Le temps et les efforts ncessaires pour obtenir une cyberassurance augmentent nettement, selon une tude de Delinea

Le rapport sur ltat de la cyberassurance en 2023, publi par le leader du PAM, met au jour des tendances qui redessinent le filet de scurit financier dans le domaine de la cyberscurit. Les assureurs font voluer leurs contrats afin de rduire leurs risques et les entreprises ne prtent pas attention aux clauses en petits caractres.

Delinea, spcialiste des solutions qui tendent de faon continue la gestion des accs privilges (PAM, Privileged Access Management), publie son tude 2023 State of Cyber Insurance, rvlant un largissement du foss entre les assureurs et les entreprises qui peinent encore obtenir une couverture complte un tarif accessible. Daprs cette tude, tire dune enqute auprs de plus 300 entreprises aux tats-Unis, le temps et les efforts ncessaires pour obtenir une cyberassurance augmentent nettement. Le nombre des entreprises qui y passent 6 mois ou plus explose en effet dune anne sur lautre.

Lenqute, ralise par Censuswide pour le compte de Delinea, avait pour but de dcouvrir les nouvelles tendances et lvolution des comportements par rapport une tude similaire lan pass, laquelle avait tabli que la demande de cyberassurance tait son comble. Cette anne, le nombre des entreprises ayant fait jouer leur cyberassurance plusieurs fois est pass 47 %, tandis que 67 % des participants lenqute indiquent que leurs tarifs dassurance ont bondi de 50 100 % au moment de leur demande de souscription ou de renouvellement. Alors quune seule entreprise dclarait quil lui avait fallu plus de 6 mois pour obtenir ou renouveler une cyberassurance dans ltude de 2022, elles sont au moins une vingtaine dans la mme situation en 2023.

Cependant, lenqute rvle lexistence dune liste croissante de clauses dexclusion susceptibles de rendre la cyberassurance inoprante, notamment labsence de protocoles de scurit (43 %), les erreurs humaines (38 %), les actes de guerre (33 %) ou encore le non-respect des procdures conformes (33 %). Mme si une entreprise parvient obtenir ou renouveler une cyberassurance entrant dans ses moyens financiers, lindemnisation dun sinistre peut se voir rejete ou du moins minore en raison dune clause imprime en petits caractres.

Lan dernier, il est devenu vident que les cyberassureurs tirent les enseignements de leurs donnes et que le secteur arrive prsent maturit. ses dbuts, ceux-ci sefforaient seulement de rpondre une demande considrable mais ils prennent aujourdhui conscience de la ncessit de rduire leurs propres risques face des circonstances vitables ou incontrlables , observe Joseph Carson, Chief Security Scientist et RSSI consultatif chez Delinea. Daprs les rsultats de notre enqute, la plupart des entreprises nabordent pas la question de la cyberassurance avec la mme diligence : elles cherchent simplement se couvrir. Elles ngligent alors de vrifier si leur contrat dassurance de lanne prcdente correspond encore leurs besoins actuels ou si des clauses ont t modifies loccasion de son renouvellement. Ce dficit de cyberassurance pourrait bien mettre nombre dentreprises dans une situation dlicate lorsquelles souhaiteront faire appel ce filet de scurit financier en cas de cyberincident.

Cela dit, de nombreuses entreprises continuent dinvestir dans des solutions de cyberscurit afin de se protger et de rpondre aux conditions de plus en plus strictes des cyberassureurs. 96 % dentre elles ont fait lacquisition dau moins une solution de ce type pour que leur demande de cyberassurance puisse tre approuve. En outre, 81 % ont reu le budget ncessaire pour obtenir la couverture souhaite, tandis que 36 % des participants lenqute indiquent quil sagit dsormais dune exigence de leur conseil dadministration ou de leur direction.

tant donn que la majorit des cyberattaques font intervenir le vol didentifiants, il nest pas surprenant que les assureurs exigent la mise en place de contrles de scurit dans ce domaine. La moiti environ des participants lenqute signalent que des contrles en matire de gestion des identits et accs (IAM) (51 %) et de gestion des accs privilges (PAM) (49 %) sont rendus obligatoires par leur contrat de cyberassurance. De plus, la direction alloue le budget ncessaire : 50 % ont acquis des solutions IAM, 45 % une chambre forte virtuelle pour leurs mots de passe et 44 % des systmes de contrle PAM requis pour bnficier dune couverture.

Si des entreprises ne disposent pas encore de ces solutions de contrle daccs, il est temps pour elles de les mettre en place avant de tenter de souscrire ou de renouveler une cyberassurance. Il sagit de dispositifs de scurit indispensables dans le cadre dune stratgie de cyberscurit, aussi fondamentaux que des logiciels antimalwares, de chiffrement des donnes, de firewall et de dtection dintrusion ou encore de correction et de gestion des vulnrabilits , conclut Joseph Carson.