Vous signez un contrat de cyber-assurance. Le courtier vous tend un questionnaire, vous cochez les cases — MFA, sauvegardes, antivirus — vous signez, vous êtes couvert. Du moins, c'est ce que vous croyez. Six mois plus tard, un rançongiciel chiffre vos serveurs. Vous déclarez le sinistre, et l'assureur mandate un expert qui découvre que votre accès distant, lui, n'avait jamais eu de double authentification. L'indemnisation fond, ou disparaît.
Ce scénario n'a rien d'exceptionnel. Depuis plusieurs années, les pertes liées aux rançongiciels ont poussé les assureurs cyber à durcir leurs conditions : primes en hausse, questionnaires plus longs, exigences techniques précises, et surtout un contrôle réel de ce qui est effectivement en place le jour du sinistre. Le marché est passé d'une logique de « case à cocher » à une logique de preuve.
Pour un dirigeant de PME ou d'ETI, l'enjeu se dédouble. Être assurable — obtenir un contrat — est une chose. Être indemnisable — toucher réellement l'argent après un incident — en est une autre. Cet article détaille ce que votre assureur exige désormais, pourquoi une déclaration approximative peut vous coûter votre couverture, et comment vous mettre en position d'être les deux à la fois.
Pourquoi les assureurs ont durci le jeu
Pendant longtemps, souscrire une cyber-assurance revenait à remplir un formulaire succinct. Cette époque est révolue. Les vagues successives de rançongiciels ont infligé aux assureurs des sinistres coûteux et corrélés — quand une même faille touche des milliers d'organisations en même temps, le modèle assurantiel se tend. La réponse a été mécanique : sélectionner les risques, exiger un socle de sécurité minimal, et le vérifier.
Concrètement, le questionnaire de souscription est devenu un mini-audit. Certaines questions sont éliminatoires : sans elles, pas de contrat, ou une surprime dissuasive. Et les réponses que vous y portez engagent votre responsabilité contractuelle.
Les prérequis que l'on vous demande (presque) toujours
Les formulations varient d'un assureur à l'autre, mais un socle revient de façon récurrente :
- MFA (authentification multifacteur) sur tous les accès sensibles : VPN, messagerie, comptes d'administration, accès distants et outils exposés sur Internet.
- Sauvegardes testées et isolées : au moins une copie hors ligne ou immuable, et surtout des restaurations réellement éprouvées — pas seulement des sauvegardes qui « tournent ».
- EDR ou détection sur les postes et serveurs : une capacité de détection et de réponse, au-delà de l'antivirus classique.
- Plan de réponse à incident écrit, avec des rôles identifiés et, idéalement, un exercice déjà réalisé.
- Gestion des correctifs : un processus pour appliquer les mises à jour de sécurité dans des délais raisonnables, en particulier sur les systèmes exposés.
- Gestion des accès à privilèges : comptes administrateurs limités, et retrait des accès quand un collaborateur part.
- Sensibilisation des équipes au phishing, principal vecteur d'entrée.
Aucun de ces points n'est théorique. Chacun correspond à une porte d'entrée qu'un attaquant emprunte régulièrement — et que l'expert d'assurance ira vérifier après coup.
Le piège : la déclaration inexacte
C'est ici que le sujet devient juridique. Un contrat d'assurance repose sur la déclaration du risque par l'assuré. En droit français, une fausse déclaration intentionnelle peut entraîner la nullité du contrat (article L113-8 du Code des assurances) : l'assureur ne paie pas, et conserve les primes. Une déclaration inexacte de bonne foi ouvre, elle, la voie à la règle proportionnelle (article L113-9) : l'indemnité est réduite en proportion de l'écart entre ce que vous avez déclaré et la réalité.
Traduit en clair : si vous cochez « MFA partout » alors qu'un accès y échappe, vous ne vous exposez pas seulement à un incident. Vous vous exposez à payer une prime pour une couverture qui, le jour venu, se dérobe. La bonne nouvelle, c'est que ce risque est entièrement sous votre contrôle : il suffit que le déclaré corresponde au réel.
L'écart entre ce que vous croyez et ce qui est exposé
Le problème n'est presque jamais la mauvaise foi. C'est l'angle mort. Vous avez déployé le MFA sur la messagerie principale — mais un ancien webmail, un VPN hérité ou un accès RDP oublié accepte encore un simple mot de passe. Vous pensez votre parc à jour — mais un service exposé sur Internet traîne une version vulnérable connue.
Ces écarts ont un point commun : ils sont visibles depuis l'extérieur. Ce sont précisément les premiers points qu'un attaquant cartographie, et ceux qu'un expert d'assurance retrouve dans les journaux après un sinistre. Savoir ce que votre organisation expose réellement sur Internet, avant de signer une déclaration, n'est pas un luxe : c'est la condition d'une déclaration honnête.
Comment Sedona peut aider
Sedona Radar mesure votre surface d'attaque externe : ports ouverts, configuration DNS (SPF, DKIM, DMARC), certificats TLS, vulnérabilités connues et sous-domaines exposés. Il produit un score de conformité indicatif, sur plusieurs référentiels, pour situer votre exposition — mais il ne certifie rien et ne remplace ni votre assureur ni votre RSSI. Sa valeur ici est précise : voir, depuis l'extérieur, l'écart entre ce que vous vous apprêtez à déclarer et ce qui est réellement visible sur Internet. C'est là que se logent la plupart des angles morts d'un questionnaire cyber. Pour le reste — sauvegardes, EDR, sensibilisation — nos audits de surface, simulations de phishing et actions de sensibilisation complètent le tableau, sans survente ni promesse de certification.
Testez gratuitement votre exposition externe avec le plan Découverte de Sedona Radar, ou parlez-en à un expert pour préparer sereinement votre prochaine souscription.
