Lorsqu'une entreprise demande ou renouvelle une assurance cyber, l'assureur ne se limite pas à vérifier qu'elle dispose d'un antivirus ou d'une politique de sécurité. Il cherche à évaluer une question plus concrète : quel est le niveau réel d'exposition de l'organisation et quelle serait sa capacité à limiter les conséquences d'un ransomware, d'une fraude, d'une fuite de données ou d'une interruption d'activité ?
Thierry Piton, Référent national souscription risques cyber chez AXA France, le résume ainsi : « Les dirigeants de PME sont peu conscients de leur niveau réel d'exposition cyber. »
Cette exposition ne dépend pas uniquement des pratiques internes déclarées dans un questionnaire. Elle évolue avec les actifs exposés sur Internet, les vulnérabilités non corrigées, les configurations de messagerie, les services cloud ou les dépendances à des prestataires critiques.
La notation cyber ne remplace pas l'analyse de l'assureur. Elle apporte toutefois une vision externe, automatisée et actualisée de certains signaux de risque. Dans cet article, nous expliquons quels critères les assureurs examinent, ce que la notation cyber peut objectiver et comment l'utiliser pour mieux préparer une souscription ou un renouvellement.
Ce que les assureurs cherchent à évaluer
Une assurance cyber peut couvrir, selon le contrat, les frais de réponse à incident, de restauration, d'expertise, de communication de crise, de conseil juridique, de notification ou encore les pertes d'exploitation.
Avant de proposer une couverture, l'assureur évalue principalement :
- La probabilité d'un incident ;
- L'impact financier et opérationnel potentiel ;
- La capacité de l'entreprise à détecter, contenir et gérer une crise ;
- Les mesures de sécurité réellement déployées ;
- Les garanties, plafonds, franchises et exclusions adaptés au risque.
Les critères varient selon l'assureur, mais aussi selon le secteur d'activité, les produits et services vendus, le chiffre d'affaires, la dépendance au numérique, les données traitées, l'historique de sinistralité et le niveau de couverture demandé.
Une plateforme de vente en ligne, un établissement de santé, un industriel ou un cabinet de conseil ne présentent pas les mêmes conséquences en cas d'indisponibilité. L'interruption d'un outil secondaire pendant quelques heures n'a pas le même impact que l'arrêt d'une chaîne de production, d'une plateforme client ou d'un système de facturation.
Les critères examinés lors d'une souscription cyber
Les questionnaires de souscription portent fréquemment sur des mesures de sécurité considérées comme essentielles :
- Authentification multifacteur, notamment pour les accès distants, les comptes à privilèges et les services cloud ;
- Gestion des correctifs et des vulnérabilités ;
- Protection des postes de travail et des serveurs ;
- Sauvegardes isolées, testées et restaurables ;
- Sécurité de la messagerie et prévention du phishing ;
- Protection des accès administrateurs ;
- Plan de réponse à incident et procédures de gestion de crise ;
- Sensibilisation des collaborateurs ;
- Gestion des prestataires et fournisseurs critiques.
L'assureur ne cherche pas seulement à confirmer l'existence de ces dispositifs. Il évalue leur déploiement effectif, leur adéquation avec l'activité de l'entreprise et leur capacité à limiter les impacts d'un incident.
L'historique d'incidents peut également être pris en compte. Un sinistre antérieur ne ferme pas nécessairement l'accès à l'assurance, mais l'assureur cherchera généralement à comprendre ses causes, ses impacts et les actions correctives mises en place.
Pourquoi le questionnaire ne suffit pas toujours
Le questionnaire reste indispensable. Il permet d'évaluer des éléments que personne ne peut observer depuis l'extérieur, tels que la qualité des sauvegardes, la configuration des identités, la segmentation interne, la couverture EDR ou la maturité du plan de réponse à incident.
Mais il comporte des limites :
- Il reflète une situation déclarée à un instant donné ;
- Les réponses peuvent devenir rapidement obsolètes ;
- Il ne permet pas toujours d'identifier les actifs oubliés ou non inventoriés ;
- Il ne détecte pas nécessairement les changements de configuration intervenus après la souscription.
Une organisation peut, par exemple, disposer d'une politique de gestion des vulnérabilités tout en laissant accessible sur Internet un service d'administration, une application obsolète ou un sous-domaine abandonné. C'est précisément sur ce type de décalage entre la posture déclarée et les signaux visibles que la notation cyber apporte un complément utile.
Ce que la notation cyber apporte à l'évaluation du risque
La notation cyber analyse de manière non intrusive les éléments observables depuis Internet. Elle peut notamment couvrir :
- Les noms de domaine, sous-domaines et adresses IP publiques ;
- Les services et ports accessibles ;
- Les vulnérabilités connues sur des actifs exposés ;
- Les configurations TLS et les certificats ;
- Les mécanismes de sécurité de messagerie, comme SPF, DKIM et DMARC ;
- Certains indicateurs de réputation ou de compromission ;
- La capacité apparente à corriger les vulnérabilités visibles.
Cette analyse permet d'identifier des risques concrets avant une souscription ou un renouvellement : certificats expirés, protocoles obsolètes, services inutilement exposés, vulnérabilités connues, configurations de messagerie incomplètes ou actifs non recensés.
Elle ne constitue pas une preuve absolue de sécurité. Une notation cyber ne peut pas vérifier directement la qualité des sauvegardes, l'application réelle du MFA, la segmentation réseau interne, le déploiement d'un EDR ou l'efficacité d'un plan de crise.
Elle permet en revanche d'objectiver une partie de l'exposition externe et d'engager les remédiations les plus visibles et les plus urgentes.
Comment mieux préparer sa souscription ou son renouvellement
Pour l'entreprise, l'enjeu n'est pas d'obtenir artificiellement une meilleure note. Il consiste à réduire les risques exploitables et à pouvoir démontrer une démarche de maîtrise continue.
Avant les échanges avec un courtier ou un assureur, il est utile de :
- Identifier les actifs Internet exposés et vérifier qu'ils sont légitimes.
- Corriger les vulnérabilités et les configurations à risque les plus critiques.
- Vérifier la sécurité de la messagerie et le déploiement de DMARC.
- Mettre à jour les réponses au questionnaire de souscription.
- Documenter les actions de remédiation réalisées et leur suivi.
- Préparer les éléments de preuve sur le MFA, les sauvegardes, la réponse à incident et la gestion des fournisseurs critiques.
Cette démarche facilite les échanges entre l'assuré, le courtier et l'assureur. Elle permet de partir de constats techniques concrets plutôt que d'une appréciation générale de la maturité cyber.
Une bonne notation cyber réduit-elle la prime ?
Non. Une bonne note cyber ne garantit ni la souscription ni une baisse de prime.
La tarification dépend de nombreux paramètres : secteur, chiffre d'affaires, garanties demandées, franchise, dépendance numérique, exposition internationale, historique des sinistres, données traitées et niveau global de sécurité.
En revanche, une entreprise qui corrige les risques visibles, renforce ses mesures fondamentales et documente ses progrès peut améliorer la qualité de son dossier de souscription. Surtout, elle réduit son exposition effective aux incidents susceptibles d'entraîner un sinistre.
Pour aller plus loin, consultez notre guide : Assurance cyber : comprendre, évaluer et choisir la meilleure assurance cyber
Security Rating® : objectiver les signaux de risque externes
Security Rating® fournit une évaluation automatisée, non intrusive et continue de la surface d'attaque externe d'une organisation.
La solution identifie les actifs accessibles publiquement, évalue les signaux de risque associés et attribue un score de maturité cyber compris entre 0 et 1 000, complété par des notes de A à E selon les domaines analysés. Elle fournit également des recommandations de remédiation pour aider les équipes à prioriser leurs actions.
Pour une entreprise, Security Rating® permet de mieux comprendre les risques visibles depuis Internet, de suivre leur évolution et de préparer les échanges avec les assureurs. Pour les assureurs et courtiers, la solution contribue à objectiver certains éléments de l'évaluation du risque et à accompagner les assurés dans leurs démarches de prévention.
Les organisations qui souhaitent étendre l'analyse à leur infrastructure interne, à Active Directory et à Microsoft 365 peuvent s'appuyer sur Rating +, qui associe Security Rating®, AD Rating® et 365 Rating®.
Conclusion
L'assurance cyber repose sur une évaluation globale du risque : exposition technique, dépendance aux systèmes d'information, capacité de réponse, historique d'incidents et gestion des tiers critiques.
Les questionnaires restent indispensables, mais ils gagnent à être complétés par une vision externe et actualisée de la surface d'attaque. La notation cyber ne remplace pas la décision de l'assureur. Elle aide les organisations à identifier des faiblesses visibles, prioriser leurs remédiations et démontrer une démarche proactive de réduction du risque.
FAQ
Quels critères les assureurs utilisent-ils pour évaluer le risque cyber ?
Ils évaluent notamment les mesures de sécurité, la dépendance au numérique, les données traitées, l'historique de sinistres, la capacité de réponse à incident, les sauvegardes, le MFA et la gestion des fournisseurs critiques. Les critères varient selon l'assureur et le profil de l'entreprise.
Une notation cyber permet-elle de souscrire une assurance cyber ?
Non. La décision appartient à l'assureur. Une notation cyber peut toutefois aider à identifier des risques externes, à mener des actions correctives et à préparer le dossier de souscription.
La notation cyber remplace-t-elle le questionnaire d'assurance ?
Non. Le questionnaire évalue des mécanismes internes que la notation cyber ne peut pas observer. Les deux approches sont complémentaires.
Faut-il surveiller sa notation cyber uniquement avant un renouvellement ?
Non. Une surveillance continue permet d'identifier les évolutions de la surface d'attaque et de traiter les risques avant qu'ils ne deviennent un sujet lors d'une souscription, d'un audit ou d'un incident.
