Une petite entreprise britannique a-t-elle vraiment besoin d'une assurance cyber ?

L'assurance cyber n'est pas obligatoire au Royaume-Uni comme l'assurance responsabilité civile patronale, mais les assureurs posent maintenant suffisamment de questions de sécurité au préalable que l'obtention d'une police vous force à corriger les lacunes que vous auriez pu ignorer autrement. Si vous êtes une petite entreprise qui traite les données de paiement des clients, les dossiers personnels, ou tout ce qui est couvert par le RGPD britannique, ignorer la couverture cyber est un pari que la plupart des propriétaires regrettent après leur premier incident.

Ce que les assureurs vérifient avant de vous faire un devis

Demandez un devis cyber et vous remplirez un formulaire de proposition qui ressemble à un mini audit. Les questions standard des assureurs britanniques (Hiscox, AXA, et les souscripteurs spécialisés en cyber aux syndicats de Lloyd's suivent tous un schéma similaire) couvrent :

• L'authentification multifacteur sur le courrier électronique et l'accès à distance (RDP en particulier — les assureurs traitent le RDP exposé sans MFA comme quasi automatiquement rejeté)
• Si vous disposez de sauvegardes hors ligne ou immuables, et à quelle fréquence vous testez leur restauration
• La protection des points de terminaison sur tous les appareils de l'entreprise, pas seulement les serveurs
• Les calendriers de correction pour les vulnérabilités critiques
• Si vous avez eu une faille ou un incident de ransomware au cours des 3 à 5 dernières années
• La fréquence de la formation de sensibilisation à la sécurité des employés

Répondez « non » à MFA ou aux sauvegardes et vous serez soit rejeté, soit reçu un devis à une prime beaucoup plus élevée, soit offert une police avec une limite de sous-sinistre ransomware pratiquement inutile. Ce n'est pas un assureur qui se montre difficile — les données de sinistres dans l'industrie ont poussé les souscripteurs à renforcer les exigences depuis 2021, quand les sinistres ransomware ont explosé.

La ligne de base technique minimale que la plupart des polices attendent

D'après ce qui est demandé sur les formulaires de proposition sur le marché, considérez ceci comme votre minimum avant de postuler :

• MFA sur tous les comptes de courrier électronique et tout outil d'accès à distance (Microsoft 365 Conditional Access ou un outil comme Duo)
• Des sauvegardes suivant un schéma 3-2-1, avec au moins une copie hors ligne ou isolée de votre réseau principal
• Un contact de réaction aux incidents documenté — même si c'est juste « appelez ce numéro MSP »
• Une détection des points de terminaison, pas seulement un antivirus hérité, sur tout ce qui touche aux données des clients
• Des règles de pare-feu restreignant le RDP/SSH entrant depuis l'Internet public

Si vous êtes un cabinet de conseil de cinq personnes qui exécute tout via Microsoft 365 et quelques ordinateurs portables, c'est réalisable en un week-end. Si vous exécutez du legacy sur prem sans calendrier de correction, attendez-vous à ce que le processus de souscription prenne plus de temps et coûte plus cher.

Ce que la police paie réellement

Les polices cyber britanniques regroupent généralement plusieurs types de couverture, et il vaut la peine de savoir ce que chacune fait avant de supposer que vous êtes protégé :

• Coûts de première partie : réaction aux incidents (forensique, un cabinet comme votre coach en cas de faille), interruption d'activité, négociation et paiement des rançons (où légal), récupération de données, RP/communications de crise
• Responsabilité envers les tiers : réclamations des clients ou partenaires dont les données ont été exposées, plus les frais de défense réglementaire
• Amendes ICO : la couverture varie — certaines polices excluent explicitement les amendes réglementaires car l'assurabilité des pénalités est juridiquement floue au Royaume-Uni, alors lisez cette clause attentivement plutôt que de supposer qu'elle est incluse

Une limite d'interruption d'activité de £2m semble généreuse jusqu'à ce que vous calculiez ce qu'une semaine d'indisponibilité vous coûte réellement en facturation perdue, temps du personnel et churn client. Modélisez ce chiffre vous-même avant de choisir une limite — ne prenez pas simplement la recommandation par défaut du courtier.

Devez-vous légalement signaler une faille même sans assurance ?

Oui, et c'est ce qui trahit les petites entreprises. En vertu du RGPD britannique, si une faille risque les droits et libertés des personnes, vous devez notifier l'ICO dans les 72 heures, assurance ou non. L'assurance cyber ne supprime pas cette obligation — elle paie la forensique et le soutien juridique qui rendent le respect du délai réaliste. Essayer de gérer une réaction à une faille sans ce soutien, en utilisant un contractant IT junior et un document Word, c'est comment les entreprises finissent par s'auto-signaler en retard et attirent plus de scrutin de l'ICO que l'incident original ne le méritait.

Les lacunes courantes qui piègent les petits propriétaires d'entreprise

• Supposer qu'une police d'assurance commerciale générale couvre les incidents cyber — la plupart les excluent explicitement maintenant
• Ne pas divulguer les vulnérabilités connues sur le formulaire de proposition (les assureurs peuvent annuler la police pour non-divulgation importante)
• Acheter la police la moins chère sans vérifier la limite du sous-sinistre ransomware, qui est parfois une fraction du montant de couverture en titre
• Pas de fournisseur de réaction aux incidents nommé, ce qui signifie que vous improvisez pour en trouver un pendant l'attaque réelle

Obtener un courtier spécialisé en cyber, pas un généraliste qui le vend comme complément. La différence dans l'expérience de sinistre est significative.

Si vous voulez approfondir le côté technique de ce que les assureurs vérifient réellement, consultez les segments Blue Team et Digital Forensics de Korra Studio — ils couvrent la réaction aux incidents et l'architecture de sauvegarde avec le genre de détail qui rend les conversations de souscription beaucoup moins douloureuses.