Souscrire une assurance cyber, ou simplement la renouveler, passe désormais par un questionnaire technique. Les réponses engagent l’entreprise : une déclaration inexacte peut se retourner contre elle au moment du sinistre, c’est-à-dire au pire moment. Ce guide explique ce qui est demandé, ce que le pare-feu permet réellement de cocher, et comment le prouver.
Pourquoi le questionnaire s’est durci
Les assureurs ont vu la sinistralité exploser sur les rançongiciels, et l’essentiel des cas graves partageait les mêmes causes : un accès distant mal protégé, un équipement non mis à jour, des sauvegardes atteintes en même temps que le reste.
Le questionnaire est devenu la conséquence directe de ce constat. Il ne cherche pas à savoir si vous avez un pare-feu, mais s’il est tenu.
Ce que les questionnaires demandent le plus souvent
Un pare-feu maintenu
La question porte rarement sur la marque. Elle porte sur les mises à jour : sont-elles appliquées, par qui, à quelle fréquence ? Un équipement en fin de support constitue une réponse défavorable, même s’il fonctionne parfaitement.
La double authentification sur les accès distants
C’est devenu un critère quasi éliminatoire. Un accès VPN protégé par un simple mot de passe est le scénario que les assureurs redoutent le plus, parce que c’est celui qu’ils indemnisent le plus souvent.
La journalisation
Combien de temps conservez-vous les traces de connexion, et où ? Cette question a deux effets : elle conditionne la souscription, et elle décide de votre capacité à documenter un sinistre après coup.
Les sauvegardes hors ligne
Une sauvegarde accessible depuis le réseau sera chiffrée en même temps que lui. Les assureurs demandent une copie déconnectée ou immuable, et de plus en plus souvent la preuve qu’une restauration a été testée.
La protection des postes et la gestion des comptes
Antivirus de nouvelle génération, comptes administrateurs limités et nominatifs, départs des salariés traités. Le pare-feu n’y répond pas seul, mais il en porte une partie : segmentation et accès nominatifs.
Ce que le pare-feu couvre — et ce qu’il ne couvre pas
Il répond directement au filtrage, à la segmentation, aux accès distants avec double authentification, à la journalisation des connexions et au blocage des destinations malveillantes connues.
Il ne répond pas, en revanche, à la protection des postes de travail, aux sauvegardes, à la sensibilisation des équipes ni à la gestion des comptes et des droits. Le présenter comme la réponse à tout le questionnaire est une erreur qui se voit tout de suite.
Comment prouver ce que vous déclarez
Une déclaration non documentée est fragile. Quatre pièces suffisent généralement, et elles se produisent sans difficulté quand l’équipement est réellement maintenu :
- la configuration en vigueur et le schéma du réseau tel qu’il est réellement ;
- l’historique des mises à jour, avec les dates d’application des correctifs ;
- la preuve que la double authentification est active sur tous les accès distants, sans exception ;
- la politique de journalisation : ce qui est conservé, où, et pendant combien de temps.
Ces éléments sont produits par le contrat de maintenance. C’est d’ailleurs l’un de ses bénéfices les moins évoqués : il transforme des affirmations en pièces justificatives.
Le piège de la déclaration approximative
Répondre « oui » à « disposez-vous d’un pare-feu maintenu à jour ? » quand l’équipement n’a pas reçu de correctif depuis dix-huit mois n’est pas un détail administratif. En cas de sinistre, l’assureur vérifie, et l’écart entre la déclaration et la réalité peut réduire ou annuler l’indemnisation.
Le bon réflexe est de faire vérifier l’état réel avant de remplir le questionnaire, pas après. Un audit rapide suffit à savoir ce que vous pouvez cocher honnêtement, et ce qu’il faut corriger d’abord.
Par où commencer
Si un questionnaire vous attend, les trois points à traiter en priorité sont presque toujours les mêmes : la double authentification sur les accès distants, la mise à jour de l’équipement, et la journalisation. Ce sont aussi les trois qui pèsent le plus sur la prime.
Cinq questions en ligne permettent de situer votre réseau et d’obtenir un premier avis immédiat. Un technicien vous rappelle ensuite pour préciser ce qui est déclarable en l’état, et ce qui ne l’est pas encore.