Les réponses et les explications de chaque question s’affichent ici une fois le parcours terminé. Elles renvoient alors vers la fiche du glossaire correspondante, où la notion est traitée en entier avec son exemple chiffré.
1. La directive NIS2 a formalisé en droit européen, à son article 21, dix catégories de mesures obligatoires pour les entités essentielles et importantes. Qu'est-ce que cela change au statut d'une hygiène cyber insuffisante ?
Elle n'est plus seulement un facteur aggravant à la souscription, elle devient un manquement réglementaire sanctionnable
L'hygiène cyber est le socle non négociable : mises à jour, authentification multifacteur sur les accès sensibles, sauvegardes gérées et testées, cloisonnement des réseaux, sensibilisation au hameçonnage, gestion des identités et des accès privilégiés. Pour l'assureur, c'est le premier filtre, le niveau en deçà duquel un risque devient insouscriptible ou souscrit très restrictivement : un dossier sans authentification multifacteur sur les accès distants et sans sauvegarde testée depuis dix-huit mois se voit typiquement proposer une franchise doublée et une sous-limite, le retour aux conditions normales étant conditionné à la remise à niveau. NIS2 ajoute une seconde conséquence, indépendante du contrat. Et le socle bouge avec la menace : la surveillance continue des comportements et le moindre privilège y sont entrés depuis 2020.
Fiche du glossaire →2. Un questionnaire cyber demande depuis toujours si l'entreprise dispose d'une politique de correctifs. Pourquoi la nomenclature logicielle change-t-elle la nature de cette question ?
Parce qu'elle remplace une déclaration dont la réponse est toujours oui par un inventaire vérifiable par pièces
Une question dont la réponse est toujours affirmative a une valeur discriminante nulle : deux entreprises qui produisent les mêmes réponses au même questionnaire peuvent porter des dettes de sécurité sans commune mesure. La nomenclature permet de demander ce que le parc contient réellement, composant par composant, version par version, et cette réponse se vérifie. Mais sa portée dépasse la sélection individuelle, et c'est le point le plus important pour un assureur : généralisée, elle rend l'accumulation mesurable. Il devient possible d'établir combien d'assurés dépendent d'une même bibliothèque et d'estimer la charge d'une vulnérabilité critique avant qu'elle ne survienne, alors que lors des grands épisodes de vulnérabilité largement diffusée, le marché a découvert son exposition après coup.
Fiche du glossaire →3. Une entreprise teste ses correctifs six semaines avant de les déployer, pour ne pas provoquer de panne. Qu'est-ce que ce choix achète, et qu'est-ce qu'il coûte ?
Il achète de la stabilité, au prix d'une fenêtre d'exposition prolongée sur une faille déjà connue et déjà exploitée
La gestion des correctifs vise à réduire la fenêtre d'exposition, ce laps de temps pendant lequel une faille connue reste exploitable faute d'être corrigée, et les attaquants s'y précipitent dès la publication de la vulnérabilité. Mais la tension est réelle et n'a pas de solution propre : déployer sans tester assez peut introduire un dysfonctionnement, voire une panne, et cette panne a une portée systémique quand le correctif défectueux se propage à un parc entier. Tester trop longtemps prolonge l'exposition sur une faille dont l'existence est publique. Six semaines est un arbitrage, pas une négligence, et c'est l'arbitrage lui-même que la souscription doit apprécier plutôt que l'existence d'une politique.
Fiche du glossaire →4. En 2023, la vulnérabilité MOVEit a été exploitée en masse par le groupe Clop avant qu'un correctif ne soit largement déployé, touchant des milliers d'organisations. Pourquoi les souscripteurs s'intéressent-ils autant à la rapidité de détection qu'à la cadence de correction ?
Parce qu'une faille inconnue échappe par construction à la gestion des correctifs, et qu'une faille répandue frappe plusieurs assurés à la fois
Une faille zero-day est inconnue de l'éditeur, donc sans correctif : la victime dispose de zéro jour pour se préparer, et la mesure d'hygiène qui constitue le pilier des exigences de souscription, la gestion des correctifs, ne peut rien pour elle. Reste la seconde ligne : la capacité à détecter et à contenir une exploitation inconnue, qui est un contrôle d'une autre nature. Et une zero-day dans un produit très répandu ne fait pas que déjouer les défenses individuelles, elle transforme un défaut technique en évènement d'accumulation, tous les assurés utilisateurs du produit étant touchés dans la même fenêtre. C'est pourquoi ces failles se négocient à prix élevé sur un marché où se croisent chercheurs, États et acteurs malveillants.
Fiche du glossaire →5. Un assureur constate que le ratio de sinistralité de ses assurés dotés d'un agent de détection et de réponse sur les terminaux est nettement inférieur, et en fait un critère de souscription. Qu'ajoute à cette lecture l'incident CrowdStrike de juillet 2024 ?
Que le contrôle qui réduit le sinistre individuel peut devenir lui-même une dépendance partagée à l'échelle du portefeuille
Un agent de détection et de réponse collecte en continu les évènements système, analyse les comportements en temps réel, peut isoler ou remédier automatiquement, et laisse une télémesure détaillée précieuse pour l'investigation. Son déploiement est corrélé à des délais de détection et de confinement plus courts, ce qui explique que certains assureurs l'exigent contractuellement pour couvrir des limites élevées ou accordent une réduction de prime à sa présence. Mais juillet 2024 a montré l'autre face : un seul agent déployé sur des millions de machines devient un vecteur de risque systémique. Le contrôle qui améliore chaque risque pris isolément installe, à l'échelle du portefeuille, exactement la dépendance partagée que l'analyse d'accumulation cherche à débusquer. Les deux lectures sont vraies en même temps, et elles ne se compensent pas.
Fiche du glossaire →6. Un dossier de souscription déclare une architecture zéro confiance. Que réduit-elle réellement, et qu'est-ce que la déclaration seule n'établit pas ?
Elle réduit l'ampleur d'un sinistre en limitant les déplacements latéraux, mais sa mise en œuvre est progressive et la déclaration ne dit pas jusqu'où elle va
Le modèle rompt avec l'approche du château fort, qui protégeait un périmètre et faisait confiance par défaut à ce qui se trouvait dedans. Le périmètre s'étant effacé avec le nuage, le travail à distance et la multiplication des appareils, chaque demande d'accès est authentifiée, autorisée et évaluée selon l'identité, l'état de l'appareil et le contexte, quelle que soit la position dans le réseau. L'enjeu est de limiter les déplacements latéraux : un attaquant qui compromet un poste ne peut pas circuler librement vers les ressources sensibles. C'est donc un contrôle de sévérité, pas de fréquence, et c'est un signal fort de maturité. Mais la microsegmentation et le moindre privilège se déploient par étapes, sur des années : zéro confiance décrit une trajectoire, pas un état qu'on atteint d'un coup, et une déclaration sans mesure de l'avancement ne dit pas grand-chose.
Fiche du glossaire →7. Pourquoi la présence d'une capacité de chasse aux menaces, interne ou contractualisée, peut-elle justifier une franchise moins élevée ?
Parce qu'elle réduit le temps de séjour de l'attaquant, qui est la principale variable de la sévérité d'un sinistre
La chasse aux menaces part d'un postulat inconfortable : un attaquant peut déjà être présent sans avoir déclenché la moindre alerte automatique, notamment s'il vit sur le pays en n'employant que des outils légitimes du système. Le chasseur formule des hypothèses sur les tactiques et procédures probables d'un adversaire, puis les teste dans les journaux, la télémesure des terminaux et les données réseau, en s'appuyant sur des référentiels comme MITRE ATT&CK. La démarche est humaine et itérative, en complément des outils et non à leur place. Elle ne garantit rien, et c'est justement pourquoi elle vaut : ce qu'elle réduit est le temps de séjour, c'est-à-dire la durée pendant laquelle un attaquant présent aggrave la perte, et cette durée est la variable qui décide de la sévérité une fois l'intrusion acquise.
Fiche du glossaire →8. Un courtier transmet deux pièces : un rapport de test d'intrusion listant quarante vulnérabilités, et un rapport d'équipe rouge. Qu'apporte le second que le premier n'apporte pas ?
La démonstration de l'impact réel d'une compromission sur la mission de l'organisation, et non une énumération
L'équipe rouge est mandatée pour attaquer un système selon des règles d'engagement définies au contrat, en combinant intrusion technique, ingénierie sociale et parfois accès physique. Elle se distingue du test d'intrusion par sa dimension stratégique : l'objet n'est pas de lister des vulnérabilités mais de montrer ce qu'une compromission produit sur la mission. L'équipe bleue tente de détecter et de contenir, et l'exercice qui associe les deux s'appelle une équipe violette. Quarante vulnérabilités listées ne disent pas lesquelles se chaînent jusqu'à un actif critique, et c'est cette chaîne que la souscription veut voir. Un exercice documenté vaut donc comme preuve de diligence et peut peser sur la tarification, y compris dans un renouvellement où l'assureur relève la franchise contre un plan de remédiation contractualisé.
Fiche du glossaire →9. Le règlement européen sur la cyberrésilience a doté la dette de sécurité technique d'une date d'exigibilité, d'un créancier, d'une unité de mesure et d'un barème de sanction. Qu'est-ce que cela change, et qu'est-ce que cela ne change pas ?
Cela change son statut, en la rendant mesurable et exigible, sans rien changer à la nature du danger qu'elle représente
Le terme n'est pas une métaphore. Comme une dette financière, la dette de sécurité résulte d'un arbitrage entre le présent et l'avenir, elle porte intérêt puisque le coût de correction croît avec l'ancienneté du composant et le nombre de systèmes qui en dépendent, et elle devient exigible à une date que le débiteur ne choisit pas. Sa particularité tenait à son invisibilité comptable : aucun bilan, aucune unité partagée, aucune échéance, et son omission ne constituait aucune irrégularité. Une entreprise pouvait donc présenter des états parfaitement fidèles en portant un passif dont personne, elle comprise, ne connaissait le montant. Le règlement fournit les quatre attributs manquants, dont l'unité de mesure qu'est la nomenclature logicielle. Une bibliothèque obsolète qu'on ne migre pas parce que cela coûterait trois mois reste exactement aussi dangereuse : elle est simplement devenue visible et datée.
Fiche du glossaire →