Les assureurs disposent d’une vision privilégiée des incidents cyber déclarés par leurs clients. Mieux exploitées et partagées dans un cadre sécurisé, ces informations pourraient contribuer à améliorer la prévention, la connaissance de la menace et la résilience collective.

L’essentiel

Les compagnies d’assurance spécialisées dans le risque cyber occupent une position particulière dans l’écosystème de cybersécurité.

Elles peuvent être amenées à connaître :

• la nature d’un incident ;
• son coût ;
• ses conséquences opérationnelles ;
• les mesures de réponse engagées ;
• certaines vulnérabilités ou faiblesses constatées ;
• les conditions de remise en état de l’organisation.

Ces informations peuvent représenter une source précieuse pour mieux comprendre les tendances observées dans les attaques par rançongiciel.

Mais leur exploitation pose une question délicate :

Comment partager suffisamment d’informations pour améliorer la défense collective sans exposer les victimes, leurs données sensibles ou leurs intérêts économiques ?

La réponse ne réside probablement ni dans le secret absolu ni dans une transparence totale.

Elle repose plutôt sur un partage organisé, proportionné et sécurisé.

1. Pourquoi les assureurs disposent-ils d’informations particulièrement utiles ?

Lorsqu’une organisation victime d’une cyberattaque sollicite son assureur, plusieurs acteurs peuvent intervenir :

• assureur ;
• courtier ;
• experts en réponse à incident ;
• juristes ;
• spécialistes de la continuité d’activité ;
• prestataires de restauration ;
• parfois experts en négociation de crise.

Les données produites à cette occasion peuvent permettre de mieux comprendre :

• les secteurs les plus touchés ;
• les types d’incidents les plus coûteux ;
• les conséquences opérationnelles ;
• les mesures de sécurité qui ont échoué ;
• les facteurs ayant permis de limiter les dommages.

À l’échelle d’un portefeuille important d’entreprises assurées, les assureurs peuvent donc disposer d’une vision transversale particulièrement intéressante du risque cyber.

2. Une donnée utile à la prévention

Une information issue d’un incident peut avoir une valeur bien au-delà de l’entreprise victime.

Par exemple, l’analyse agrégée de plusieurs sinistres peut permettre d’identifier :

• une augmentation des compromissions de comptes ;
• des attaques répétées contre un même secteur ;
• certaines catégories de vulnérabilités ;
• des faiblesses fréquentes dans les dispositifs de sauvegarde ;
• des problèmes récurrents liés aux prestataires ou aux accès distants.

Ces observations peuvent ensuite être transformées en recommandations de prévention.

Le retour d’expérience devient alors un outil collectif.

Une attaque subie par une organisation peut contribuer à en protéger d’autres, à condition que l’information soit correctement exploitée.

3. Le partage ne doit pas se limiter aux indicateurs techniques

Le renseignement sur la menace ne repose pas uniquement sur des adresses IP ou des empreintes de fichiers.

Dans le domaine de la cyberassurance, d’autres informations peuvent être tout aussi utiles.

Par exemple :

• durée d’interruption ;
• délai de détection ;
• coût de restauration ;
• disponibilité réelle des sauvegardes ;
• dépendance à un prestataire ;
• délai de reprise d’activité ;
• nature des fonctions les plus impactées.

Ces données permettent de mieux comprendre la résilience réelle des organisations.

Elles peuvent donc enrichir les analyses purement techniques.

4. Mutualiser les retours d’expérience

L’intérêt principal d’un partage organisé réside dans la capacité à passer du cas individuel à une connaissance collective.

Une attaque isolée apporte une information limitée.

Des centaines d’incidents analysés selon des critères comparables peuvent permettre de dégager des tendances.

Cette mutualisation peut notamment aider à répondre à des questions telles que :

• quels contrôles de sécurité réduisent réellement les conséquences d’un ransomware ?
• quelles organisations restaurent leurs activités le plus rapidement ?
• quelles dépendances aggravent les interruptions ?
• quelles pratiques de sauvegarde sont réellement efficaces ?
• quels secteurs présentent les impacts les plus importants ?

Cette approche transforme le retour d’expérience en outil de décision.

5. Les assureurs peuvent contribuer à élever le niveau de sécurité

La cyberassurance ne se limite plus nécessairement à indemniser un sinistre.

Avant d’accorder certaines couvertures, un assureur peut également chercher à comprendre le niveau de maturité de l’organisation.

Des exigences peuvent notamment porter sur :

• authentification multifacteur ;
• sauvegardes ;
• gestion des accès ;
• mises à jour ;
• protection des comptes privilégiés ;
• plan de réponse à incident.

Cette logique peut contribuer à encourager certaines bonnes pratiques.

L’assurance devient alors l’un des mécanismes pouvant influencer la gouvernance du risque cyber.

6. Mais l’assureur ne doit pas devenir une autorité de cybersécurité

Cette influence doit cependant conserver des limites.

Un assureur évalue un risque dans le cadre d’un contrat.

Il n’a pas vocation à se substituer :

• à la direction de l’entreprise ;
• au responsable de la sécurité des systèmes d’information ;
• aux autorités compétentes ;
• aux organismes de régulation.

Une mesure pertinente pour réduire un risque assurantiel n’est pas nécessairement suffisante pour construire une politique globale de cybersécurité.

La cyberassurance doit donc être considérée comme un élément complémentaire de la gestion du risque, et non comme son fondement unique.

7. Le principal obstacle : la confidentialité

Les dossiers liés aux cyberattaques peuvent contenir des informations particulièrement sensibles.

Il peut s’agir notamment :

• d’éléments techniques ;
• de données commerciales ;
• d’informations sur les systèmes internes ;
• de données personnelles ;
• d’éléments relatifs à une enquête ;
• de secrets d’affaires.

Une publication trop détaillée pourrait révéler des vulnérabilités encore exploitables.

Elle pourrait également porter atteinte à l’organisation victime.

Le partage doit donc être construit selon le principe :

Partager ce qui est utile sans exposer inutilement la victime.

8. Anonymiser ne suffit pas toujours

L’anonymisation constitue une mesure importante, mais elle ne règle pas automatiquement toutes les difficultés.

Dans certains secteurs très spécialisés, quelques informations peuvent suffire à identifier indirectement une organisation.

Par exemple :

• secteur ;
• taille ;
• région ;
• date de l’incident ;
• technologie utilisée ;
• montant des pertes.

Même sans citer son nom, une entreprise pourrait donc parfois être reconnaissable.

Le partage doit alors intégrer un véritable travail de :

• minimisation ;
• agrégation ;
• pseudonymisation ou anonymisation lorsque cela est approprié ;
• contrôle de diffusion.

9. Toutes les informations n’ont pas vocation à être publiques

Il faut également distinguer deux types de partage.

Partage public

Il peut concerner :

• tendances générales ;
• statistiques ;
• retours d’expérience anonymisés ;
• recommandations ;
• données agrégées.

Partage restreint

Certaines informations techniques peuvent être échangées uniquement avec :

• autorités compétentes ;
• CERT ;
• acteurs de confiance ;
• communautés sectorielles ;
• équipes de cybersécurité habilitées.

Cette distinction est fondamentale.

Le partage d’information efficace n’est pas nécessairement synonyme de publication ouverte.

10. La protection des données personnelles doit être intégrée

Une cyberattaque peut impliquer le traitement de données à caractère personnel.

Le partage d’informations relatives à l’incident doit donc être compatible avec le RGPD lorsque celui-ci est applicable.

L’organisation doit notamment examiner :

• la finalité du traitement ;
• les données réellement nécessaires ;
• la base juridique ;
• les destinataires ;
• les durées de conservation ;
• les mesures de protection.

Le partage utile à la cybersécurité ne supprime donc pas les exigences relatives à la protection des données.

11. Les obligations de notification existent déjà dans certains cas

Le débat sur le partage volontaire ne doit pas faire oublier que certaines organisations sont déjà soumises à des obligations de notification ou de déclaration dans certains contextes.

Selon l’incident et l’organisation concernée, plusieurs dispositifs peuvent être applicables en matière :

• de données personnelles ;
• de cybersécurité ;
• de réglementation sectorielle.

L’évolution du cadre européen tend d’ailleurs à renforcer ces exigences.

Le partage entre assureurs doit donc s’articuler avec ces obligations existantes et non créer un circuit parallèle incohérent.

12. NIS2 renforce la logique de signalement

La directive européenne NIS2 renforce les exigences de cybersécurité applicables à de nombreuses entités essentielles ou importantes.

Elle développe notamment une logique plus structurée de gestion et de notification des incidents significatifs.

Cette évolution participe à la création d’un environnement où les incidents cyber sont davantage :

• détectés ;
• qualifiés ;
• documentés ;
• signalés.

Les informations issues du secteur assurantiel pourraient compléter ces dispositifs, sous réserve de respecter les cadres juridiques applicables.

13. DORA concerne directement le secteur financier

Le règlement DORA – Digital Operational Resilience Act s’inscrit dans une logique différente mais complémentaire.

Il concerne la résilience opérationnelle numérique du secteur financier et s’applique notamment aux entreprises d’assurance et de réassurance entrant dans son champ.

Il impose une gouvernance structurée des risques liés aux technologies de l’information et de la communication et prévoit des mécanismes concernant les incidents numériques.

Il ne faut cependant pas présenter DORA comme un texte imposant aux assureurs de publier largement les informations qu’ils détiennent sur les ransomwares.

Son objectif principal est la résilience opérationnelle numérique du secteur financier.

14. Le partage volontaire pourrait compléter les obligations réglementaires

Au-delà des notifications obligatoires, il existe un intérêt à développer des mécanismes volontaires de partage.

Les assureurs pourraient notamment contribuer à produire des analyses agrégées sur :

• les coûts moyens des incidents ;
• les durées d’interruption ;
• les secteurs les plus affectés ;
• les facteurs aggravants ;
• les mesures ayant facilité la reprise.

Ces informations auraient une valeur importante pour :

• les entreprises ;
• les chercheurs ;
• les autorités ;
• les professionnels de cybersécurité.

15. Les rançongiciels reposent sur un modèle économique

Le ransomware doit également être analysé comme une activité criminelle économique.

Les groupes cherchent à rendre l’attaque rentable.

Ils peuvent notamment monétiser :

• le chiffrement des données ;
• le vol d’informations ;
• la menace de publication ;
• la perturbation de l’activité.

La lutte contre les rançongiciels doit donc chercher à augmenter :

le coût pour l’attaquant ;

la probabilité d’échec ;

la capacité de restauration de la victime ;

la coopération entre défenseurs.

16. Le partage d’informations peut-il réduire la rentabilité des attaques ?

Il faut rester prudent sur ce point.

Publier des informations sur les techniques utilisées ne suffit pas nécessairement à faire disparaître le modèle économique du ransomware.

Les groupes peuvent :

• adapter leurs méthodes ;
• changer d’infrastructure ;
• cibler de nouvelles victimes ;
• exploiter de nouvelles vulnérabilités.

En revanche, un partage rapide et structuré peut aider les organisations à :

• détecter plus tôt certaines campagnes ;
• corriger des vulnérabilités ;
• bloquer certains indicateurs ;
• renforcer leurs défenses.

Le bénéfice principal est donc davantage l’amélioration de la défense collective qu’une disparition directe de la rentabilité criminelle.

17. Le débat sur le paiement des rançons reste complexe

La question du paiement est souvent associée à la cyberassurance.

Le raisonnement peut sembler simple :

si une assurance rembourse une rançon, elle facilite indirectement le paiement.

La réalité est cependant plus complexe.

Les assureurs peuvent également financer :

• la réponse à incident ;
• l’expertise ;
• la restauration ;
• la continuité d’activité ;
• l’accompagnement juridique.

Ils jouent donc un rôle important dans la capacité de certaines entreprises à traverser une crise.

Le débat ne doit pas être réduit à :

assurance = paiement de rançon.

18. Le paiement ne garantit pas la restauration

Même lorsqu’une rançon est payée, plusieurs risques subsistent :

• l’outil de déchiffrement peut être inefficace ;
• les données peuvent avoir été endommagées ;
• certaines informations peuvent rester volées ;
• l’attaquant peut conserver un accès ;
• les données peuvent malgré tout être publiées.

Le paiement ne doit donc jamais être assimilé à une solution technique fiable de reprise d’activité.

La meilleure stratégie reste de construire une organisation suffisamment résiliente pour réduire la dépendance à cette décision.

19. Créer des mécanismes de confiance

Pour qu’un partage entre assureurs fonctionne, les participants doivent avoir confiance dans le dispositif.

Il faut notamment définir :

• qui peut contribuer ;
• qui peut accéder aux informations ;
• quelles données peuvent être partagées ;
• sous quelle forme ;
• pendant combien de temps ;
• avec quelles garanties de confidentialité.

Sans gouvernance claire, les entreprises victimes pourraient être réticentes à transmettre des informations détaillées.

20. L’intérêt d’un partage sectoriel

Toutes les menaces ne touchent pas les secteurs de la même manière.

Il peut donc être pertinent d’organiser certains échanges selon les domaines :

• santé ;
• énergie ;
• transport ;
• finance ;
• industrie ;
• collectivités.

Des communautés sectorielles permettent de contextualiser les informations.

Une attaque observée dans un environnement industriel n’a pas nécessairement les mêmes conséquences qu’une attaque contre une entreprise de services.

21. Vers une base de connaissance collective du risque cyber

À terme, les informations détenues par les assureurs pourraient contribuer à une meilleure compréhension statistique du risque cyber.

Cela permettrait notamment de mieux connaître :

• la fréquence des incidents ;
• leur coût ;
• leur durée ;
• leurs conséquences ;
• l’efficacité de certaines mesures de sécurité.

Aujourd’hui encore, le risque cyber reste parfois difficile à mesurer en raison de l’hétérogénéité des données disponibles.

Une normalisation progressive des retours d’expérience pourrait donc constituer une évolution importante.

Points de vigilance

« Les assureurs devraient publier tous les incidents »

Non.

Certaines informations doivent rester confidentielles ou être partagées uniquement dans des cercles de confiance.

« L’anonymisation supprime automatiquement tous les risques »

Non.

Une réidentification indirecte peut parfois rester possible.

« DORA impose aux assureurs de partager publiquement leurs données sur les ransomwares »

Non.

DORA concerne principalement la résilience opérationnelle numérique du secteur financier et ses mécanismes de gestion et de signalement des incidents.

« Le partage d’informations suffit à arrêter les ransomwares »

Non.

Il s’agit d’un outil parmi d’autres : prévention, détection, sauvegarde, réponse à incident, coopération et action judiciaire restent nécessaires.

« La cyberassurance remplace la cybersécurité »

Non.

Une assurance permet de transférer une partie du risque financier. Elle ne supprime pas le risque opérationnel.

Ce qu’il faut retenir

Les assureurs disposent d’informations susceptibles d’améliorer considérablement la connaissance collective du risque cyber.

Leur partage peut contribuer à :

identifier les tendances ;

améliorer la prévention ;

mesurer les conséquences réelles des attaques ;

renforcer les modèles de résilience ;

faciliter la coopération entre acteurs publics et privés.

Mais ce partage doit respecter un principe fondamental :

l’information doit être suffisamment précise pour être utile, sans devenir suffisamment détaillée pour créer un nouveau risque.

Perspectives

L’amélioration de la lutte contre les rançongiciels pourrait passer par une meilleure articulation entre :

• assureurs ;
• entreprises victimes ;
• CERT ;
• autorités nationales ;
• chercheurs ;
• professionnels de cybersécurité ;
• acteurs sectoriels.

L’un des enjeux sera probablement de développer des standards communs de description des incidents.

Une meilleure normalisation permettrait de comparer les événements, identifier les tendances et produire des analyses réellement exploitables.

La cyberassurance pourrait alors devenir non seulement un mécanisme de transfert financier du risque, mais également une source structurée de connaissance sur les conséquences économiques et opérationnelles des cyberattaques.

Sources et références institutionnelles

• ANSSI / CERT-FR – Rançongiciels, incidents et recommandations de cybersécurité
• Cybermalveillance.gouv.fr – Prévention et assistance face aux rançongiciels
• CNIL – Violations de données personnelles et obligations de notification
• Union européenne – règlement DORA
• Union européenne – directive NIS2
• ENISA – Cybermenaces et résilience
• Europol – Cybercriminalité et rançongiciels
• Counter Ransomware Initiative – Coopération internationale contre les rançongiciels

Publication ADESS – Analyse stratégique

ADESS – Association des Experts en Sécurité et Sûreté

Cette publication propose une réflexion générale sur le partage d’informations liées aux cyberattaques et le rôle potentiel du secteur de l’assurance dans l’amélioration de la résilience collective. Elle ne constitue ni une recommandation assurantielle, ni un conseil juridique, ni une position officielle des autorités ou organismes mentionnés.

Anonyme – ID :