Les réponses et les explications de chaque question s’affichent ici une fois le parcours terminé. Elles renvoient alors vers la fiche du glossaire correspondante, où la notion est traitée en entier avec son exemple chiffré.
1. Une police dommages souscrite en 2015 ne mentionne le cyber ni pour l'inclure ni pour l'exclure. Un rançongiciel arrête l'usine. Comment nomme-t-on cette exposition ?
Du silent cyber, ou cyber non affirmatif
L'exposition est implicite : elle n'a été ni tarifée ni provisionnée, et l'assureur la découvre au sinistre. Le double problème est là, une charge non mesurée et un risque d'accumulation, puisqu'un même évènement peut toucher plusieurs branches à la fois.
Fiche du glossaire →2. Dans le contentieux qui a suivi NotPetya, quel était le point juridique central ?
Le déclenchement de l'exclusion de guerre pour une attaque attribuée à un État
L'assureur invoquait l'exclusion de guerre au motif que l'attaque était attribuée à un État. L'affaire a montré qu'une clause écrite pour des conflits armés classiques ne tranchait pas le cas d'un code malveillant, et a poussé le marché à réécrire ces exclusions pour le cyber.
Fiche du glossaire →3. Pourquoi l'accumulation est-elle un problème plus aigu en cyber qu'en incendie ?
Parce qu'un sinistre cyber ne connaît pas la distance géographique
L'assurance incendie s'appuie sur la dispersion géographique : deux bâtiments à mille kilomètres ne brûlent pas ensemble. Une faille dans un logiciel utilisé partout ignore cette dispersion, et c'est pourquoi les zones CRESTA, qui découpent le monde en aires de cumul, n'ont pas d'équivalent simple en cyber.
Fiche du glossaire →4. Un fournisseur d'informatique en nuage héberge une part majeure des sites d'un portefeuille. Comment qualifie-t-on cette dépendance ?
Un point unique de défaillance
Le portefeuille paraît diversifié par secteur et par taille, alors qu'il repose sur une seule dépendance technique. La diversification apparente ne dit rien de la diversification réelle, et c'est ce que l'analyse d'accumulation cherche à débusquer.
Fiche du glossaire →5. À partir de 2019, qu'a exigé le marché de Lloyd's de chaque police ?
Qu'elle affirme sa position sur le cyber, en l'incluant ou en l'excluant
Le marché demandait de trancher, et l'exclusion n'était qu'une des deux issues. Le silence était le problème : il laissait l'exposition invisible des deux côtés du contrat. Une police qui exclut explicitement est mesurable, une police muette ne l'est pas.
Fiche du glossaire →6. En quoi consiste la double extorsion dans une attaque par rançongiciel ?
Chiffrer les données et menacer en outre de les publier
Le chiffrement seul se contourne par une sauvegarde saine. En exfiltrant les données avant de chiffrer, l'attaquant conserve un moyen de pression même contre une victime qui restaure : la sauvegarde protège la disponibilité, pas la confidentialité.
Fiche du glossaire →7. Après un rançongiciel, quel poste domine généralement la charge de sinistre pour une entreprise industrielle ?
La perte d'exploitation liée à l'arrêt de production
La rançon est la ligne la plus visible et rarement la plus lourde. L'arrêt de production, lui, court tant que les systèmes ne sont pas reconstruits, et cette durée se compte souvent en semaines. C'est pourquoi le délai de carence et la durée d'indemnisation pèsent plus, dans un contrat cyber, que le plafond affiché.
Fiche du glossaire →8. Pourquoi les méthodes actuarielles classiques s'appliquent-elles mal au cyber ?
Parce que l'historique est court et que le risque n'est pas stationnaire
La tarification classique suppose que le passé renseigne l'avenir. En cyber, l'adversaire s'adapte, les technologies changent et les réglementations aussi : la non-stationnarité est structurelle. Un triangle de liquidation nourri de dix ans de données décrit un monde qui n'existe plus.
Fiche du glossaire →