Un assureur peut-il payer la rançon pour une victime de cyberattaque ?
Assurance cyberattaque – Si l’on aborde le sujet de l’assurance cyberattaque, qui est un contrat de couverture d’une entreprise contre les cyberattaques, on peut être amené à se poser la question suivante : un assureur peut-il payer la rançon pour un assuré étant victime de cyberattaque ?
Assurance cyberattaque : le paiement d’une rançon
Sur le plan éthique, la question ne se pose pas : le paiement d’une rançon relèverait à financer des organisations criminelles. Un assureur ne doit donc pas contribuer à cela. Mais, d’un point de vue pragmatique, il s’agit d’une question de temporalité.
En effet, dans l’urgence d’une attaque, l’essentiel pour le dirigeant d’entreprise est de récupérer au plus vite ses données. Et cela coûte moins cher à un assureur de payer une rançon que de couvrir les pertes d’exploitation dans le cas où l’entreprise se retrouve bloquée. C’est pour cette raison que Bercy à décidé d’autoriser le paiement de rançons, sous réserve de dépôt de plainte par l’entreprise.
Toutefois, avec du recul et une certaine réflexion, on peut parler d’hérésie pour notre tissu économique : payer une rançon, c’est alimenter la menace en donnant les moyens aux cyber-attaquants d’investir pour attaquer encore plus fort.
Aussi, en acceptant de payer la rançon, l’assureur déresponsabilise le chef d’entreprise en lui laissant penser (à tort) qu’il dispose d’un filet de sécurité suffisant en cas de problème. Cela explique donc que cette décision puisse faire débat et qu’un assureur ne souhaite pas accepter de payer une rançon pour le compte de ses assurés.
Assurance cyberattaque : qu’est-ce ?
Une assurance cyberattaque est un contrat de protection contre toute éventuelle cyberattaque. Il peut par exemple permettre au dirigeant d’entreprise assuré, en cas de cyberattaque, de disposer d’un service d’assistance complet et immédiat, 7J/7, afin qu’il soit en mesure de redémarrer au plus vite son service d’information et l’activité de l’entreprise.
La responsabilité civile
En cas de dommages immatériels résultant d’un tiers (client, fournisseur, salarié…) en raison d’une intrusion dans votre système d’information, la responsabilité civile de l’entreprise peut être mise en cause.
La garantie de responsabilité civile assure la prise en charge des conséquences pécuniaires en cas de réclamation d’un tiers du fait d’une atteinte aux données informatiques ou données personnelles (détournement, vol…). Elle prend aussi en charge les frais de défense de l’entreprise.
Assurance cyberattaque : Pertes subies
Une entreprise étant victime de cyberattaque peut connaître une perte de chiffre d’affaires quand l’intrusion dans le système d’information provoque une diminution ou interruption de son activité. Avec une assurance cyberattaque, les pertes d’exploitation subies par l’entreprise peuvent être couvertes par l’assureur.
Frais engagés
Quand une entreprise subit une attaque, des frais doivent être engagés sans attendre pour y remédier. Une assurance cyberattaque peut prendre en charge de nombreux frais d’intervention de spécialistes :
- Frais d’intervention d’un expert informatique en charge de sécuriser le système d’information et le redémarrer
- Frais d’intervention d’un avocat
- Frais de notification
- Frais de consultant en communication de crise
- Frais de restauration du site internet
- Frais d’exploitation supplémentaires visant à éviter une réduction du chiffre d’affaires
Des mesures de prévention simples et efficaces
L’assureur cyberattaque peut prévoir des mesures simples consistant à filtrer entrants et sortants du système informatique de l’entreprise et sauvegarder les données avec un dispositif performant.
Assurance cyberattaque : la solution pour les dommages cyber
Lorsque survient une cyberattaque, l’assuré peut bénéficier d’un service de résolution de crise, mis en place avec une société spécialiste en remédiation informatique. L’assureur peut prévoir une hotline téléphonique (joignable 7j/7) afin qu’un diagnostic de la nature de l’attaque soit immédiatement effectué. Cette intervention directe permet de redémarrer rapidement les systèmes d’information de l’entreprise et sa reprise d’activité. Et, en fonction de la situation, différents professionnels vous accompagnent afin de limiter les dommages.
Cyber risques : quels enjeux pour les entreprises ?
En 2018, la fréquence de cyberattaques avait bondi de 67 % en France. Et ce sont au moins 4 entreprises sur 10 de moins de 50 salariés qui ont déjà subi une ou plusieurs attaques de ce type ou tentatives. Quand une entreprise est victime de hackage, elle peut alors subir plusieurs préjudices :
- Paralysie de ses infrastructures (système d’information)
- Vol de données personnelles (de ses clients, salariés…) et/ou données confidentielles
- Atteinte à son image et à sa réputation
- Impacts économiques et financiers
Pour les entreprises, tous ces événements entraînent d’importants risques de dommages et de responsabilité civile, cela quels que soient leurs secteurs d’activité. Avec le constat d’ attaques se multipliant, la protection des entreprises et de leur système d’information devient primordial.
Conséquences d’une cyberattaque pour une entreprise
- L’entreprise subit une perturbation ou l’arrêt de son activité
Dans la plupart des cas, la cyberattaque provoque un ralentissement ou un blocage du système informatique d’administration, de production ou de distribution, conduisant à une perte de chiffre d’affaires (à court ou moyen terme), à l’atteinte à l’image de l’entreprise… C’est notamment le cas quand la cyberattaque est un ransomware (cryptage des données visant le paiement d’une rançon pour obtenir le code de déblocage). Sur le long terme, d’autres sortes de dommages peuvent être constatés, comme par exemple la perte de compétitivité, en cas de vol de données stratégiques.
- L’entreprise voit sa responsabilité civile mise en cause
La responsabilité civile de l’entreprise peut exister en raison d’une attaque, lorsqu’elle a été prise dans une spirale de propagation d’un logiciel intrusif, lorsque ses produits ou prestations ont été rendus défaillants par l’attaque ou ont rendu possible celle-ci.
Plus d’informations sur les assurances pour entreprise :
