Questionnaire de cyberassurance : ce que la partie technique demande vraiment

Un bureau d'études de la région d'Annemasse répond à un appel d'offres pour un donneur d'ordre industriel. Parmi les pièces demandées figure une attestation de couverture des risques informatiques. Le dirigeant contacte son courtier, qui lui transmet un questionnaire de six pages. Les premières questions passent sans difficulté: effectif, chiffre d'affaires, activité. Les suivantes s'arrêtent net. Les sauvegardes sont-elles stockées en dehors du réseau de production. Une restauration a-t-elle été testée au cours des douze derniers mois, et à quelle date. Les comptes d'administration utilisent-ils une authentification à plusieurs facteurs. Le dirigeant nous appelle en fin de journée, parce qu'il ne sait pas répondre et qu'il pressent qu'une réponse approximative n'est pas une bonne idée.

Précisons d'emblée notre position. Nous ne sommes ni assureur ni courtier: nous ne rédigeons pas de police, nous ne commentons aucun contrat et nous ne nous prononçons pas sur les garanties ni sur les montants. Les conditions, les exclusions et les franchises relèvent exclusivement de votre courtier ou de votre assureur, et c'est à eux qu'il faut poser ces questions. Ce que nous connaissons, en revanche, c'est le volet technique: les éléments que ces questionnaires demandent couramment, l'état dans lequel nous trouvons les systèmes d'information, et le travail nécessaire pour que les réponses soient exactes.

Pourquoi le questionnaire technique est devenu la partie difficile

Un questionnaire d'assurance classique porte sur des faits que le dirigeant connaît: la surface des locaux, le parc de véhicules, l'effectif. Un questionnaire portant sur les risques informatiques porte sur des faits qui dépendent de configurations techniques, que le dirigeant ne peut pas vérifier lui-même.

Cet écart crée une difficulté concrète, puisque la personne qui signe engage l'entreprise sur des affirmations qu'elle n'est pas en mesure de contrôler. Elle coche donc en fonction de ce qu'elle croit vrai, ou de ce qu'un prestataire lui a dit un jour. Nous rencontrons régulièrement des cases remplies de bonne foi qui ne correspondent pas à l'état réel: une sauvegarde présentée comme externalisée alors qu'elle réside sur un NAS branché dans le même local que le serveur, ou une protection des postes considérée comme supervisée alors que la console d'administration n'a envoyé aucun rapport depuis des mois.

Ce décalage est le vrai sujet de cet article. Une déclaration inexacte, même sans intention de tromper, fragilise votre position au moment où vous demandez une indemnisation, parce que l'expertise qui suit un sinistre examine la conformité entre ce qui a été déclaré et ce qui existait. La bonne démarche consiste donc à faire établir l'état réel avant de remplir le document, puis à le remplir avec des faits vérifiables, dates comprises.

Les exigences techniques que ces questionnaires demandent couramment

La formulation varie d'un document à l'autre, mais les thèmes reviennent avec une régularité qui permet de s'y préparer.

• Des sauvegardes conservées en dehors de la production, et une restauration effectivement testée. La question porte sur deux points distincts: l'emplacement de la copie et la preuve qu'elle fonctionne. Une copie joignable depuis le même réseau que les serveurs ne répond pas à la première partie, et une copie jamais restaurée ne répond pas à la seconde. Nous détaillons cette distinction dans notre article sur les raisons pour lesquelles faire des sauvegardes ne suffit pas, et le cas des données hébergées chez un éditeur dans notre article expliquant que Microsoft 365 n'est pas une sauvegarde.
• Une authentification renforcée sur les comptes à privilèges, et souvent sur les accès distants. Certains questionnaires précisent le type de facteur accepté, ce qui rend utile de savoir lequel est en service chez vous. Nous expliquons les différences de solidité entre les facteurs dans notre article sur la double authentification.
• Une protection des postes administrée et surveillée. La distinction porte sur le suivi plus que sur le produit: un outil installé sur les machines mais dont personne ne consulte les alertes ne constitue pas une protection administrée. Notre approche est décrite dans notre article sur Bitdefender EDR appliqué à un parc de PME.
• Un filtrage des messages entrants, la messagerie restant la voie d'entrée la plus fréquente, sujet que nous traitons dans notre article sur le spam et le phishing.
• Une journalisation conservée pendant une durée définie. Ce point est le plus souvent négligé, et il devient déterminant après un incident: sans journaux, personne ne peut établir la date d'entrée, l'étendue des accès ni la nature des données consultées. Cette incertitude porte bien au-delà de l'assurance, notamment sur vos obligations d'information envers les personnes concernées.
• Un inventaire du parc et une gestion des correctifs. La question porte sur votre capacité à dire combien de machines existent, quels systèmes elles utilisent, et à quelle fréquence les mises à jour sont appliquées.
• Une organisation de réponse en cas d'incident, c'est-à-dire qui appeler, dans quel délai, et selon quelle procédure écrite.

Le chiffrement, le télétravail et les points qui reviennent en complément

Deux thèmes apparaissent régulièrement en annexe des questionnaires.

Le premier concerne les postes mobiles, avec une question sur le chiffrement des ordinateurs portables, parce que la perte d'un support non chiffré contenant des données personnelles constitue un événement à traiter en tant que tel. Nous décrivons cette mise en place, et le point délicat de la conservation des clés de récupération, dans notre article sur le chiffrement des disques de portables.

Le second concerne les accès depuis l'extérieur. Un accès distant publié directement sur Internet vaut mieux être corrigé avant de remplir un formulaire que déclaré tel quel, et son remplacement est expliqué dans notre article sur le bureau à distance ouvert sur Internet.

Signalons enfin que les cadres réglementaires en cours de déploiement en Europe demandent des éléments techniques de même nature: copies testées, postes suivis, comptes à privilèges tenus, traces conservées. Nous ne fournissons aucun conseil juridique sur leur périmètre d'application, qui dépend de votre secteur et de votre taille. Le travail technique fait une fois sert en revanche aux deux démarches.

Comment nous préparons le dossier technique avant l'envoi du questionnaire

Notre intervention sur ce sujet consiste à transformer des impressions en faits documentés. Elle se déroule en quatre temps.

1. Nous établissons l'état réel, service par service: emplacement effectif des sauvegardes, date de la dernière restauration réussie, liste des comptes à droits élevés avec le type de second facteur associé à chacun, état de la protection sur chaque poste, durée de conservation des journaux, inventaire des machines. Ce relevé se fait à distance dans la plupart des cas.
2. Nous vous remettons ce relevé sous une forme utilisable par le courtier, avec des dates. La différence entre « nous avons des sauvegardes » et « restauration complète du serveur de fichiers vérifiée le 14 du mois dernier, copie conservée hors du réseau de production » ne se joue pas sur le style: la seconde formulation est vérifiable, la première ne l'est pas.
3. Nous distinguons ce qui est déjà vrai de ce qui reste à mettre en place, et nous chiffrons le second. Cette séparation vous permet de décider en connaissance de cause, et nous vous recommandons de prendre cette décision avec votre courtier.
4. Nous maintenons ensuite ces éléments à jour, parce qu'un questionnaire se renouvelle et qu'un état vrai en janvier peut être faux en octobre. Nous produisons un relevé périodique qui documente les restaurations testées, l'état de la protection des postes et la couverture de l'authentification renforcée.

Ce suivi entre dans un contrat d'infogérance à partir de 120 HT / mois, avec le même montant hors taxes en euros et en francs, et il inclut la supervision à distance de nos clients du Bassin Genevois. Une intervention ponctuelle hors contrat est facturée 230 HT / h, mais elle est mal adaptée à ce sujet: le questionnaire ne demande pas une action unique, il demande une pratique continue dont on doit pouvoir montrer la trace.

Ce qu'il faut retenir tient en une phrase: le questionnaire ne cherche pas à savoir si vous possédez des outils, il cherche à savoir si vous pouvez prouver ce que vous affirmez. Nous ne vous dirons jamais quelle couverture souscrire, cette question appartient à votre courtier ou à votre assureur. En revanche, si un formulaire est resté en attente parce que la partie technique vous bloque, envoyez-le-nous sans y joindre de données sensibles. Nous vous indiquerons ce qui est déjà exact chez vous, ce qui ne l'est pas, et dans quel ordre corriger.