électronique, ainsi que la responsabilité relative aux médias, à la confidentialité, à la sécurité des réseaux et à la défense.

• Assurance contre la violation de données: le processus CyberCruiseControl de ce fournisseur englobe l'identification, la protection, le contrôle et la cyber-menace, ainsi qu'un certain nombre de polices d'assurance telles que l'assurance contre la violation, la cybercriminalité et la propriété intellectuelle.

• Insureon: assureur de petites entreprises Insureon propose un large éventail d’assurances en matière de cyber responsabilité couvrant à la fois la réponse à la première partie et la défense par une tierce partie.

• Liberty Mutual: offre une couverture des dépenses liées à la fraude d'identité, ainsi que des compléments de cyber couverture et de cyber-couverture à son assurance responsabilité civile générale pour les propriétaires d'entreprise.

• Nationwide: Nationwide propose trois plans de cyberassurance: la protection contre la compromission de données, la protection contre le vol d’identité et son plan de protection CyberOne. CyberOne couvre la restauration complète des données et les loisirs, les dépenses d’entreprise perdues, ainsi que les notifications de violation de données et les réparations de système endommagées.

• RSA Broker: à ne pas confondre avec la conférence sur la sécurité, RSA Broker propose une politique en matière de cyber-risques couvrant la réponse aux incidents 24 heures sur 24 et 7 jours sur 7, l'informatique judiciaire, les relations publiques et les conseils juridiques, les frais de défense et les sanctions, l'extorsion, la perte de données et la responsabilité. entreprises.

• Voyageurs: Travelers Insurance propose différents régimes et services connexes. Les plans incluent un paquet CyberEssentials pour les PME, des plans CyberFirst pour des entreprises de technologie et des entités publiques et des plans CyberRisk pour des entreprises plus grandes. L’assureur dispose également de «cyber-coachs», d’une académie en ligne et d’un pôle de risque, et propose des services de prévention des infractions, tels que des évaluations et une formation via un partenariat avec Symantec.

• XL Group: Les assurances cyber et technologie de XL couvrent la vie privée et la sécurité, la réponse aux violations de données et la gestion de crise, les dépenses d'interruption des activités, les coûts de récupération des données, le cyberextorsion, ainsi que les amendes et pénalités résultant d'actions légales ou réglementaires.



4 facteurs d'achat à considérer

Il existe une foule de facteurs à prendre en compte lors de l’achat d’une police. Que vous optiez pour un courtier ou que vous achetiez directement auprès d’un prestataire d’assurance, la cyber-assurance est comme toute autre couverture: il existe de nombreux frais et conditions cachés à connaître avant de vous enfermer dans un contrat.

Un bon point de départ est un guide de l’acheteur pour la cyberassurance. Il est important de savoir quand votre couverture va se déclencher et quand elle ne se déclenchera pas (par exemple, la plupart des plans ne couvrent pas les cyberattaques liées au terrorisme), si le plan répond à vos besoins spécifiques en matière de risque de données et de couverture, et quelles demandes sont exclues.

Les assureurs suivent également un processus de souscription détaillé pour évaluer le risque et l'exposition potentielle des clients. Pour les entreprises en particulier, il est important de faire preuve de diligence raisonnable à l’avance et d’attaquer vos canards de sécurité. Votre entreprise a-t-elle un RSSI? Quels logiciels de sécurité et systèmes de gestion des incidents avez-vous mis en place? Quels types de données client collectez-vous et comment les chiffrez-vous et les protégez-vous? Les primes de la cyberassurance peuvent être assez coûteuses et seront d'autant plus chères que vous aurez plus de facteurs de risque. Découvrez ce calculateur de prime d’assurance cyber pour une estimation approximative en fonction du type et de la taille de votre entreprise, ou demandez directement à une entreprise de soumission.



5 Vaut-il la peine?

Un fait important à retenir est que la cyber-assurance ne remplace pas la cybersécurité. Ce n'est pas une solution technique. La couverture de la cyberassurance est votre solution de sécurité personnelle ou professionnelle, si et quand une violation ou une cyberattaque se produit, et que des coûts énormes vous sont facturés pour restaurer votre entreprise, engager des poursuites contre des clients ou récupérer votre identité numérique et financière.

Vous devriez toujours avoir une suite complète d'outils de sécurité en place, y compris une protection antivirus et ransomware, ainsi qu'un logiciel de cryptage. Oh, et n'oubliez pas les gestionnaires de mot de passe et l'authentification à deux facteurs (2FA) pour vous protéger contre le vol d'identité.

Quant à savoir si l'achat d'une cyber-assurance en vaut la peine, c'est une question de tranquillité d'esprit. Des primes potentiellement élevées pour une assurance dont vous n’avez peut-être pas besoin peuvent-elles compenser le risque de vol de votre identité ou de violation de l’infrastructure de votre entreprise et de vol de données? Si vous choisissez la bonne stratégie qui protège exactement les zones de couverture et les vecteurs d'attaque dont vous avez besoin, votre investissement en vaut la peine, car la fréquence et la gravité des incidents de cybersécurité augmentent sur le Web. Dans le même temps, il convient de se demander si les assureurs peuvent même supporter le risque montant en flèche. Alors que les violations et les vols d’identité se poursuivent et que les fournisseurs assument des coûts de nettoyage, la cyber-assurance est-elle encore une bulle en passe d’éclater?