L’augmentation des co\u00fbts des violations de donn\u00e9es, des ransomwares et d’autres cyberattaques entra\u00eene une augmentation des primes de cyberassurance et une couverture de cyberassurance plus limit\u00e9e. Cette situation de cyberassurance augmente les risques pour les organisations qui ont du mal \u00e0 trouver une couverture ou qui font face \u00e0 de fortes augmentations.<\/p>\n
Quelques Akin Gump Strauss Hauer & Feld LLP<\/a> Les clients des cabinets d’avocats, par exemple, ont signal\u00e9 une multiplication par trois des tarifs d’assurance, et les assureurs ont fait \u00abun \u00e9norme recul\u00bb sur les limites de couverture au cours des deux derni\u00e8res ann\u00e9es. Leur co-responsable de la pratique de la cybers\u00e9curit\u00e9, Michelle Reed, ajoute : \u00ab Le montant de couverture r\u00e9duit ne peut plus prot\u00e9ger les assur\u00e9s contre les cyberpertes. Une police de 10 millions de dollars peut se retrouver avec une limite de 150 000 $ sur les cyberfraudes.<\/p>\n La situation de la cyberassurance est si pr\u00e9occupante que le d\u00e9partement du Tr\u00e9sor am\u00e9ricain a r\u00e9cemment publi\u00e9 une demande d’avis du public<\/a> sur un \u00e9ventuel programme f\u00e9d\u00e9ral d’intervention en mati\u00e8re de cyberassurance. Cette demande s’ajoute \u00e0 l’\u00e9valuation men\u00e9e conjointement par l’Office f\u00e9d\u00e9ral des assurances (FIO) et l’Agence de s\u00e9curit\u00e9 de la cybers\u00e9curit\u00e9 et des infrastructures (CISA) du D\u00e9partement de la s\u00e9curit\u00e9 int\u00e9rieure pour d\u00e9terminer “la mesure dans laquelle les risques pour les infrastructures critiques d’incidents cybern\u00e9tiques catastrophiques et les risques financiers potentiels les expositions justifient une r\u00e9ponse de l’assurance f\u00e9d\u00e9rale.”<\/p>\n Ceci est le r\u00e9sultat direct de l’\u00e9volution de la nature des cyberattaques qui refl\u00e8te l’\u00e9volution des environnements num\u00e9riques et l’effet de facilitation de la criminalit\u00e9 li\u00e9e aux cryptomonnaies. Du c\u00f4t\u00e9 des cybercriminels, les kits de logiciels malveillants DIY et les plates-formes Malware-as-a-Service ont supprim\u00e9 la barri\u00e8re d’entr\u00e9e de la cybercriminalit\u00e9 et rendu le lancement d’attaques complexes abordable pour les criminels en herbe qui manquent de ma\u00eetrise de la technologie.<\/p>\n La couverture de cyberassurance ne couvrait que les interruptions d’activit\u00e9, la r\u00e9cup\u00e9ration de donn\u00e9es et les dommages \u00e0 l’infrastructure. Aujourd’hui, ils sont \u00e9galement cens\u00e9s couvrir les co\u00fbts de cyber-extorsion, les risques de r\u00e9putation, les amendes pour non-conformit\u00e9 et les risques de responsabilit\u00e9 civile, un domaine en pleine croissance \u00e0 mesure que l’interconnectivit\u00e9 entre les organisations ne cesse de se d\u00e9velopper. <\/p>\n Les outils classiques d’\u00e9valuation des primes d’un souscripteur de cyber-assurance sont le respect des meilleures pratiques d’\u00e9valuation et les tests d’intrusion. Cependant, les limites inh\u00e9rentes \u00e0 ces approches sont probl\u00e9matiques \u00e0 plusieurs niveaux.<\/p>\n Les techniques de validation de s\u00e9curit\u00e9 continues telles que la simulation de violation et d’attaque, la gestion de la surface d’attaque et l’\u00e9valuation de l’exposition aux menaces qui optimisent les programmes de s\u00e9curit\u00e9, minimisent l’exposition et fournissent des KPI quantifi\u00e9s qui peuvent \u00eatre surveill\u00e9s au fil du temps changent la donne. Passer d’une perspective d\u00e9fensive et r\u00e9active d’\u00e9valuation de l’exposition \u00e0 la menace de la partie assur\u00e9e implique de passer \u00e0 l’\u00e9valuation des dommages r\u00e9els que les attaques causeraient sur l’ensemble de la matrice des TTP MITRE ATT&CK.<\/p>\n\n