14.04.2020

Covid-19 : comment mieux se protéger contre les risques cyber ?

risques-cyber-assurance
 
 
Le 16 mars 2020, la Confédération annonçait le semi confinement jusqu’au 19 avril. Cette période pourra être prolongée si la situation sanitaire l'exige. Dans le monde, plus de 50 pays sont en confinement total soit plus de 3 milliards de personnes. C’est une situation idéale pour la multiplication d’actes de cyber-malveillances et arnaques en tous genres.

La menace cyber

Le télétravail s’avère être « la solution » de continuité d’activité tout du moins pour les sociétés qui sont déjà organisées et pour les fonctions qui le peuvent. Une mise en œuvre non-maîtrisée du télétravail peut augmenter considérablement les risques de sécurité pour les entreprises ou organisations qui y recourent. Elle peut même mettre en danger leur activité face à une cybercriminalité qui redouble d’efforts pour profiter de cette nouvelle opportunité (mais également de plus en plus face à des groupes sponsorisés par des états). Nous vous conseillons à ce propos la lecture du très bon rapport de Thalès édité le 24 mars 2020.
 
Dans son communiqué du 19 mars dernier, la FINMA indiquait que, « dans la situation actuelle liée au coronavirus, il existe une recrudescence des courriels frauduleux prenant la forme d'hameçonnage (phishing). Les cybercriminels essaient de tirer profit de l’insécurité ambiante et usurpent l’identité de différents expéditeurs pour envoyer des maliciels. »
 
Un constat confirmé dans le rapport d’Europol du 27 mars 2020 qui décrit comment les criminels exploitent la crise sanitaire actuelle, ne se limitant d’ailleurs pas au monde d’internet.

Les mesures de prévention et les réseaux de défense contre la cybercriminalité

Le réseau national de soutien aux enquêtes dans la lutte contre la criminalité informatique (NEDIK) et la Centrale d’enregistrement et d’analyse pour la sûreté de l’information (MELANI) alertent sur cette menace cyber et délivrent les premiers conseils sur les bonnes pratiques à adopter pour se protéger efficacement :
La défense s’organise également, autour des acteurs étatiques et privés spécialisés mais aussi autour d’initiatives transnationales spontanées. Ainsi, un groupe de 400 experts en cyber sécurité de 40 pays différents a été créé le 25 mars 2020 sous le nom de COVID-19 CTI League (CTI pour « Cyber Threat Intelligence »). Ils entendent démanteler les campagnes de hacking actuelles, avec comme priorité la protection des établissements médicaux et des organisations actuellement mobilisées en « première ligne ».

L’assurance Cyber

Du point de vue de l’assurance, il convient de souligner que les polices Cyber en vigueur n’intègrent pas d’exclusions spécifiques à la notion de pandémie. Les définitions de « système d’information couvert » intègrent l’ensemble des outils mis à disposition par l’entreprise et il n’y a pas d’exclusion de l’utilisation des appareils personnels («Bring your own device»), pour autant que les mesures de sécurité présentées par les sociétés au moment de la souscription restent effectives. A défaut, un débat pourrait s’ouvrir sur la notion de modification voire d’aggravation du risque.
 
Il convient toutefois de rester vigilants sur les points que nous rappelons ci-dessous qui, sans être exhaustifs, pourraient être cruciaux, alors qu’internet, les réseaux informatiques des entreprises et les services de cloud sont soumis à rude épreuve :
  • Comme avant la crise, les conséquences d’une panne d’internet ou du réseau électrique ne sont jamais couvertes si la panne s’étend au-delà des sites de l’entreprise. Les assureurs se protègent ainsi d’un risque systémique.
  • Certaines polices, lorsqu’elles assurent les défaillances techniques en plus de la malveillance informatique, peuvent comporter une exclusion pour s’assurer du maintien de la vigilance en sécurité informatique. Ainsi, une exclusion peut obliger à anticiper le besoin opérationnel, même s’il est supérieur à la normale. En d’autres termes, dans un contexte par exemple de recours massif à du télétravail ou si encore il y a un manque de personnel disponible pour la maintenance d’un serveur, toute défaillance technique résultant de cette situation et entraînant une indisponibilité totale ou partielle du réseau informatique ne serait a priori pas couverte. Il serait tout de même possible d’opposer à l’assureur la force majeure (le COVID-19 pouvant être considéré comme un évènement extérieur à l’entreprise, imprévisible et irrésistible, de très forte intensité). La qualification reviendrait alors au juge et serait très certainement au cas par cas.
Quoiqu’il en soit, les considérations sur l’effectivité de la couverture assurantielle ne doivent évidemment pas empêcher les entreprises assurées de continuer à appliquer les bonnes pratiques de prévention.

Premiers enseignements, veille et prospectives

Nous vivons une période cyber de forte intensité et, dans ce monde incertain, l’assurance Cyber est plus que jamais pertinente pour les entreprises. Certains marchés tentent déjà d’imposer des exclusions Pandémies. La vigilance reste de mise et il faudra résister à toutes ces tentatives opportunistes.
 
Les spécialistes de Swiss Risk & Care assurent une veille sur les problématiques liées à la cyber sécurité, l'assurance, la prévoyance et proposent de la partager avec vous, écrivez-nous à communication@swissriskcare.ch pour obtenir la veille de la semaine ! 
 
 
Sources officielles : MELANI, NEDIK
Nos services associés 
Nos articles associés