Bien répondre au questionnaire de cyberassurance
Ce que demandent vraiment les questions sur la MFA, l’EDR, les sauvegardes et les correctifs, pourquoi l’exactitude compte et comment combler les lacunes.
Souscrire ou renouveler une cyberassurance passe désormais presque toujours par un questionnaire de sécurité. Pour une petite entreprise sans service informatique, les questions sont parfois obscures : « La MFA est-elle imposée pour tout accès à distance ? », « Disposez-vous d’un EDR sur tous les postes ? », « Les sauvegardes sont-elles isolées du réseau ? ». On est tenté de cocher « oui » et de passer à la suite. Ce guide explique ce que demandent vraiment les questions courantes, pourquoi l’exactitude compte et comment combler les lacunes avant de signer.
Pourquoi les réponses comptent
Le questionnaire fait partie de votre demande. L’assureur fixe la prime, et décide même de vous couvrir ou non, sur la base de vos déclarations. Si, lors d’un sinistre, il découvre qu’une mesure déclarée n’était pas en place, il pourrait avoir des raisons de contester l’indemnisation. Les conséquences exactes dépendent du contrat et du droit applicable : lisez attentivement la partie consacrée aux déclarations et posez vos questions à votre courtier. La règle pratique est simple : si vous n’êtes pas sûr qu’une réponse soit vraie, vérifiez avant d’envoyer.
Ce que signifient les questions courantes
Authentification multifacteur (MFA)
Les assureurs interrogent souvent séparément sur la messagerie, l’accès à distance et les comptes administrateurs. « Imposée » veut dire obligatoire pour tous les utilisateurs, pas seulement disponible. Cherchez les exceptions : le compte du dirigeant laissé de côté parce que c’était plus pratique, une boîte partagée à laquelle quelqu’un se connecte directement, un vieux VPN ou bureau à distance qui accepte encore un simple mot de passe. Chacune rend le « oui » inexact.
Détection et réponse sur les postes (EDR)
L’EDR est un logiciel de sécurité qui surveille chaque ordinateur à la recherche de comportements suspects et permet d’enquêter et d’isoler une machine ; ce n’est pas un simple antivirus. On vous demandera souvent s’il couvre tous les postes, serveurs compris, et si quelqu’un suit réellement les alertes. Si elles arrivent dans une boîte que personne ne lit, dites-le ou corrigez-le.
Sauvegardes
Attendez-vous à des questions sur la fréquence, sur l’existence d’une copie hors ligne ou impossible à modifier ou supprimer depuis votre réseau, sur le chiffrement et sur les tests de restauration. Un NAS sur le même réseau ou des fichiers synchronisés dans le cloud peuvent ne pas répondre à cette définition, car un rançongiciel peut atteindre les deux. Notre article sur l’exercice de restauration explique comment prouver ce dernier point.
Mises à jour et logiciels obsolètes
On peut vous demander sous quel délai les mises à jour critiques sont installées et si vous utilisez des logiciels ou systèmes qui ne reçoivent plus de correctifs. Comptez tout, y compris le vieux PC qui ne sert qu’à un programme et le pare-feu du local technique.
Sécurité des e-mails et sensibilisation
Il s’agit du filtrage des e-mails, de la formation du personnel à la sécurité et parfois de la vérification par téléphone de toute demande de changement de coordonnées bancaires avant paiement. Si votre façon de faire est informelle, mettez-la par écrit.
Comptes administrateurs et accès à distance
L’assureur veut savoir si le personnel travaille avec des comptes sans droits d’administrateur, combien de comptes administrateurs existent et comment les prestataires externes se connectent. Un outil de prise en main à distance installé il y a des années par un ancien prestataire et jamais retiré est une découverte fréquente.
Plan de réponse aux incidents
La question porte sur un plan écrit en cas de problème : qui appeler, comment joindre la ligne d’urgence de l’assureur, qui peut décider. Il n’a pas besoin d’être long, mais il doit exister et chacun doit savoir où le trouver.
Comment se préparer
- Demandez le questionnaire tôt, idéalement plusieurs semaines avant l’échéance.
- Parcourez-le avec la personne qui gère votre informatique. Pour chaque question, notez la preuve : capture de la règle MFA, liste des postes équipés d’EDR, date du dernier test de restauration.
- Classez chaque réponse en oui, partiel ou non. Soyez honnête sur les « partiel ».
- Réglez d’abord ce qui est rapide. Imposer la MFA aux derniers comptes, supprimer un outil d’accès à distance inutilisé ou activer l’immuabilité des sauvegardes se fait souvent avant la date limite.
- Expliquez le reste. Quand une mesure est en cours de déploiement, de nombreux formulaires acceptent des commentaires. Voyez avec votre courtier comment la présenter.
- Conservez une copie de vos réponses et des preuves, pour accélérer le renouvellement suivant et pouvoir montrer ce qui était vrai à cette date.
Une fois le contrat en cours
Les mesures déclarées doivent rester en place pendant toute la durée du contrat. Les départs et arrivées, les nouveaux portables et les nouveaux logiciels sont les causes habituelles de dérive. Un court contrôle trimestriel au regard de vos réponses les maintient exactes.
Nos services de cybersécurité et de sauvegarde gérée couvrent une grande partie des mesures demandées dans ces questionnaires. Cet article est une information générale, pas un conseil juridique ni en assurance. Pour être accompagné dans un questionnaire avant votre renouvellement, appelez le (213) 986-4855.