Un assureur cyber ne vend pas une police sur déclaration : il vend sur preuves, et le questionnaire qu’il vous envoie est en réalité un audit technique déguisé. Voici les huit mesures qu’il vérifie presque systématiquement, dans l’ordre où une PME peut les mettre en place sans tout arrêter.
Pourquoi l’assureur demande des preuves et pas des intentions
Depuis que les sinistres rançongiciels ont fait exploser la charge, les assureurs ont durci la souscription : les mêmes contrôles reviennent dans tous les questionnaires, parce que ce sont ceux qui font la différence entre un incident contenu et une entreprise à l’arrêt trois semaines. Répondre « oui » sans pouvoir le démontrer est le pire scénario : la couverture existe sur le papier, et l’indemnisation se discute au moment du sinistre, quand l’expert d’assurance demande les journaux, les captures de configuration et les comptes rendus de test.
Traitez donc chaque étape ci-dessous comme un livrable : une mesure en place et une preuve classée dans un dossier unique. C’est ce dossier qui raccourcit la souscription, pèse sur la prime et évite les exclusions.
Étape 1 : activez la double authentification sur tous les accès externes
C’est le premier point éliminatoire. L’assureur ne demande pas si vous avez du MFA, il demande sur quoi : messagerie, VPN, bureau à distance, consoles d’administration cloud, et surtout les accès de vos prestataires informatiques. Un seul accès distant sans second facteur suffit à faire requalifier le dossier.
Commencez par les comptes administrateurs et les accès ouverts sur Internet, puis étendez aux utilisateurs. Si vous partez de zéro, notre méthode de déploiement du MFA en PME détaille l’ordre et les pièges classiques. Preuve à conserver : un export des politiques d’accès conditionnel et le taux d’inscription des utilisateurs.
Étape 2 : isolez une copie de sauvegarde hors d’atteinte
La question posée est rarement « sauvegardez-vous ? » mais « un administrateur compromis peut-il supprimer vos sauvegardes ? ». Si la réponse est oui, vous êtes dans le cas que l’assureur redoute, car c’est exactement la séquence d’une attaque par rançongiciel moderne.
Il vous faut au minimum une copie immuable ou déconnectée, hors du domaine, avec une restauration testée et datée. Le guide de mise en place d’une sauvegarde immuable couvre les options accessibles à une PME. Preuve à conserver : le rapport du dernier test de restauration, avec la durée réelle de remise en service.
Étape 3 : passez d’un antivirus à un EDR sur les postes et les serveurs
Les questionnaires distinguent désormais explicitement l’antivirus traditionnel de l’EDR, capable de détecter un comportement et pas seulement une signature. Le critère retenu est la couverture : un parc à 80 % équipé laisse les 20 % restants comme point d’entrée, et les serveurs oubliés sont presque toujours dans ces 20 %.
Déployez d’abord sur les serveurs exposés et les postes à privilèges, puis complétez le parc. Preuve à conserver : la liste des machines inventoriées comparée à la liste des agents déployés, avec les écarts justifiés.
Étape 4 : tenez un inventaire à jour et un calendrier de correctifs
Un assureur accepte un retard de correctif documenté ; il n’accepte pas l’absence de visibilité. Vous devez pouvoir dire combien de machines vous avez, lesquelles sont exposées sur Internet, et sous quel délai vous appliquez un correctif critique.
Fixez des engagements simples et tenables : par exemple quelques jours pour un correctif critique sur un équipement exposé, un cycle mensuel pour le reste. Preuve à conserver : l’inventaire exporté et deux ou trois exemples de correctifs critiques avec leurs dates d’application.
Étape 5 : supprimez les comptes à privilèges permanents
Les comptes d’administration partagés, les mots de passe locaux identiques sur tout le parc et les comptes de service jamais révoqués sont les trois constats qui font grimper une prime. L’assureur cherche à savoir combien de comptes peuvent, seuls, chiffrer l’ensemble du système d’information.
Séparez les comptes d’administration des comptes de travail, retirez les droits d’administrateur local, et mettez en place une élévation de privilèges à la demande. Preuve à conserver : la liste nominative des comptes à privilèges et la date de la dernière revue.
Étape 6 : mettez la détection sous surveillance continue
Avoir des journaux ne suffit pas : la question est de savoir qui les regarde, à quelle heure, et en combien de temps une alerte devient une action. Un rançongiciel se déclenche largement en dehors des heures de bureau, et une alerte traitée le lundi matin n’a aucune valeur assurantielle.
Centralisez les journaux des postes, serveurs, pare-feu et messagerie, puis définissez qui est joignable la nuit et le week-end. Preuve à conserver : la procédure d’astreinte et le délai moyen de prise en charge des alertes.
Si vous n’avez pas d’équipe disponible 24 h sur 24, c’est précisément le rôle d’un SOC managé 24/7 pour PME et ETI : la surveillance continue devient une ligne de contrat, avec des délais de prise en charge opposables à votre assureur.
Étape 7 : écrivez un plan de réponse à incident d’une page
L’assureur veut savoir qui décide d’isoler le réseau, qui appelle qui, et sous quel délai vous le déclarez. Un document d’une page suffit s’il est à jour : rôles nommés, numéros joignables, critères de déclenchement, et la mention explicite de la déclaration à l’assureur et du dépôt de plainte, qui conditionne le versement en France.
Imprimez-le et conservez-en une copie hors du système d’information : un plan stocké uniquement sur le serveur chiffré ne sert à rien. Preuve à conserver : le plan daté et signé par la direction.
Étape 8 : formez les équipes et gardez la trace
La dernière case du questionnaire porte sur la sensibilisation, et elle est jugée sur la régularité, pas sur l’intention. Une session annuelle oubliée vaut moins qu’un rythme court et répété, avec des simulations d’hameçonnage et un canal de signalement connu de tous.
Mesurez le temps de signalement plutôt que le taux de clic : c’est l’indicateur qui montre qu’un incident remonte vite. Preuve à conserver : les attestations de participation et les résultats des deux dernières campagnes.
Ce qu’il faut retenir
- Le questionnaire d’assurance est un audit technique : chaque réponse doit être démontrable.
- MFA sur tous les accès externes et sauvegarde hors d’atteinte sont les deux points réellement éliminatoires.
- Un retard de correctif documenté passe ; une absence d’inventaire ne passe pas.
- La surveillance hors heures de bureau est devenue un critère de souscription, pas un luxe.
- Constituez un dossier de preuves unique : il raccourcit la souscription et protège l’indemnisation.