À notre avis, une cyberassurance fait aujourd’hui partie intégrante d’une gestion professionnelle des risques. En particulier pour les entreprises disposant de leur propre infrastructure de serveurs, de Microsoft 365, de systèmes ERP et de processus informatiques stratégiques, une cyberattaque réussie peut causer des dommages qui dépassent largement les coûts de remise en état proprement dits.
L’essentiel n’est pas de souscrire une police au prix le plus bas possible, mais de préparer l’entreprise de manière à ce que les assureurs évaluent le risque comme acceptable et versent effectivement des indemnités en cas de sinistre.
Le marché suisse propose désormais différentes solutions à cet effet. Selon l’Association Suisse des Assureurs (ASA), seules 11,5 % des entreprises suisses étaient toutefois assurées contre les cyberrisques en 2025. (cf. à ce sujet «Les cyberassurances se développent – mais d’importantes lacunes de protection subsistent chez les PME » | ASA)
Pour un appel d’offres professionnel, il convient de prendre en compte les domaines de couverture suivants : (proposition)
|
Domaine de couverture |
Priorité |
À quoi faut-il veiller ? |
|
Informatique légale et réponse aux incidents |
Très élevée |
Disponibilité 24 h/24, 7 j/7, experts externes, mesures d'urgence |
|
Récupération des données et des systèmes |
Très élevé |
Y compris les serveurs, les ERP, les bases de données et les configurations |
|
Interruption d'activité |
Très élevée |
Perte de revenus, délai d'attente, durée de détention |
|
Responsabilité civile liée à la cybersécurité |
Très élevé |
Réclamations de clients et de partenaires commerciaux lésés |
|
Violations de la protection des données |
Élevé |
Frais d'avocat, déclarations, enquêtes |
|
Cyber-chantage |
Élevé |
Gestion de crise, négociations, coûts éventuels liés au chantage |
|
Ingénierie sociale / fraude aux paiements |
Élevé |
Virement bancaire suite à de fausses instructions de paiement |
|
Pannes du cloud et des prestataires de services |
Élevé |
Microsoft 365, hébergement et fournisseurs informatiques critiques |
|
Communication de crise |
Moyenne |
Information des clients, gestion de la réputation |
|
Dommages matériels / OT |
Selon le secteur d'activité |
Installations de production, commandes de machines |
Il s'agit de la partie la plus importante sur le plan économique de la préparation. Les mesures suivantes renforcent la résilience technique et améliorent généralement la situation de départ pour l'évaluation des risques.
Mesure Notre évaluation
Authentification multifactorielle (MFA) pour tous les accès externes et privilégiés Critique
Sauvegarde immuable/hors ligne et restauration testée Critique
Gestion des correctifs et correction des vulnérabilités critiques Très élevée
EDR/XDR et surveillance centralisée de la sécurité Très élevée
Accès privilégiés et segmentation du réseau Très élevé
Réponse aux incidents de cyberattaques et plans de reprise Élevé
Sensibilisation à la sécurité et exercices de phishing Élevé
Évaluation indépendante et documentation Élevé
Authentification multifactorielle : MFA pour le VPN, Microsoft 365, les administrateurs, le Bureau à distance, la gestion des sauvegardes et les prestataires externes. Documenter et sécuriser les exceptions. Les comptes privilégiés et les accès à distance revêtent une importance particulière.
Sauvegardes résistantes aux ransomwares : viser le principe 3-2-1-1-0, avec une sauvegarde isolée ou inaltérable, des administrateurs de sauvegarde protégés et des tests de restauration documentés. Une tâche de sauvegarde exécutée avec succès ne constitue pas à elle seule une preuve de restauration.
Gestion des vulnérabilités : inventaire des systèmes, délais de correction clairs, analyses régulières et traitement documenté des systèmes ne pouvant pas être corrigés. Corriger très rapidement les failles de sécurité critiques accessibles au public.
Détection et réponse au niveau des terminaux (EDR) : protection gérée de manière centralisée de tous les serveurs et clients, surveillance des alertes de sécurité et réponse réglementée aux menaces. Au moins une solution EDR moderne, voire un service MDR disponible 24 h/24 et 7 j/7.
Segmentation du réseau : séparer les utilisateurs, les serveurs, la sauvegarde, la gestion, le réseau invité et, le cas échéant, la production/OT. N’autoriser que les liaisons de communication nécessaires.
Gestion des urgences : définir les responsabilités, les contacts d’urgence, les canaux de communication, l’ordre de redémarrage et les procédures de validation. Organiser au moins une fois par an un exercice de crise réaliste.
Sensibilisation : organiser régulièrement de brèves formations pour le personnel et des simulations de hameçonnage. Mettre en place des procédures de vérification spécifiques pour le service financier et la direction en cas de modifications de comptes et d’autorisations de paiement ; convenir de mots de passe pour permettre des réactions rapides.
Justificatifs : rassembler pour l’assureur l’évaluation des risques, les directives de sécurité, les rapports d’analyse, les protocoles de test de sauvegarde, les rapports de correctifs et les attestations de formation.
Avant de commencer à évaluer une solution d’assurance, assurez-vous de remplir les conditions requises ; sinon, vous paierez trop cher ou, en cas d’urgence, l’assureur ne vous indemnisera pas.
Vous avez besoin d’aide dans ce processus ?
Ou appelez-nous au +41 44 947 17 20 ou envoyez-nous un e-mail : info@nexgen.ch