ATOUTRISK N°15 HD

ACTUALITÉ DE L’AMRAE Et d’inviter au préalable à identifier les données à pro- téger. « Demandez-vous ce qui mettrait en péril votre entreprise, et priorisez : tout protéger est onéreux et pas forcément nécessaire, il faut cibler vos vulnérabilités ». Le retour de Philippe Barré, Consultant en Risk Management (et co-pilote de l’antenne AMRAE), était édifiant : après une attaque par rançongiciel, un éta- blissement hospitalier a subi 11 jours d’interruption d’activité, au lieu des 24 h prévues... L’attaque a coûté 182 k€, soit 1,1% du budget annuel de l’établissement (coûts des heures supplémentaires d’exploitation, de rattrapage, frais de communication, contrôles exté- rieurs, etc.) ! COMMENT GÉRER «L’APRÈS-ATTAQUE» ? Malgré vos précautions, votre entreprise est victime d’une attaque cyber ? « Isolez immédiatement les PC infectés en les isolant du réseau ou en les débranchant, et demandez une copie des données frauduleuses à votre informaticien pour l’enquête ». M. Gilet soulignait une autre conséquence méconnue des attaques cyber : la difficulté de porter plainte. Et pour cause, aucune en- treprise ayant fait les frais d’une attaque cyber ne sou- haite que l’information se répande. Parfois, les gendarmes eux-mêmes ne prennent pas en comptel esplaintes:M.GiletindiquaitquelaGendarmerie a des échelons centraux, régionaux, et départe- mentaux de lutte, ainsi qu’un correspondant N’Tech dans chaque brigade (contact direct : florian.gilet@ gendarmerie.interieur.gouv.fr – 04.78.92.78.50). Quid des conséquences judiciaires ? Le gendarme rappelait que le DSI ou RSSI de l’entité touchée est susceptible pour la justice d’être responsable, si sa responsabilité dans les failles de sécurité ayant permis l’attaque est avérée... bien que lui-même n’ait jamais vu un cas pareil. Alors que l’exigence de compliance en matière cyber s’accroît, les conséquences judiciaires devraient inévitablement elles aussi s’alourdir. RÉGIONS RÉGIONS «« Tout protéger est onéreux et pas forcement nécessaire, il faut cibler vos vulnérabilités. » Florian Gilet, enquêteur N’Tech de la Gendarmerie nationale POURQUOI ET COMMENT SOUSCRIRE UNE ASSURANCE CYBER ? Les conseils de Lari Lehtonen, Conseiller Spécialisé Cyber chez Marsh. L’économie se digitalise : les risques aussi. Une bonne garantie cyber va à la fois protéger votre entreprise des conséquences d’une attaque cyber qu’elle pourrait subir, et des préjudices que l’entreprise pourrait faire subir à des tiers à cause de cette attaque. Quelques conseils  ❱ Souscription : attention aux questionnaires d’assureur sur le cyber ! Beaucoup de questions n’ont pas de rapport avec la souscription : les informations transmises à l’assureur ne seront pas utiles pour qu’il valorise vos risques cyber. Mieux vaut effectuer des réunions de sous- cription lorsque c’est possible : la qualité de l’information divulguée est plus fine, et les informations transmises sont plus adaptées. ❱ Garantie des frais engendrés par une attaque cyber : les frais engagés suite à une attaque sont multiples et peuvent être de diffé- rentes natures (frais d’expert informatique, expert juridique, frais en communication de crise, frais de reconstitution des données, répa- ration des systèmes informatiques…) ainsi il faut s’assurer que cette garantie fasse l’objet d’une définition la plus large possible et que ces frais ne soit pas listés de manière précise car un événement cyber est trop imprévisible. Plus la définition de ces frais est flexible plus cela sera profitable à l’assuré en cas de sinistre. ❱ Extension Fraude ou garantie dédiée ? La fraude a pour objet de couvrir les actifs, or la Cyber (en standard) ne couvre pas l’actif. Il est possible de trouver des extensions Fraude dans une garantie Cyber. Mais il faut être vigilant au périmètre de cette extension puisqu’elle a toutes les chances de ne couvrir que les fraudes informatiques (fraudes qui utilisent les SI des sociétés pour détourner de l’argent). On comprend alors que cette extension ne couvre pas tous les scénarios de fraude, en particulier ceux qui sont «non informatiques » comme la fraude au faux président. Ainsi, si vous souhaitez vous couvrir de tout risque de détournement de manière claire et efficiente (fraudes informatiques et non-informatiques) il vaut mieux se tourner vers une garantie Fraude dédiée à l’ensemble des scénarios de fraude. ❱ L’assurance cyber préfigure les enjeux de l’assurance de demain : on constate une importance croissante des services associés à la seule garantie, tels que l’assistance et la prévention fournies par les assu- reurs. La garantie cyber contient normalement un volet assistance avec la mise à disposition de 3 compétences-clés en cas de sinistre cyber (expert informatique, expert juridique, expert en communication de crise). Certains proposent même de la prévention. Ces évolutions donnent à voir un aperçu de ce vers quoi les assureurs vont tendre dans les prochaines années. ATOUT RISK MANAGER, LA REVUE DES PROFESSIONNELS DU RISQUE ET DE L'ASSURANCE I N°15 I HIVER 2017/2018 65