Votre courtier vous transmet un questionnaire de cyberassurance à remplir avant le renouvellement. Certaines questions semblent simples : avez-vous des sauvegardes, un antivirus, une protection supplémentaire pour les connexions? Pourtant, un « oui » peut cacher plusieurs exceptions que la personne responsable du bureau ne connaît pas.
L’objectif est de décrire vos protections telles qu’elles fonctionnent aujourd’hui. Vous n’avez pas à connaître chaque réglage : votre fournisseur informatique peut vérifier les éléments techniques, et votre courtier peut clarifier les exigences de l’assureur. Voici les sujets qui reviennent souvent et une façon de préparer vos réponses sans deviner.
Pourquoi l’assureur demande autant de détails
Les questionnaires tiennent notamment compte de l’expérience des sinistres, dont ceux liés aux rançongiciels. Un rançongiciel est un logiciel malveillant qui peut rendre vos fichiers inutilisables et servir à extorquer votre entreprise. Les questions cherchent donc à comprendre comment vous prévenez une intrusion, la détectez et remettez vos activités en marche.
Les formulations varient selon l’assureur. Une question sur la protection de « tous les accès à distance » exige davantage qu’une confirmation pour les seuls employés du bureau. Lisez les précisions, les définitions et la période visée avant de répondre.
Une réponse inexacte ou une omission importante peut compromettre la couverture lors d’une réclamation. Les conséquences dépendent du contrat et des circonstances. Si une protection est partielle ou qu’une question prête à interprétation, discutez-en avec votre courtier. Cet article explique la préparation technique; il ne constitue pas un avis juridique ou un conseil en assurance.
Vérifier les connexions et les comptes administrateurs
L’authentification multifacteur demande une preuve supplémentaire en plus du mot de passe, par exemple une validation dans une application. L’assureur peut demander si elle protège les courriels, les accès à distance et les comptes administrateurs. Vérifiez chaque catégorie séparément : son activation dans votre messagerie ne confirme pas sa présence ailleurs.
Un compte administrateur permet de modifier des réglages importants ou d’accorder des accès. Il faut savoir qui possède ces droits, à quoi ils servent et si un compte distinct est utilisé pour les tâches courantes.
- Confirmez que l’authentification multifacteur est obligatoire, et pas seulement offerte.
- Repérez les comptes exemptés, inutilisés ou partagés.
- Vérifiez les accès des fournisseurs et les comptes d’urgence.
- Documentez qui autorise et retire les droits administrateurs.
Pour le télétravail, un réseau privé virtuel (RPV) crée une connexion protégée vers le réseau de l’entreprise. Sa présence ne prouve toutefois pas que tous les accès sont protégés. Faites aussi vérifier si le bureau à distance, souvent appelé RDP, est directement accessible depuis Internet et quelles autres méthodes de connexion existent.
Confirmer la protection des postes et les mises à jour
La détection et la réponse sur les postes, ou EDR, servent à repérer des comportements suspects et à faciliter une intervention sur un appareil. Ce n’est pas automatiquement la même chose qu’un antivirus traditionnel. Demandez le nom du produit utilisé, les appareils couverts et ceux qui ne le sont pas.
Le questionnaire peut aussi demander si cette protection est surveillée. Un logiciel installé ne signifie pas nécessairement qu’une personne analyse ses alertes. Vérifiez qui les reçoit, pendant quelles heures et qui peut intervenir. Une surveillance continue et un centre d’assistance ouvert durant les heures de bureau sont deux services distincts.
Pour les mises à jour, préparez des réponses sur les délais réellement appliqués, la façon de suivre les installations et le traitement des échecs. Incluez les serveurs, les applications et les équipements réseau, selon la portée de la question.
Signalez aussi les systèmes en fin de vie : ce sont ceux dont le fabricant ne fournit plus les mises à jour de sécurité habituelles. Un remplacement prévu demeure un projet tant qu’il n’est pas terminé.
Décrire des sauvegardes qu’on peut récupérer
L’assureur peut chercher à savoir si une attaque pourrait aussi détruire vos sauvegardes. Une copie hors ligne est déconnectée des systèmes accessibles. Une copie immuable est conçue pour empêcher sa modification ou sa suppression pendant une période définie. Une sauvegarde dans le nuage ne possède pas nécessairement l’une ou l’autre de ces protections.
Faites préciser les éléments suivants :
- les données couvertes, y compris les services infonuagiques utilisés;
- la fréquence des copies et leur durée de conservation;
- la protection contre la modification ou la suppression;
- l’utilisation d’identifiants distincts et la protection des accès;
- la date, la portée et le résultat du dernier test de restauration.
Un rapport indiquant qu’une copie a réussi n’est pas un test de restauration. Ce test consiste à récupérer des données et à vérifier qu’elles sont utilisables. Restaurer un fichier confirme quelque chose d’utile, mais ne démontre pas à lui seul que votre entreprise pourrait reprendre toutes ses activités. Décrivez précisément ce qui a été vérifié.
Examiner les courriels et la formation du personnel
Les questions sur les courriels peuvent porter sur le filtrage des messages, les pièces jointes dangereuses, les liens suspects et les tentatives d’usurpation de votre domaine. Demandez quelles fonctions sont réellement activées. Posséder une licence qui comprend une protection ne signifie pas que celle-ci est configurée pour toutes les personnes concernées.
Du côté du personnel, distinguez la formation de sensibilisation des simulations d’hameçonnage. L’hameçonnage est une tentative de tromper une personne pour lui faire révéler des renseignements ou poser un geste risqué. Une simulation utilise un faux message contrôlé pour exercer la vigilance.
Si l’assureur pose deux questions distinctes, une séance de formation ne suffit pas à répondre « oui » aux simulations. Rassemblez les dates, les sujets abordés et les registres de participation. Notez aussi comment les nouvelles personnes reçoivent la formation et comment un employé peut signaler un courriel suspect sans hésiter.
Préparer la réaction à un incident
Un plan de réponse aux incidents décrit qui fait quoi lorsqu’un problème de sécurité survient. Pour une PME, il doit être assez clair pour être utilisé pendant une journée difficile : personne responsable, fournisseur informatique, remplaçants, coordonnées du courtier et procédure de déclaration prévue au contrat.
Vérifiez aussi comment joindre ces personnes si les courriels sont indisponibles. Conservez une copie accessible du plan et précisez qui peut autoriser les interventions. Si le questionnaire demande si le plan a été testé, distinguez sa rédaction d’un exercice où l’équipe a parcouru un scénario.
Les fournisseurs méritent également une vérification. Dressez la liste de ceux qui peuvent accéder à vos systèmes, la raison de cet accès et les protections appliquées. Précisez comment leurs permissions sont revues et retirées. Un ancien accès de soutien encore actif reste une exception à examiner, même si personne ne croit l’utiliser.
Constituer un dossier avant le renouvellement
Commencez assez tôt pour obtenir les vérifications techniques et faire préciser les questions ambiguës. Pour chaque réponse, gardez une preuve datée : capture d’écran, rapport de couverture, résultat de restauration, procédure ou registre de formation. Évitez d’y inclure des mots de passe et limitez l’accès au dossier.
Lorsqu’une mesure est partielle, indiquez sa portée actuelle, les exceptions et les travaux prévus. Si le formulaire impose seulement « oui » ou « non », demandez au courtier comment joindre ces précisions. Une date cible ne doit pas être présentée comme une correction déjà réalisée.
Profitez de la préparation pour corriger les écarts simples, comme retirer un compte inutilisé ou compléter un réglage manquant, puis vérifiez le résultat. Conservez le questionnaire transmis et ses pièces justificatives pour l’an prochain. Chez Evolute T.I., nous aidons les clients à remplir les sections techniques et à corriger les écarts en amont.
Un bon dossier reflète la réalité et rend les prochaines vérifications plus faciles. Votre fournisseur confirme les protections techniques; votre courtier demeure la référence pour les attentes de l’assureur et les questions de couverture.
Pour préparer votre prochain questionnaire, découvrez nos services informatiques gérés ou communiquez avec nous pour discuter des éléments techniques à vérifier.
