Cyberassurance : réduire le coût des primes et les risques ?

Tels sont signaux d’alerte mis en lumière par le dernier Rapport sur l'état des ransomwares en 2022. Alors que les attaques par rançongiciel restent une menace importante, les entreprises auraient-elles baisser leur garde en matière de cybersécurité ?

Pourtant les conséquences de ces attaques ne sont plus à prouver : nombreuses sont les victimes à essuyer une perte du chiffre d'affaires (56%) ou de clientèle (50%).

Pour prévenir les effets dévastateurs d'un ransomware, les entreprises ont tout intérêt à souscrire une cyberassurance. Or, elles ne sont pas égales devant la cyberassurance : les assureurs évaluent chacune d’entre elles à l’aune de critères individuels, notamment le risque d’attaque. Les grandes entreprises courent beaucoup plus de risques d’être ciblées par des ransomwares. 56 % d’entre elles ont déjà subi des attaques contre 13% pour celles comptant moins de 100 salariés. Les assureurs souhaitent en effet déterminer les risques et les dommages potentiels, ainsi que le degré de protection de l’entreprise contre les cyberattaques.

Alors qu’en 2022 le prix d’une cyberassurance ont augmenté dix fois plus vite que l’inflation (+60% vs +5.9%), la tendance se poursuit. Si bien que certaines entreprises risquent d’éprouver des difficultés à en obtenir une à un tarif accessible, en conséquence. Pour y faire face, certaines entreprises pourraient, par exemple, être amenées à réduire leur couverture d’assurance ou augmenter la franchise. D’autres pourraient décider de réaffecter les fonds à d’autres services de l’entreprise. Enfin, quelques-unes n’hésiteraient pas à renoncer complètement à la cyber-assurance.

Cependant, le respect des critères demandés par les assurances ne peut pas suffire à réduire les risques de d’attaques. Avant toute chose, les entreprises doivent améliorer leur posture grâce à des investissements pérennes afin de protéger les points sensibles de l’entreprise. Pour ce faire, il leur faudra dépasser les seules exigences demandées par les assureurs et adopter une approche plus stratégique, celle du Zéro-Trust.

Celle-ci s'appuie sur de multiples contrôles de sécurité sur l’ensemble de l’environnement informatique pour protéger et gérer les identités, les appareils, les réseaux, les applications et les données. En effet, les cybercriminels exploitent généralement la méconnaissance d’un utilisateur final. C'est pourquoi une gestion efficace des accès limite le risque de dommages significatifs en cas d'attaque. Ces mesures adoptées dans le cadre du Zéro Trust contribuent à réduire le risque et donc, possiblement, le coût de la cyberassurance.

1) Identifier les risques et sensibiliser les collaborateurs

Les compagnies d’assurance attendent de leurs clients qu’ils soient bien conscients des risques auxquels ils s’exposent. Ces derniers doivent aussi avoir mis en place des processus pour la gestion de ces risques, éventuellement en y incluant une évaluation des cyberrisques. L’identification des vulnérabilités aide également à mesurer la tolérance d’une entreprise à ce type de risques.

Les assureurs souhaitent en outre que les formations régulières à la cybersécurité ne se cantonnent pas à de simples tests en ligne ou à la signature de chartes de sécurité. La sensibilisation à la cybersécurité doit faire partie intégrante de la culture d’entreprise et comprendre des formations dispensées à tout moment à l’échelle d’un département ou de l’entreprise dans son ensemble.

2) Effectuer le suivi des ressources et des comptes à privilèges

Les entreprises doivent dresser l’inventaire de tous les équipements, logiciels et comptes à privilèges susceptibles d’être la cible de cyberattaques, notamment ceux utilisés par des télétravailleurs. Il s’agit d’identifier tous les vecteurs de menaces et de déterminer la valeur et l’étendue des ressources à assurer.

Des outils de découverte pour les comptes et mots de passe Active Directory, les comptes de services ainsi que les applications et comptes locaux vous faciliteront grandement la tâche.

3) Automatiser la gestion des mots de passe et appliquer l’authentification multi-facteurs

L’utilisation d’un tableur pour la gestion manuelle des mots de passe constitue un drapeau rouge pour les assureurs. Faites appel à une solution de gestion des mots de passe privilégiés, par exemple une chambre forte virtuelle, pour le suivi des identifiants ainsi que la génération et la rotation de mots de passe complexes que les utilisateurs n’auront pas à saisir ni à mémoriser. L’automatisation assurera l’application cohérente des règles de sécurité et évitera les erreurs humaines.

L’authentification multi-facteurs (MFA) apporte un niveau de sécurité supplémentaire. Montrez aux compagnies d’assurance que vous avez pris les mesures adéquates pour contrer les cyberattaques à base de vols d’identifiants en appliquant la MFA aussi bien au moment de la connexion que de l’élévation de privilèges.

4) Déployer une solution PAM et une défense en profondeur

Les pirates dissimulent souvent leurs activités sous couvert d’un compte administrateur légitime. Une solution complète de PAM (Privileged Access Management) facilite le contrôle d’accès aux systèmes et données, ainsi que la conformité avec les réglementations. Recherchez des logiciels capables d’automatiser l’identification et l’analyse des risques pour les comptes à privilèges et offrant des fonctions de chambre forte virtuelle, de surveillance continue et d’enregistrement de session.

Démontrez que vous avez pris des mesures supplémentaires afin de vous protéger contre les attaques de malwares en déployant une défense en profondeur. Cela passe par la mise en œuvre d’un accès à moindre privilège, la restriction ou la suppression des droits d’administrateur local et l’ajout de solutions de veille des menaces et de protection des postes de travail.

5) Sauvegarder les comptes et sécuriser les postes de travail

Assurez-vous que tous les secrets (mots de passe et autres identifiants) ne sont pas liés à un seul emplacement et peuvent être transférés en lieu sûr. Une solution efficace de gestion des mots de passe ou de PAM doit comporter une infrastructure redondante pour un accès d’urgence.

Un outil de sécurisation des postes de travail facilite également l’identification des attaques et la réponse à y apporter. Choisissez une solution dotée de fonctionnalités complètes de surveillance, d’alerte et de reporting pour le comportement des comptes à privilèges sur les postes de travail et les serveurs. Les équipes de sécurité informatique doivent pouvoir identifier les comportements inhabituels et procéder à une analyse forensique en cas d’attaque.

6) Surveiller l’utilisation des identifiants

Gardez à l’œil l’utilisation des identifiants par vos collaborateurs : 82 % des piratages de données sont dus au facteur humain, qu’il s’agisse d’ingénierie sociale, d’erreurs ou d’une utilisation incorrecte, selon l’étude 2022 Data Breach Investigations Report de Verizon.

Employez une solution PAM à même de surveiller les sessions distantes mais aussi les sessions cloud et d’analyser le comportement des comptes à privilèges afin d’examiner à quelles ressources accèdent les identités numériques, pour détecter les anomalies et bloquer les attaques.

7) Dresser un plan de réponse aux incidents

Un plan de réponse aux incidents peut empêcher une cyberattaque de tourner à la catastrophe. Il aidera les équipes informatiques opérationnelles, de sécurité et de réponse aux incidents à faire front commun face à une attaque, à coordonner une riposte rapide et à préserver la continuité d’activité.

Servez-vous d’un modèle personnalisable pour créer votre plan de réponse aux incidents. Incluez-y une liste des rôles et responsabilités ainsi que des actions nécessaires pour mesurer l’étendue d’un cyberincident et en limiter les dommages sur les systèmes critiques. Réalisez des simulations d’incident afin d’identifier les axes de progrès et de démontrer que la préparation à la réponse n’est pas que théorique.

Même si celle-ci ne saurait se substituer à un programme de cybersécurité solide et à jour, les entreprises doivent sérieusement envisager de souscrire une cyberassurance afin de se couvrir contre les conséquences croissantes des ransomwares et autres cyberattaques. Mieux une entreprise y sera préparée, plus facile il lui sera d’obtenir une cyberassurance et moins cher elle lui coûtera.