Assurance cyber pour les entreprises

Une protection cyber en trois étapes

Avant l’incident : identifier et réduire les vulnérabilités

Selon la formule souscrite, l’assurance peut donner accès à des services de prévention destinés à améliorer progressivement la sécurité de l’entreprise :

• analyse de la surface exposée sur Internet ;
• détection des domaines, sous-domaines et services accessibles ;
• identification de certaines vulnérabilités techniques ;
• surveillance des éventuelles fuites d’identifiants ;
• audit de certains environnements Cloud ;
• vérification de la configuration des outils de sécurité ;
• simulations de phishing ;
• modules de sensibilisation pour les collaborateurs ;
• alertes en cas de vulnérabilité importante ;
• recommandations correctives classées par priorité.

Ces outils ne remplacent pas le travail du prestataire informatique ou du responsable de la sécurité. Ils lui apportent des informations complémentaires pour identifier les points de vigilance et réduire l’exposition de l’entreprise.

Une surveillance renforcée des postes et serveurs peut également être proposée en option, avec détection et traitement des menaces en continu.

Pendant l’incident : déclencher une assistance spécialisée

Lorsqu’un incident est détecté, la rapidité de réaction est essentielle.

Selon les garanties souscrites, l’entreprise peut bénéficier d’un accès à une cellule de crise disponible 24 heures sur 24 et 7 jours sur 7 afin de :

• qualifier l’incident ;
• identifier l’origine probable de l’attaque ;
• contenir la menace ;
• préserver les éléments nécessaires aux investigations ;
• coordonner les experts informatiques ;
• restaurer les systèmes et les données ;
• organiser la continuité ou la reprise de l’activité ;
• mobiliser des conseils juridiques ;
• préparer les démarches réglementaires ;
• accompagner la communication de crise.

En cas de suspicion d’attaque, contactez immédiatement le numéro d’urgence prévu dans votre contrat avant d’entreprendre des opérations susceptibles de modifier ou d’effacer des éléments utiles à l’analyse.

Après l’incident : réparer, indemniser et reprendre l’activité

Une fois l’attaque contenue, l’assurance peut prendre en charge tout ou partie des conséquences financières couvertes par le contrat.

L’accompagnement peut également permettre d’identifier les mesures correctives nécessaires afin de limiter le risque qu’un incident similaire se reproduise.

Que peut couvrir une assurance cyber ?

Les garanties varient selon l’activité de l’entreprise, son chiffre d’affaires, son niveau de sécurité et la formule souscrite.

Assistance et gestion de crise

La garantie peut prendre en charge l’intervention d’experts spécialisés pour analyser, contenir et traiter l’incident.

Elle peut notamment mobiliser :

• des experts en réponse à incident ;
• des spécialistes de la restauration informatique ;
• des conseils juridiques ;
• des experts en communication de crise ;
• des spécialistes de la protection des données.

Restauration des systèmes et des données

La couverture peut prévoir les frais nécessaires pour :

• nettoyer les systèmes compromis ;
• réinstaller les logiciels ;
• restaurer les données disponibles ;
• reconstruire certains environnements informatiques ;
• remplacer certains équipements endommagés, lorsque le contrat le prévoit.

Pertes d’exploitation

Lorsque l’activité est interrompue ou fortement perturbée par un incident garanti, le contrat peut indemniser certaines pertes financières pendant la période prévue aux conditions contractuelles.

Il est important de contrôler :

• le délai de carence ;
• la période maximale d’indemnisation ;
• la méthode de calcul de la perte ;
• les frais supplémentaires d’exploitation ;
• la couverture des incidents touchant un prestataire informatique ou Cloud.

Cyberfraude

Certaines formules peuvent couvrir des pertes financières résultant notamment :

• d’un détournement de fonds ;
• d’une fraude au virement ;
• d’une usurpation d’identité ;
• de la compromission d’une messagerie ;
• d’une manipulation frauduleuse d’un collaborateur.

Les scénarios couverts, les contrôles exigés et les plafonds doivent être étudiés avec attention.

Violation de données personnelles

En cas de perte, de divulgation ou d’accès non autorisé à des données personnelles, l’assurance peut accompagner l’entreprise pour :

• analyser la nature de la violation ;
• évaluer les conséquences possibles ;
• documenter l’incident ;
• préparer les notifications nécessaires ;
• informer les personnes concernées lorsque cela est requis ;
• prendre en charge certains frais de notification et de surveillance.

Responsabilité envers les clients et les tiers

Une cyberattaque peut entraîner une réclamation d’un client, d’un fournisseur ou d’un partenaire.

La garantie de responsabilité cyber peut intervenir lorsque la responsabilité de l’entreprise est recherchée à la suite, par exemple :

• d’une violation de données ;
• d’une atteinte à la confidentialité ;
• d’une contamination informatique ;
• d’une interruption de service ;
• d’un défaut de protection du système d’information.

Atteinte à la réputation

Selon le contrat, certains frais de communication ou de gestion de réputation peuvent être couverts afin d’aider l’entreprise à informer ses clients, partenaires et collaborateurs.

Cyberextorsion

Certains contrats prévoient un accompagnement en cas de demande d’extorsion numérique. Toute intervention ou prise en charge reste soumise aux dispositions légales, aux sanctions internationales, aux conditions du contrat et aux décisions prises avec les experts compétents.

Une assurance associée à une prévention active

Une bonne assurance cyber doit être utile même en l’absence de sinistre.

Selon la solution choisie, vous pouvez bénéficier d’un espace de prévention permettant de suivre votre exposition numérique et les actions correctives recommandées.

Analyse régulière de l’exposition externe

L’analyse porte sur les éléments visibles depuis Internet, par exemple :

• sites et sous-domaines ;
• adresses IP ;
• services accessibles ;
• ports ouverts ;
• certificats ;
• technologies exposées ;
• vulnérabilités connues ;
• éventuelles données compromises.

Cette analyse peut être réalisée de manière non intrusive, sans accès direct à vos outils internes.

Sensibilisation des collaborateurs

Les salariés constituent une composante essentielle de la sécurité de l’entreprise.

Des campagnes de simulation de phishing et des modules pédagogiques peuvent les aider à reconnaître :

• les courriels frauduleux ;
• les faux liens de connexion ;
• les demandes urgentes inhabituelles ;
• les tentatives de fraude au virement ;
• les pièces jointes dangereuses ;
• les pratiques à risque concernant les mots de passe.

Surveillance continue en option

Pour les entreprises nécessitant une protection renforcée, une surveillance permanente peut être mise en place sur les postes de travail et les serveurs.

Elle vise à :

• détecter les comportements suspects ;
• analyser les alertes ;
• isoler certains équipements compromis ;
• neutraliser les menaces identifiées ;
• assurer une supervision en dehors des horaires de bureau.

La pertinence de cette option dépend notamment de la taille de l’entreprise, de la sensibilité de ses données et de la dépendance de son activité à son système informatique.

Quelles entreprises peuvent souscrire une assurance cyber ?

Une assurance cyber peut être pertinente pour toute organisation utilisant :

• une messagerie professionnelle ;
• un logiciel de gestion ou de comptabilité ;
• un système de paiement ;
• un site Internet ou une boutique en ligne ;
• des services Cloud ;
• des données clients ;
• des données de santé ;
• des données bancaires ;
• des logiciels métiers ;
• des systèmes de production connectés ;
• des prestataires informatiques externes.

Le Cabinet Guisnet accompagne notamment :

• les TPE et PME ;
• les professions libérales ;
• les commerçants et artisans ;
• les cabinets de conseil ;
• les associations ;
• les entreprises de services ;
• les agences de communication ;
• les éditeurs de logiciels ;
• les entreprises du numérique ;
• les plateformes en ligne ;
• les entreprises industrielles ;
• les professionnels de l’immobilier ;
• les organismes manipulant des données sensibles.

Les conditions d’éligibilité dépendent de l’activité, du chiffre d’affaires, de la zone géographique, du volume de données traité et des mesures de sécurité déjà mises en place.

Quels sont les points vérifiés avant la souscription ?

Afin de proposer une couverture cohérente, votre conseiller peut notamment vous interroger sur :

• votre chiffre d’affaires ;
• la nature de votre activité ;
• le nombre de salariés ;
• votre dépendance aux outils informatiques ;
• le type de données conservées ;
• la présence de données sensibles ;
• l’utilisation de services Cloud ;
• la gestion des accès administrateurs ;
• l’activation de l’authentification multifacteur ;
• la fréquence et la protection des sauvegardes ;
• les mises à jour des systèmes et logiciels ;
• l’utilisation d’un antivirus ou d’une solution de détection ;
• les formations suivies par les collaborateurs ;
• les éventuels incidents déjà rencontrés.

Certaines mesures de sécurité peuvent constituer des conditions de souscription ou influencer la franchise, les garanties et le tarif.

Assurance cyber, RC Pro et multirisque professionnelle

Ces contrats répondent à des risques différents.

Assurance cyber

Elle couvre certains incidents affectant les systèmes informatiques, les données ou l’activité numérique de l’entreprise.

Responsabilité Civile Professionnelle

Elle protège l’entreprise lorsque sa responsabilité est recherchée en raison d’une faute, d’une erreur, d’une omission ou d’un manquement professionnel.

Découvrir l’assurance Responsabilité Civile Professionnelle

RC Pro des entreprises du numérique

Pour une entreprise informatique, une agence digitale, un éditeur de logiciels ou un prestataire Cloud, les risques cyber et les risques liés à la prestation peuvent être étroitement liés.

Découvrir la RC Pro des entreprises du numérique

Multirisque professionnelle

Elle peut couvrir les locaux, le matériel, les marchandises et certaines interruptions d’activité causées par des événements matériels prévus au contrat.

Découvrir l’assurance des locaux professionnels

Votre conseiller vérifie avec vous l’articulation de ces contrats afin de limiter les doublons et les éventuelles zones non couvertes.

Pourquoi choisir le Cabinet Guisnet ?

Choisir une assurance cyber ne consiste pas uniquement à comparer un tarif ou un plafond d’indemnisation.

Il faut également comprendre :

• les événements couverts ;
• les exclusions ;
• les mesures de sécurité obligatoires ;
• les délais de déclaration ;
• le fonctionnement de la cellule de crise ;
• les conditions de prise en charge des pertes d’exploitation ;
• les limites applicables à la fraude ;
• les garanties concernant les prestataires externes ;
• les obligations à respecter pendant la durée du contrat.

Le Cabinet Guisnet vous propose :

• une analyse personnalisée de votre exposition ;
• une comparaison des solutions adaptées à votre profil ;
• des explications claires sur les garanties et exclusions ;
• un accompagnement de proximité ;
• un interlocuteur pour suivre l’évolution de vos besoins ;
• des solutions associant assurance, prévention et assistance.

Notre cabinet accompagne les entreprises à Vincennes, Romainville, dans le Val-de-Marne, en Île-de-France et sur l’ensemble du territoire français.

Demandez une première analyse de votre exposition cyber

Avant de choisir un contrat, vous pouvez demander une analyse externe de votre exposition aux cyber-risques.

Cette analyse permet notamment de rechercher :

• les actifs visibles depuis Internet ;
• certaines vulnérabilités techniques connues ;
• les erreurs de configuration apparentes ;
• les services exposés ;
• certains indices de compromission ;
• les premiers points de vigilance à corriger.

Vous recevez un rapport présentant les principaux risques identifiés et des recommandations classées par priorité.

Cette première analyse est gratuite, sans engagement et non intrusive. Elle ne constitue pas un test d’intrusion et ne nécessite pas d’accès à vos systèmes internes.

Demander mon analyse cyber gratuite sur MonAssuranceCyber.fr

Découvrir notre offre cyber en détail

Nos vidéos et conseils sur les cyber-risques

Retrouvez nos explications, conseils pratiques et vidéos de sensibilisation consacrés à l’assurance cyber et à la protection des entreprises.

Voir la chaîne YouTube Assurance Cyber

Consulter le blog du Cabinet Guisnet

Questions fréquentes sur l’assurance cyber

Une assurance cyber est-elle obligatoire ?

L’assurance cyber n’est généralement pas obligatoire pour toutes les entreprises. Elle peut cependant être demandée par un client, un donneur d’ordre, un investisseur ou un partenaire contractuel.

Elle est particulièrement recommandée lorsque l’activité dépend fortement du système informatique ou implique le traitement de données importantes ou sensibles.

Combien coûte une assurance cyber ?

Le tarif dépend notamment :

• du chiffre d’affaires ;
• de l’activité ;
• de la taille de l’entreprise ;
• du type de données traitées ;
• du niveau de dépendance informatique ;
• des mesures de sécurité mises en place ;
• des plafonds et franchises choisis ;
• des antécédents de sinistres.

Une analyse personnalisée est nécessaire pour obtenir une proposition adaptée.

L’assurance cyber remplace-t-elle un prestataire informatique ?

Non. Le prestataire informatique assure la maintenance et la sécurisation quotidienne du système.

L’assurance apporte une protection complémentaire : prévention, accès à des experts de crise et prise en charge de certaines conséquences financières prévues par le contrat.

L’assurance intervient-elle en cas d’erreur d’un salarié ?

Certains incidents résultant d’une erreur humaine peuvent être couverts, par exemple l’ouverture d’un courriel frauduleux ou l’envoi accidentel de données. L’intervention dépend toutefois des garanties, exclusions et mesures de sécurité prévues au contrat.

Une attaque touchant un prestataire Cloud peut-elle être couverte ?

Certaines formules couvrent les conséquences d’un incident affectant un prestataire informatique, un hébergeur ou un service Cloud. Il faut vérifier la définition des prestataires couverts, les délais de carence et les plafonds spécifiques.

Que faut-il faire immédiatement en cas de cyberattaque ?

Évitez d’agir dans la précipitation.

Il est généralement recommandé de :

• alerter le responsable informatique ;
• isoler les équipements concernés lorsque cela est possible sans détruire de preuves ;
• conserver les messages, captures et journaux disponibles ;
• contacter immédiatement la cellule de crise prévue au contrat ;
• informer l’assureur dans les délais prévus ;
• documenter les décisions prises ;
• évaluer si des données personnelles ont été touchées.

Ressources officielles sur les cyber-risques

Pour approfondir les bonnes pratiques et connaître les démarches officielles :

• La cybersécurité des TPE et PME – ANSSI
• Que faire en cas de cyberattaque ? Guide pour les dirigeants
• Obtenir une assistance avec le service public 17Cyber
• Notifier une violation de données personnelles à la CNIL
• Anticiper et limiter l’impact d’un cyber-risque – France Assureurs

Ces ressources fournissent des informations générales. Elles ne remplacent pas l’analyse personnalisée de votre activité, de votre système informatique et de votre contrat d’assurance.

Protégez la continuité de votre activité

Une cyberattaque peut toucher n’importe quelle entreprise. Une préparation adaptée permet de mieux prévenir l’incident, de réagir plus rapidement et d’en limiter les conséquences.

Demander mon analyse cyber gratuite

Demander un devis professionnel

Contacter le Cabinet Guisnet

Cabinet Guisnet – Agent général Allianz
10 rue Saulpic, 94300 Vincennes
45 boulevard Henri Barbusse, 93230 Romainville
Téléphone : 01 43 98 63 05
Nº ORIAS : 13009280

Les garanties, plafonds, franchises, exclusions, conditions de souscription, services de prévention et modalités d’indemnisation varient selon la solution et le contrat retenus. Les informations présentées sur cette page sont générales et ne constituent ni une garantie de couverture ni un conseil juridique ou informatique.