Un souscripteur cyber reçoit des dossiers qui contiennent tous les mêmes mots, et son travail consiste à ne pas les classer par le nombre de cases cochées. Deux entreprises peuvent afficher le même score d'audit, la même certification de management de la sécurité, la même liste de mesures, et présenter des risques qui n'ont rien de comparable. La raison est structurelle : un référentiel mesure la conformité d'une organisation à un ensemble de pratiques, ce qui est utile et n'est pas la même chose que la résistance à une attaque. Classer les contrôles par ce qu'ils changent au risque plutôt que par leur place dans un référentiel est le coeur du métier.
Trois mesures dominent tout le reste dans les statistiques d'intrusion, et elles se reconnaissent à ce qu'elles ferment un chemin plutôt qu'elles ne le surveillent. L'authentification à plusieurs facteurs sur tous les accès distants ferme le chemin le plus emprunté, celui de l'identifiant volé. La sauvegarde hors ligne, physiquement déconnectée ou immuable, ferme le chemin par lequel un attaquant détruit la capacité de reconstruire, et elle décide seule de la différence entre trois jours et six semaines d'interruption. La segmentation du réseau ferme la propagation latérale, c'est-à-dire ce qui transforme un poste compromis en entreprise arrêtée. Le reste compte et compte moins.
Il faut ensuite distinguer les contrôles qui réduisent la fréquence de ceux qui réduisent l'intensité, parce qu'ils ne s'achètent pas au même prix et ne servent pas au même moment. L'authentification et la gestion des correctifs réduisent la probabilité d'entrée. La sauvegarde et la segmentation ne changent rien à la probabilité d'entrée et divisent le coût quand elle a lieu. Un souscripteur qui ne fait pas cette séparation tarife une moyenne ; un assuré qui ne la fait pas investit là où on lui parle plutôt que là où il perd. Sur le cyber, où la fréquence est difficile à estimer et l'intensité observable, les mesures d'intensité sont souvent le meilleur emploi d'un budget.
La question du délai de correction mérite d'être posée à part, parce qu'elle est le seul indicateur qui dise quelque chose de l'organisation et pas seulement de son outillage. Une entreprise qui applique un correctif critique en soixante-douze heures a une chaîne de décision qui fonctionne, un inventaire à jour, et des équipes qui savent arrêter une production pour redémarrer un serveur. Une entreprise qui met quatre mois a peut-être les mêmes outils et n'a rien de tout cela. Ce délai se demande en chiffre, sur les douze derniers mois, et il vaut plus qu'un référentiel entier parce qu'il ne se déclare pas facilement à tort.
Vient un facteur que les questionnaires captent mal et qui pèse lourd : la dépendance. Une entreprise dont la production repose sur un fournisseur unique d'informatique en nuage, sur un progiciel de gestion hébergé chez un tiers, ou sur un prestataire d'infogérance qui détient les accès d'administration, porte un risque que ses propres mesures ne réduisent pas. Elle a délégué une partie de sa surface d'attaque à quelqu'un dont elle ne contrôle ni les pratiques ni les mises à jour. Un souscripteur qui identifie cette dépendance apprend en outre quelque chose sur son portefeuille, puisque le même fournisseur se retrouve derrière des dizaines d'assurés.
Il faut enfin savoir ce qu'un audit ne dit pas, et le dire sans mépris pour l'audit. Un rapport d'audit décrit un état à une date, sur un périmètre déclaré, à partir d'entretiens et d'échantillons. Il ne teste pas la restauration réelle d'une sauvegarde, il ne vérifie pas que les accès de service sont couverts, il ne dit pas si l'entreprise sait fonctionner sans son système pendant une semaine. Les trois questions qui remplacent utilement un rapport tiennent en une phrase chacune : quand avez-vous restauré pour de bon, combien de comptes échappent au second facteur, et qui peut arrêter la production sans demander l'autorisation.
La méthode de lecture d'un dossier se résume donc à peu de choses. Chercher les trois mesures qui ferment un chemin plutôt que celles qui le surveillent. Séparer ce qui réduit la fréquence de ce qui réduit l'intensité, et regarder où l'entreprise a mis son argent. Demander le délai de correction en chiffre plutôt que la politique de correction en principe. Nommer les dépendances externes, pour l'assuré et pour le portefeuille. Et se rappeler qu'un score identique sur deux dossiers ne veut rien dire, parce qu'un référentiel mesure une conformité et qu'on souscrit une résistance.
Deux entreprises du même secteur, 200 millions d'euros de chiffre d'affaires chacune, présentent le même score d'audit de sécurité, 78 sur 100, et la même certification de management. La première applique ses correctifs critiques en 96 heures en moyenne sur les douze derniers mois, garde une sauvegarde hebdomadaire hors ligne testée deux fois par an, et héberge sa production sur ses propres serveurs. La seconde applique ses correctifs en 11 jours, sauvegarde en continu vers le même fournisseur de nuage qui héberge sa production, et n'a jamais testé de restauration. Le souscripteur accepte la première et refuse la seconde. A-t-il eu raison ?
Le score identique ne dit rien, et c'est le point de départ : un référentiel mesure la conformité d'une organisation à un ensemble de pratiques, on souscrit une résistance à une attaque, et deux entreprises à 78 sur 100 peuvent porter des risques sans commune mesure. Trois écarts séparent ces dossiers et aucun n'apparaît dans le score. Le délai de correction, 96 heures contre 11 jours, est le seul indicateur qui parle de l'organisation et non de l'outillage : la première a un inventaire à jour, une chaîne de décision qui fonctionne, et des équipes autorisées à arrêter une production ; la seconde a peut-être les mêmes outils et rien de tout cela. La sauvegarde ensuite, et c'est le plus lourd : une sauvegarde continue vers le fournisseur qui héberge déjà la production n'est pas une sauvegarde au sens qui compte ici, puisqu'elle ne ferme pas le chemin par lequel un attaquant détruit la capacité de reconstruire. C'est une mesure d'intensité manquante, celle qui décide entre trois jours et six semaines d'interruption. Et l'absence de test de restauration rend la question sans réponse : personne ne sait si elle fonctionne. Le troisième écart est la dépendance, que le questionnaire capte mal : la seconde a délégué production et sauvegarde au même tiers, si bien que ses propres mesures ne réduisent pas la part du risque qu'elle a confiée. Le souscripteur a donc eu raison sur le fond, mais son refus mérite d'être motivé sur ces trois points nommés plutôt que sur un jugement global, faute de quoi le courtier reviendra avec le même dossier et un score de 82.
- 01Un référentiel mesure une conformité, on souscrit une résistance : deux dossiers au même score peuvent porter des risques sans commune mesure.
- 02Trois mesures dominent parce qu'elles ferment un chemin au lieu de le surveiller : authentification, sauvegarde hors ligne, segmentation.
- 03Séparer ce qui réduit la fréquence de ce qui réduit l'intensité dit où l'entreprise a mis son argent, et où elle aurait dû.
- 04Le délai de correction en chiffre parle de l'organisation, pas de l'outillage, et il ne se déclare pas facilement à tort.
- 05Une sauvegarde chez le fournisseur qui héberge déjà la production ne ferme pas le chemin qu'elle prétend fermer.