L’assurance existe pour prot\u00e9ger l’assur\u00e9 contre la catastrophe, mais l’assureur a besoin d’une protection pour que ses polices ne soient pas abusives – et c’est l\u00e0 que les petits caract\u00e8res entrent en jeu. Cependant, dans le cas de l’assurance contre les ransomwares, les petits caract\u00e8res deviennent controvers\u00e9s et sapent sans doute l’utilit\u00e9 de l’assurance ransomware.<\/p>\n
Dans cet article, nous expliquerons pourquoi, en particulier compte tenu du climat actuel, les clauses d’exclusion de guerre rendent de plus en plus l’assurance contre les ransomwares de valeur r\u00e9duite – et pourquoi votre organisation devrait plut\u00f4t se concentrer sur sa propre protection.<\/p>\n
Qu’est-ce qu’une assurance contre les ran\u00e7ongiciels<\/h2>\n
Ces derni\u00e8res ann\u00e9es, l’assurance contre les ransomwares s’est d\u00e9velopp\u00e9e en tant que domaine de produits parce que les organisations essaient d’acheter une protection contre les effets catastrophiques d’une attaque r\u00e9ussie de ransomware. Pourquoi essayer de souscrire une assurance ? Eh bien, une seule attaque r\u00e9ussie peut \u00e0 peu pr\u00e8s an\u00e9antir une grande organisation ou entra\u00eener des co\u00fbts \u00e9crasants – NotPetya \u00e0 lui seul a entra\u00een\u00e9 un total de 10 milliards de dollars de dommages et int\u00e9r\u00eats<\/a>. <\/p>\n Les attaques de ransomwares sont notoirement difficiles \u00e0 prot\u00e9ger compl\u00e8tement. Comme tout autre \u00e9v\u00e9nement potentiellement catastrophique, les assureurs sont intervenus pour proposer un produit d’assurance. En \u00e9change d’une prime, les assureurs s’engagent \u00e0 couvrir une grande partie des dommages r\u00e9sultant d’une attaque par ransomware. <\/p>\n Selon la politique, une politique de ransomware peut couvrir la perte de revenus si l’attaque perturbe les op\u00e9rations, ou la perte de donn\u00e9es pr\u00e9cieuses, si les donn\u00e9es sont effac\u00e9es en raison de l’\u00e9v\u00e9nement de ransomware. Une police peut \u00e9galement vous couvrir en cas d’extorsion – dans d’autres cas, elle remboursera la ran\u00e7on exig\u00e9e par le criminel. <\/p>\n Le paiement exact et les conditions seront bien s\u00fbr d\u00e9finis dans le document de politique, \u00e9galement appel\u00e9 les “petits caract\u00e8res”. Surtout, les petits caract\u00e8res contiennent \u00e9galement exclusions<\/em>, en d’autres termes les circonstances dans lesquelles la politique ne paiera pas. Et c’est l\u00e0 que r\u00e9side le probl\u00e8me.<\/p>\n Il est compr\u00e9hensible que les assureurs aient besoin de prot\u00e9ger leurs pools de primes contre les abus. Apr\u00e8s tout, il est facile pour un acteur de souscrire \u00e0 une assurance non pas parce qu’il cherche une protection, mais parce qu’il a d\u00e9j\u00e0 une r\u00e9clamation en t\u00eate.<\/p>\n Les petits caract\u00e8res ne sont pas n\u00e9cessairement une mauvaise chose, c’est un moyen pour les deux parties de d\u00e9finir les termes de l’accord afin que chacun sache ce qui est attendu et ce \u00e0 quoi il a droit. Dans le cadre de l’assurance ransomware, les petits caract\u00e8res feraient des demandes raisonnables. <\/p>\n Par exemple, votre politique vous demandera de faire un minimum d’efforts pour prot\u00e9ger votre charge de travail contre les ransomwares. Apr\u00e8s tout, il est raisonnable de s’attendre \u00e0 ce que vous preniez des pr\u00e9cautions en cas d’attaque. De m\u00eame, vous trouverez probablement une clause de notification dans votre contrat vous obligeant \u00e0 informer votre assureur de l’attaque dans un d\u00e9lai minimum.<\/p>\n Une autre exclusion courante est li\u00e9e \u00e0 la guerre<\/a>, o\u00f9 les assureurs conservent le droit de refuser d’indemniser une r\u00e9clamation si le dommage est le r\u00e9sultat d’une guerre ou d’actes de guerre. Ce sont ces petits caract\u00e8res qui inqui\u00e8tent actuellement, pour trois raisons.<\/p>\n Lorsqu’un \u00c9tat-nation s’en prend \u00e0 un autre, la cyberguerre peut \u00eatre utilis\u00e9e pour infliger des dommages en dehors du domaine habituel de la guerre. La cyberguerre peut \u00eatre incroyablement aveugle, les parties concern\u00e9es ne sont pas n\u00e9cessairement des organisations gouvernementales – il pourrait s’agir d’une entreprise prise entre deux feux. <\/p>\n Les assureurs ont des raisons valables d’essayer d’exclure ce niveau massif d’exposition. Cependant, il y a quelques probl\u00e8mes. D\u00e9finir une guerre est la premi\u00e8re question \u2013 quand un acte d’agression est-il consid\u00e9r\u00e9 comme une activit\u00e9 li\u00e9e \u00e0 la guerre ? Une autre difficult\u00e9 est l’attribution car les cyber-attaquants font g\u00e9n\u00e9ralement de leur mieux pour se d\u00e9guiser – il est rare qu’un attaquant d\u00e9clare ouvertement son implication dans une attaque. <\/p>\n Lorsqu’une organisation subit une attaque de ransomware, comment l’assureur – ou le demandeur – prouve-t-il qu’une organisation sp\u00e9cifique \u00e9tait derri\u00e8re une attaque, et par cons\u00e9quent, quelle \u00e9tait la motivation de l’attaque – par exemple la guerre ? Comment le savoir ? Trouver des preuves mat\u00e9rielles ou m\u00eame toute preuve derri\u00e8re l’attribution est tr\u00e8s difficile.<\/p>\n Repensez simplement au nombre de fois o\u00f9 des attaques de ran\u00e7ongiciels sont cens\u00e9es \u00eatre perp\u00e9tr\u00e9es par des “groupes “. Cela ne signifie pas (ne devrait pas\u00a0?) Signifier que des acteurs parrain\u00e9s par l’\u00c9tat sont \u00e0 l’origine de l’attaque, mais il est souvent si difficile de d\u00e9terminer l’origine de l’attaque que tout acteur est \u00e0 bl\u00e2mer et il est g\u00e9n\u00e9ralement tr\u00e8s difficile, voire impossible, de prouver le contraire.<\/p>\n Et voici le truc. Les r\u00e9clamations au titre de l’assurance contre les ran\u00e7ongiciels ne seront pas minimes – les demandes de ran\u00e7on se chiffrent g\u00e9n\u00e9ralement en millions, tandis que les dommages pourraient atteindre un milliard de dollars. Par int\u00e9r\u00eat personnel compr\u00e9hensible, les compagnies d’assurance essaieront de trouver tous les motifs possibles pour refuser de payer une r\u00e9clamation.<\/p>\n Il n’est donc pas \u00e9tonnant que ces revendications soient souvent contest\u00e9es \u2013 devant les tribunaux.<\/p>\n Lorsqu’il y a un d\u00e9saccord au sujet d’une r\u00e9clamation d’assurance, le demandeur se tourne g\u00e9n\u00e9ralement vers les tribunaux. L’issue de ces affaires est incertaine et la r\u00e9solution peut prendre beaucoup de temps. Un exemple est le cas de Merck contre Ace American Insurance. L’affaire faisait r\u00e9f\u00e9rence \u00e0 l’attaque NotPetya o\u00f9, en juin 2017, Merck a subi une intrusion majeure dont il lui a fallu des mois pour se remettre, et dont l’entreprise a estim\u00e9 qu’elle lui avait co\u00fbt\u00e9 1,4 milliard de dollars.<\/p>\n Cependant, lorsque la soci\u00e9t\u00e9 a tent\u00e9 de r\u00e9clamer sa police d’assurance “tous risques” de 1,75 milliard de dollars, Ace American a initialement refus\u00e9 de payer la r\u00e9clamation, arguant qu’elle \u00e9tait soumise \u00e0 une clause d’exclusion “actes de guerre”. Il a fond\u00e9 cette affirmation sur le fait que NotPetya a \u00e9t\u00e9 d\u00e9ploy\u00e9 par le gouvernement russe dans un acte de guerre contre l’Ukraine. <\/p>\n La r\u00e9clamation s’est retrouv\u00e9e devant le tribunal peu de temps apr\u00e8s, mais il a fallu plus de trois ans au tribunal pour prendre une d\u00e9cision – statuant en faveur de Merck \u00e0 cette occasion, d\u00e9clarant qu’Ace American, comme de nombreux autres assureurs, n’a pas suffisamment modifi\u00e9 le libell\u00e9. dans ses exclusions de police pour s’assurer que l’assur\u00e9 – Merck – comprenne parfaitement qu’une cyberattaque lanc\u00e9e dans le contexte d’un acte de guerre signifierait que la couverture de la police n’est pas valide.<\/p>\n L’industrie de l’assurance sait, bien s\u00fbr, qu’il y a un manque de clart\u00e9. Lors d’une r\u00e9cente \u00e9tape majeure, la Lloyd’s Market Association, un r\u00e9seau de membres de l’influent march\u00e9 Lloyds of London, a publi\u00e9 un ensemble de clauses<\/a> que ses membres pourraient inclure dans les conditions g\u00e9n\u00e9rales des produits de cyberassurance. <\/p>\n Ces clauses seraient cens\u00e9es faire un meilleur effort pour exclure les violations de la cybers\u00e9curit\u00e9 li\u00e9es \u00e0 la guerre. Mais, encore une fois, il peut y avoir des points de discorde – l’attribution \u00e9tant la plus grande pr\u00e9occupation. <\/p>\n Cela dit, il est de plus en plus probable que toute assurance contre les ran\u00e7ongiciels \u00e0 laquelle vous souscrivez ne soit pas rembours\u00e9e lorsque vous en avez le plus besoin, en particulier si l’on tient compte de l’environnement de s\u00e9curit\u00e9 mondial renforc\u00e9 d’aujourd’hui.<\/p>\n Cela ne signifie pas que l’assurance cybers\u00e9curit\u00e9 n’a aucun r\u00f4le \u00e0 jouer, selon les primes et le niveau de couverture, cela peut bien \u00eatre une option. Mais c’est une option de dernier recours : vos propres efforts internes pour prot\u00e9ger vos actifs informatiques contre les attaques restent votre premi\u00e8re ligne de d\u00e9fense – et votre meilleur pari.<\/p>\n Comme mentionn\u00e9 pr\u00e9c\u00e9demment, toute police d’assurance contre les ran\u00e7ongiciels aura des exigences minimales en mati\u00e8re de cybers\u00e9curit\u00e9 en place – des conditions que vous devez remplir pour vous assurer que votre police est pay\u00e9e. Cela peut inclure des \u00e9l\u00e9ments tels que des sauvegardes r\u00e9guli\u00e8res et fiables ainsi que la surveillance des menaces.<\/p>\n Nous aimerions vous sugg\u00e9rer d’aller plus loin et de vraiment maximiser la protection que vous mettez en place dans votre parc technologique. Mettez en place des couches de protection suppl\u00e9mentaires, en particulier un live, patch sans red\u00e9marrage<\/a> des m\u00e9canismes comme Entreprise KernelCare de TuxCare<\/a>ou Prise en charge du cycle de vie \u00e9tendu<\/a> pour les syst\u00e8mes plus anciens qui ne sont plus officiellement pris en charge. Cela aide \u00e0 r\u00e9soudre le probl\u00e8me. <\/p>\n Aucune solution ne peut vous fournir une s\u00e9curit\u00e9 herm\u00e9tique, mais elle peut vous aider \u00e0 atteindre un objectif de r\u00e9duction des fen\u00eatres de risque au minimum absolu, aussi proche que possible. Prendre les mesures maximales en termes de protection de vos syst\u00e8mes vous aidera \u00e0 \u00e9viter une situation o\u00f9 vous aurez une mauvaise surprise : comme d\u00e9couvrir que votre assurance ne couvre pas la perte de vos donn\u00e9es.<\/p>\n Alors oui, par tous les moyens, souscrivez une assurance pour vous couvrir en dernier recours. Mais assurez-vous de faire tout votre possible pour prot\u00e9ger votre syst\u00e8me en utilisant tous les outils disponibles.<\/p>\n <\/p>\n<\/div>\nQuel est le probl\u00e8me avec les petits caract\u00e8res\u00a0?<\/h2>\n
La complexit\u00e9 des exclusions de guerre<\/h2>\n
Il se peut que \u00e7a finisse au tribunal<\/h2>\n
Vous prot\u00e9ger est votre premi\u00e8re priorit\u00e9<\/h2>\n
La meilleure assurance : une posture ferme de cybers\u00e9curit\u00e9<\/h2>\n