Cette baisse semble surprenante dans un contexte où la menace cyber continue de s’intensifier. En 2023, 13 % de cas supplémentaires de cyberattaques ont été signalés et la gravité des dommages a augmenté de 10 %. Le sinistre moyen est d’environ 100 000 dollars.

L’assurance n’est pas une panacée

Certes une cyber assurance peut aider à compenser financièrement une attaque et, dans certains cas, soutenir les efforts de réponse, mais des mesures d’hygiène en matière de cybersécurité pour éviter les attaques et une cyber résilience efficace pour atténuer leur impact restent indispensables.

Il est primordial pour les entreprises de comprendre que même si leur assureur paie la rançon, elles restent souvent confrontées à une série de problèmes logistiques. Même après avoir payé, il faut parfois plusieurs jours pour obtenir les clés de déchiffrement. En outre, certains types de ransomware utilisent des clés spécifiques pour chaque système, complexifiant les démarches.

Mais obtenir la clé ou les clés de déchiffrement ne garantit pas un retour à la normale. Seules 4 % des organisations qui paient la rançon sont en mesure de restaurer toutes leurs données, 14 % en moyenne étant irrécupérables, sans aucun contrôle sur les données perdues. Certains types de ransomware sont même ultra virulents (wiper), détruisant purement et simplement des ensembles entiers de données. Une cyber assurance ne pourra jamais compenser ce type de perte.

Malgré une baisse des primes, les conditions d’obtention restent strictes. Les entreprises doivent pouvoir prouver qu’elles ont mis en œuvre toutes les mesures et tous les processus exigés dans leur contrat d’assurance. Dans le cas contraire, l’assureur peut tout à fait se dédouaner. De telles questions peuvent même rapidement aboutir à un procès, à un moment très délicat pour l’entreprise victime, qui doit survivre aux conséquences d’un grave incident cyber.

Pour se préparer à une crise cyber, la meilleure pratique est d’établir une culture de cyber-résilience. En collaboration avec les équipes informatiques, les dirigeants doivent mettre au point un ensemble d’outils d’urgence et un cahier des charges pour les crises qui surviennent au sein de leur système d’information, ainsi que des outils et des procédures d’intervention et de restauration, et ainsi récupérer ses données sans en faire les frais !