Cyberassurance

Cela dépend du libellé du contrat, pas du mot « cyber » dans son nom. Les contrats diffèrent par ce qu’ils couvrent : frais de réponse à incident, restauration des systèmes, pertes d’exploitation, réclamations de tiers et, dans certains contrats, la rançon elle-même. Ils diffèrent aussi par leurs exclusions, leurs franchises, le délai de carence avant la prise en compte des pertes d’exploitation et les conditions de sécurité déclarées à la souscription, comme l’authentification multifacteur (MFA) et des sauvegardes hors ligne. Le paiement d’une rançon peut en outre être limité par la loi, par exemple lorsque les attaquants figurent sur une liste de sanctions ; l’assureur peut alors refuser cette part même si le reste est couvert. Avant un incident, relisez la garantie avec votre courtier, notez la ligne d’urgence de l’assureur et les conditions de déclaration, et vérifiez que chaque mesure déclarée existe vraiment. NetSenX ne décide pas de la garantie, mais ses alertes et son journal d’audit, dans chaque offre, aident à montrer ce qui était surveillé et quand les premiers signes sont apparus.

Oui, ils peuvent aider à établir ce qui s’est passé et quand, et le sinistre comme une éventuelle notification de violation en dépendent. Les relevés réseau peuvent montrer quand des connexions inhabituelles ont commencé, quels appareils étaient en cause, si un appareil contactait un serveur extérieur à intervalles réguliers et si de gros volumes ont quitté le réseau, ce qui aide à distinguer une attaque limitée au chiffrement d’une attaque où des données ont aussi été emportées. Pour compter, ces relevés doivent couvrir la période en cause, porter un horodatage fiable et être protégés contre toute modification ultérieure : fixez la durée de conservation avant d’en avoir besoin et gardez des copies hors des systèmes touchés. NetSenX conserve les alertes pendant l’historique d’alertes de votre offre et tient un journal d’audit des actions et modifications dans le compte. Il enregistre des métadonnées, pas le contenu des sessions chiffrées : il montre que des données sont parties et vers où, pas ce que contenaient les fichiers. C’est à vous et à votre courtier de confirmer si un relevé suffit à un assureur donné.

C’est possible, selon ce que vous avez déclaré et le libellé du contrat. Les questionnaires demandent souvent non seulement si un outil de surveillance est installé, mais aussi qui examine ses alertes et en combien de temps ; une réponse qui ne correspondait pas à la réalité peut réduire ou annuler la garantie après un incident. Relisez le contrat avec votre courtier et décrivez votre organisation telle qu’elle est vraiment, soirées, week-ends et congés compris. Puis comblez l’écart : désignez une personne et un suppléant pour les alertes, définissez ce qui est urgent, écrivez qui appelle qui et testez-le. Si personne en interne ne peut s’en charger, un fournisseur de services managés (MSP) le peut. Un outil n’aide que si quelqu’un voit les alertes à temps. NetSenX explique chaque alerte en langage clair, pour qu’un non-spécialiste puisse en juger, et à partir de l’offre Pro il peut envoyer les alertes vers Slack ou un webhook afin qu’elles atteignent la personne de permanence. Le journal d’audit enregistre les actions et modifications dans le compte.

Le plus souvent parce que les faits constatés après l’incident ne correspondent pas à ce qui avait été déclaré ou exigé avant. Les raisons typiques sont une mesure de sécurité indiquée dans le questionnaire mais absente ou partielle, comme une MFA sur la messagerie mais pas sur l’accès à distance ; une déclaration tardive à l’assureur ; un événement relevant d’une exclusion, comme la guerre ou une vulnérabilité connue non corrigée lorsque le contrat le prévoit ; des pertes hors garantie, comme une amende non assurable ; ou des prestataires mandatés sans l’accord de l’assureur. Réduisez ce risque dès maintenant : remplissez le questionnaire avec la personne qui exploite les systèmes, conservez la preuve que chaque mesure fonctionne, rangez la procédure de déclaration avec le plan de réponse et prévenez votre courtier quand votre environnement change. NetSenX ne peut pas faire aboutir un sinistre. Il aide sur un point : un relevé daté de ce que montrait le réseau et des actions et modifications dans votre compte.

En général, de la preuve de trois choses : qu’un événement couvert s’est produit, ce qu’il a coûté et que les conditions du contrat étaient respectées. Attendez-vous à fournir une chronologie de l’incident, le rapport d’investigation ou de réponse à incident, les factures des prestataires, les coûts de restauration et d’heures supplémentaires, le chiffrage du chiffre d’affaires perdu pendant l’interruption, les éventuelles notifications aux autorités ou aux clients et la preuve que les mesures déclarées, comme la MFA, les sauvegardes et la surveillance, étaient en place le jour même. Le contrat et le gestionnaire du sinistre décident de ce qui suffit : interrogez-les tôt et tenez une liste au fil de l’eau. Préservez journaux et systèmes touchés avant de reconstruire, car un serveur effacé ne montrera plus rien. NetSenX apporte un élément : des alertes horodatées avec les appareils concernés, conservées pendant l’historique d’alertes de votre offre (30 jours en Free, plus longtemps dans les offres payantes), et un journal d’audit des actions et modifications dans le compte. Il ne fournit ni investigation sur les postes ni évaluation des coûts.

Souvent oui, ou du moins il a son mot à dire. De nombreux contrats donnent accès à un réseau de prestataires de réponse, d’avocats et de spécialistes de la restauration, et certains ne prennent les frais entièrement en charge que si vous y faites appel ou si l’assureur approuve un autre prestataire à l’avance. Renseignez-vous avant un incident : lisez la clause sur l’assistance en cas d’incident, notez le numéro d’urgence et qui peut l’appeler, et demandez si votre prestataire informatique ou votre fournisseur de services managés (MSP) peut travailler avec le prestataire de l’assureur. Pendant l’incident, appelez l’assureur tôt, avant de signer avec qui que ce soit, et gardez une trace écrite de ce qui est convenu. Réglez aussi la question de la propriété du rapport d’investigation, qui peut être transmis à l’assureur. NetSenX n’est pas un prestataire de réponse à incident et ne figure pas dans les réseaux des assureurs. Il peut donner aux intervenants un point de départ : quels appareils ont déclenché des alertes, quand, et quelles adresses extérieures ils ont contactées.

Une courte liste revient dans la plupart des questionnaires, même si chaque assureur fixe la sienne. Attendez-vous à des questions sur l’authentification multifacteur (MFA) pour la messagerie, l’accès à distance et les comptes administrateurs ; des sauvegardes hors ligne ou immuables, testées par une restauration ; l’application rapide des correctifs, surtout sur les systèmes exposés à internet ; un outil de détection et de réponse sur les postes (EDR) pour les ordinateurs et serveurs ; le filtrage des e-mails et la sensibilisation du personnel ; des droits d’administration limités ; un plan de réponse à incident ; et une forme de surveillance avec une personne désignée qui réagit. Répondez pour toute l’entreprise, pas pour sa partie la mieux tenue, et notez la preuve derrière chaque « oui ». Le questionnaire fait partie du contrat : une réponse fausse pèse plus lourd qu’une lacune déclarée. NetSenX couvre une partie de la question sur la surveillance : dans chaque offre, Free compris, il détecte le beaconing vers des serveurs de commande et contrôle, les scans, les mouvements latéraux et les volumes sortants inhabituels sur les segments surveillés. Il n’est ni une MFA, ni un EDR, ni une sauvegarde et ne les remplace pas.

Pour la plupart des assureurs, elle est aujourd’hui presque une condition, au moins pour la messagerie, l’accès à distance et les comptes administrateurs. L’authentification multifacteur (MFA) ajoute une seconde étape à la connexion, comme un code d’application ou une clé matérielle, de sorte qu’un mot de passe volé ne suffit pas à ouvrir le compte. Les questionnaires demandent souvent où exactement la MFA est imposée, et le détail compte : une MFA sur la messagerie mais pas sur le VPN, ou sur les utilisateurs mais pas sur les administrateurs, peut transformer un « oui » en fausse déclaration après un incident. Listez chaque accès à vos systèmes, imposez la MFA sur chacun, documentez les exceptions et signalez-les à votre courtier. Une sonde réseau ne peut pas vérifier la MFA, car les événements de connexion se trouvent dans les journaux de votre annuaire et de votre VPN. NetSenX propose lui-même l’authentification à deux facteurs dans chaque offre, Free comprise, pour l’accès au compte NetSenX, et ne vérifie pas la MFA de vos autres systèmes.

Beaucoup le demandent pour tous les ordinateurs et serveurs, et certains demandent quelle part des appareils il couvre : vérifiez la question exacte. Un outil de détection et de réponse sur les postes (EDR) est un logiciel installé sur chaque ordinateur qui surveille processus et fichiers et peut isoler une machine. Il ne fonctionne pas sur de nombreux appareils, comme les imprimantes, caméras, téléphones, automates de bâtiment ou équipements industriels, et il manque partout où quelqu’un a oublié de l’installer. Répondez avec des chiffres réels : comptez vos appareils, comptez ceux qui ont un EDR et expliquez le reste et sa protection, par exemple une séparation réseau. La détection réseau est le complément habituel, car elle voit le trafic de chaque appareil d’un segment surveillé, avec ou sans agent. NetSenX est ce complément : il surveille appareils et connexions, pas les processus à l’intérieur d’un hôte, et ce n’est pas un EDR. Sa carte du réseau montre les appareils vus sur chaque segment surveillé, ce qui aide à trouver ceux qui manquent dans votre décompte EDR.

Surtout si vous pourriez repartir sans payer et en combien de temps une attaque serait remarquée. Les questions typiques portent sur les sauvegardes (hors ligne ou immuables, séparées de vos comptes administrateurs habituels, et date de la dernière restauration de test), la MFA sur l’accès à distance et la messagerie, la rapidité d’application des correctifs critiques, l’exposition éventuelle du bureau à distance sur internet, la limitation des droits d’administration, la présence d’un EDR sur les postes et l’existence d’une personne qui surveille les alertes et y répond. Certains assureurs demandent aussi si vous avez un plan d’action rançongiciel et qui décide face à une demande de rançon. Un rançongiciel est en général précédé de jours de préparation dans le réseau : l’attaquant contacte son serveur, scanne et passe d’une machine à l’autre. C’est cette fenêtre que la détection réseau peut raccourcir. NetSenX alerte sur ces étapes dans chaque offre et les explique simplement, mais il ne bloque pas le trafic et ne restaure pas les données ; la réponse à la première question reste des sauvegardes et un plan de reprise testé.

Généralement parce que l’appréciation du risque par l’assureur a changé, pas à cause d’un seul outil manquant. Les raisons fréquentes sont des réponses au questionnaire de renouvellement qui révèlent une lacune, comme l’absence de MFA sur l’accès à distance ou de sauvegarde testée ; un sinistre ou un incident dans l’année écoulée ; un changement d’activité, comme de nouveaux pays, davantage de données ou des acquisitions ; des systèmes exposés que l’assureur a trouvés en scannant vos adresses visibles depuis internet ; et l’évolution de l’appétit de l’assureur pour votre secteur. Demandez à votre courtier les raisons précises par écrit, corrigez ce qui peut l’être, documentez-le et demandez une réévaluation, ou présentez ces preuves à d’autres assureurs. Ne cochez pas de case que vous ne pouvez pas justifier. NetSenX peut aider sur un point : il montre qu’une surveillance est en place et fournit un relevé des alertes sur les segments surveillés. Il ne scanne pas vos systèmes exposés à internet comme le font les assureurs et ne peut garantir ni la couverture ni un prix.

Certains posent la question et quelques-uns en font une condition, mais beaucoup demandent seulement si une surveillance existe et qui réagit. Lisez la question exacte : « surveillance 24/7 » dans le questionnaire d’un assureur signifie en général qu’une personne examine les alertes à toute heure, souvent via un centre des opérations de sécurité (SOC) ou un prestataire managé, et pas seulement qu’un logiciel tourne en permanence. Les attaques sont souvent lancées la nuit, le week-end et pendant les congés, quand personne ne regarde, d’où l’intérêt des assureurs. Si vous ne pouvez pas assurer une présence à toute heure, dites-le honnêtement et décrivez ce que vous faites : alertes envoyées sur un téléphone, astreinte, contrat avec un MSP ou délai de réaction que vous tenez vraiment. NetSenX analyse le trafic en continu sur les segments surveillés et lève des alertes à toute heure ; à partir de l’offre Pro, il peut les envoyer vers Slack ou un webhook. Il faut toujours une personne pour les lire et agir ; NetSenX ne fournit pas de surveillance assurée par des analystes.

En général pas à elles seules, car un assureur qui parle de surveillance 24/7 entend le plus souvent qu’une personne peut réagir à toute heure. Un logiciel qui analyse le trafic en continu et envoie des alertes constitue la première moitié ; la seconde est quelqu’un qui reçoit l’alerte à 3 heures du matin, la comprend et peut agir, par exemple en déconnectant un appareil ou en appelant un prestataire de réponse. Qu’une organisation avec des alertes envoyées sur un téléphone d’astreinte suffise dépend du libellé de l’assureur : décrivez-la précisément et interrogez votre courtier plutôt que de cocher la case. Notez le délai de réaction que vous tenez vraiment hors heures ouvrées et testez-le une fois avec une alerte volontaire. NetSenX fournit la première moitié : une analyse continue sur les segments surveillés, des alertes en langage clair et, à partir de l’offre Pro, leur envoi vers Slack ou un webhook. La seconde moitié, c’est votre astreinte, votre MSP ou un centre des opérations de sécurité.

Cela peut faire partie de la réponse si le prestataire s’engage réellement à surveiller et à réagir à toute heure, et si le contrat le prévoit. Ce qui rend un « oui » défendable, c’est le service, pas le logiciel : un délai de réaction écrit, une couverture des nuits et week-ends, une liste claire de ce que le prestataire peut faire seul, comme isoler un appareil, et des comptes rendus réguliers. Demandez au prestataire les clauses du contrat, confrontez-les à la question de l’assureur avec votre courtier et rangez le contrat avec vos documents d’assurance. NetSenX se prête à ce modèle : chaque client dispose de son propre espace (tenant), séparé des autres clients dans la base de données ; à partir de l’offre Pro, les alertes peuvent être envoyées vers le Slack du prestataire ou un webhook ; et la gestion d’équipe avec des rôles est disponible dès l’offre Starter, ce qui permet au prestataire de travailler dans votre compte avec ses propres identifiants. Des rapports en marque blanche sont disponibles en Enterprise, par contrat. L’engagement de surveillance lui-même est celui du prestataire, pas de NetSenX.

Il doit préciser qui surveille, quand, en combien de temps il réagit et ce qu’il a le droit de faire. Un centre des opérations de sécurité (SOC) est une équipe qui surveille les alertes de sécurité et y répond, interne ou achetée comme service. Quand un assureur en parle, il cherche quelques points concrets : les heures couvertes, nuits et week-ends compris ; un délai de réaction pour les alertes urgentes, écrit sous forme d’accord de niveau de service (SLA) ; les systèmes et sources de données couverts ; les actions que le prestataire peut mener sans demander, comme isoler un appareil ou désactiver un compte ; comment et quand vous êtes informé ; et ce qui se passe pendant les pannes du prestataire lui-même. Vérifiez que le périmètre du contrat correspond à celui que vous déclarez, car un SOC qui ne voit que votre pare-feu ne couvre pas vos ordinateurs portables. NetSenX peut être l’une des sources de données d’une telle équipe, avec des alertes vers Slack ou un webhook à partir de l’offre Pro et l’export vers un SIEM à partir de l’offre Business. NetSenX ne vend pas de services de SOC.

En général, si vous remarqueriez une activité suspecte à l’intérieur du réseau et qui agirait, pas si un pare-feu est installé. Un pare-feu filtre le trafic en bordure ; la surveillance du réseau examine le trafic qui circule, y compris entre appareils internes, et alerte sur des schémas comme un appareil qui contacte un serveur extérieur à intervalles réguliers, une machine qui en sonde beaucoup d’autres ou des volumes sortants inhabituels. La question s’accompagne souvent de précisions sur la couverture (quels sites et segments), l’examen des alertes et la conservation des relevés. Répondez selon le périmètre réel : indiquez quels réseaux sont surveillés et lesquels ne le sont pas, comme une agence distante ou le Wi-Fi invités. NetSenX est un outil de détection et de réponse réseau (NDR) : dans chaque offre, il détecte le beaconing, les scans, les mouvements latéraux et les volumes sortants inhabituels sur les segments surveillés, via un agent sous Linux ou macOS ou une sonde sur un port SPAN/TAP. Il ne voit pas les segments qui ne lui sont pas raccordés.

Des preuves que la surveillance existe, couvre ce que vous déclarez et donne lieu à des actions. Les assureurs demandent rarement des preuves à la souscription, mais peuvent le faire au renouvellement, lors d’un audit ou après un sinistre : rassemblez-les au fil de l’eau. Sont utiles une courte description de ce qui est surveillé et comment, avec un schéma du réseau indiquant les segments surveillés ; le nom de la personne ou du prestataire qui examine les alertes et les délais de réaction convenus ; quelques alertes récentes avec les suites données ; et un rapport de synthèse périodique. Rangez-les avec vos documents d’assurance et mettez-les à jour quand le réseau change. NetSenX peut en fournir une partie : la carte du réseau avec les appareils vus sur chaque segment surveillé, dans chaque offre ; des rapports PDF à partir de l’offre Starter ; et un journal d’audit des actions et modifications dans le compte, dans chaque offre. Il ne certifie pas votre surveillance, et l’acceptation d’une pièce relève de l’assureur.

Oui, comme un élément de preuve parmi d’autres, mais NetSenX ne certifie rien et c’est l’assureur qui décide de ce qu’il accepte. Les rapports de conformité PDF sont disponibles à partir de l’offre Starter. Avec l’historique des alertes, ils aident à montrer que la surveillance fonctionnait, ce qu’elle a trouvé et quand. Accompagnez chaque rapport du contexte dont l’assureur a besoin : quels segments étaient surveillés et lesquels ne l’étaient pas, qui a examiné les alertes et quelles suites ont été données aux plus importantes. Un rapport d’outil de surveillance ne dit rien de vos sauvegardes, de la MFA ou des correctifs, qui sont souvent les premières questions de l’assureur. Après un incident, exportez rapidement les alertes utiles pour qu’elles soient conservées au-delà de l’historique de votre offre (30 jours en Free, plus longtemps dans les offres payantes, sans limite en Enterprise). À partir de l’offre Pro, les alertes peuvent aussi être récupérées par l’API dans vos propres archives.

Elle aide parfois, mais aucun outil ne garantit un prix plus bas, et la prime dépend bien davantage de votre secteur, de votre chiffre d’affaires, de votre historique de sinistres et des mesures de base. Les assureurs tarifent le risque qu’ils voient dans vos réponses et, de plus en plus, dans leurs propres scans de vos systèmes exposés à internet. Une surveillance avec quelqu’un qui réagit peut améliorer ce tableau, surtout si votre réponse précédente était « non », mais la MFA, des sauvegardes testées et les correctifs pèsent en général davantage. Si vous ajoutez une détection réseau, dites-le à votre courtier au renouvellement, décrivez le périmètre et qui examine les alertes, et joignez une preuve comme un rapport. Demandez si l’assureur accorde des réductions pour certaines mesures et quelle preuve il exige. N’achetez pas un outil uniquement pour le questionnaire : un outil de surveillance que personne ne regarde peut vous nuire après un sinistre. La détection de base de NetSenX est disponible dans chaque offre, Free comprise, ce qui permet de décrire une surveillance réelle avant de payer quoi que ce soit ; NetSenX ne peut promettre aucune baisse de prime.

Au mieux en partie, et cela dépend du droit national et du contrat. NIS2 rend les organes de direction des entités concernées responsables de l’approbation des mesures de gestion des risques en matière de cybersécurité et de la supervision de leur mise en œuvre, et le droit national y attache des conséquences : en Allemagne, l’article 38, paragraphe 2, du BSIG rend les dirigeants responsables selon le droit des sociétés en cas de manquement à cette obligation. L’assurance responsabilité civile des dirigeants (D&O) peut couvrir les frais de défense et les dommages-intérêts qu’un dirigeant doit à la société ou à des tiers. Les amendes administratives sont une autre question : leur assurabilité même relève du droit national et de l’ordre public, et de nombreux contrats les excluent. Vérifiez trois points avec votre courtier : si le contrat D&O exclut les événements cyber ou les renvoie à la police cyber, si les amendes sont couvertes là où la loi le permet, et comment les deux contrats s’articulent. L’assurance ne supprime pas l’obligation elle-même : approuver et superviser les mesures. NetSenX n’a aucun rôle dans la couverture d’assurance.