Un souscripteur cyber croit examiner une entreprise et examine en réalité un document qui décrit une entreprise. L'écart entre les deux porte un nom peu employé et il s'appelle le périmètre : quelles entités sont assurées, quels systèmes elles exploitent, et lesquels de ces systèmes se parlent. La leçon précédente traitait de la sincérité du questionnaire, c'est-à-dire de la qualité des réponses. Celle-ci traite de ce que le questionnaire ne demande pas, et c'est une autre matière : une réponse peut être parfaitement exacte sur un périmètre qui n'est pas celui du risque.
La configuration la plus fréquente est la filiale récemment acquise. Un groupe rachète une société, la consolide comptablement, l'inscrit sur la liste des assurés au renouvellement suivant, et décrit dans le questionnaire la politique de sécurité du groupe : authentification à deux facteurs, correctifs sous quinze jours, sauvegardes testées. Tout cela est vrai du système d'information du groupe. Rien de tout cela n'est encore vrai de la filiale, dont le réseau tourne sur ses propres serveurs, avec son propre annuaire et ses propres comptes d'administration, et dont l'intégration est un projet de dix-huit mois. La déclaration est sincère et la couverture porte sur un risque qui n'a pas été décrit.
Il faut donc savoir que l'intégration informatique d'une acquisition suit une courbe particulière, qui produit un maximum de risque au milieu et non au début. Tant que les deux réseaux sont séparés, un attaquant qui entre chez la filiale reste chez la filiale. Le jour où l'on ouvre un lien de confiance pour partager un annuaire, une messagerie ou un outil de paie, on crée un chemin entre les deux sans avoir encore aligné les pratiques. La période dangereuse commence à la première interconnexion et se termine à la dernière harmonisation, et c'est précisément la période pendant laquelle personne ne sait dire qui administre quoi.
Trois autres angles morts reviennent et méritent d'être nommés pour eux-mêmes. Le premier est la coentreprise, détenue à moitié, qui n'apparaît sur aucun organigramme d'assurance parce que personne ne la considère comme sienne, et qui partage pourtant un accès avec les deux actionnaires. Le deuxième est l'établissement à l'étranger, souvent petit, doté d'un informaticien local et d'un contrat de maintenance signé sur place, qui échappe à la politique du siège pour des raisons de langue autant que de gouvernance. Le troisième est l'entité en cours de cession, dont plus personne ne finance la sécurité parce qu'elle est déjà considérée comme partie.
Vient ensuite la question qui décide de l'étendue réelle du sinistre, et elle ne porte pas sur les entités mais sur les liens. Un groupe dont dix filiales exploitent dix systèmes indépendants subit dix sinistres possibles, chacun borné à une filiale. Un groupe dont dix filiales partagent un annuaire unique subit un sinistre possible, qui les prend toutes en une nuit. Les deux groupes remplissent le même questionnaire, déclarent le même chiffre d'affaires et le même nombre de salariés, et ne portent pas le même risque. La question à poser tient en une phrase : existe-t-il un compte, un annuaire ou un outil d'administration dont la compromission ouvrirait plus d'une entité.
Cette question se pose aussi à l'assuré, et pour son propre compte, parce qu'elle décide de ce qu'il doit demander. Un groupe qui a mesuré ses liens sait quelle part de son activité peut s'arrêter en même temps, et cette part est ce que sa garantie de perte d'exploitation doit pouvoir absorber. Un groupe qui ne les a pas mesurés dimensionne son programme sur sa plus grosse filiale et découvre au sinistre qu'il fallait le dimensionner sur leur somme. Aucun questionnaire de marché ne pose cette question, ce qui la rend d'autant plus utile à poser.
La discipline tient donc en trois gestes qui précèdent la cotation. Faire produire la liste des entités assurées et la confronter à l'organigramme juridique réel, coentreprises et établissements étrangers compris, plutôt qu'à la liste du renouvellement précédent. Demander, pour chaque entité, depuis quand elle est intégrée et par quel lien. Et poser la question du compte qui ouvre plus d'une entité, en acceptant que la réponse soit qu'on ne sait pas, car cette réponse-là est une information et non un refus : elle dit que l'étendue du sinistre n'est pas bornée, et c'est un fait de souscription.
Un groupe de distribution spécialisée, 1 400 salariés, présente au renouvellement du 1er juillet un questionnaire irréprochable : authentification à deux facteurs partout, correctifs sous dix jours, sauvegardes hors ligne testées deux fois par an, inventaire à jour. Le souscripteur note que la liste des assurés compte onze entités contre neuf l'an dernier. Interrogé, le courtier explique que deux sociétés ont été rachetées en février, l'une de 60 salariés en France, l'autre de 25 en Espagne, et que leur intégration informatique est planifiée sur dix-huit mois. Le responsable de la sécurité du groupe précise qu'un lien d'annuaire a été ouvert en mai avec la société française pour donner accès à la messagerie du groupe, et que la société espagnole reste totalement séparée. Que faut-il faire de ce dossier ?
Le questionnaire est exact et il décrit un périmètre qui n'est pas celui du risque, ce qui est la configuration exacte de cette leçon : il n'y a pas de fausse déclaration à chercher, il y a un hors-champ à mesurer. Les onze entités ne se traitent pas de la même façon, et le tri utile n'est pas français contre espagnol, il est relié contre séparé. La société espagnole, totalement séparée, est le cas le plus simple : elle porte son propre risque, borné à elle-même, et vingt-cinq salariés en Espagne sous une politique locale se tarifient ou se conditionnent sans que le reste du groupe soit exposé ; c'est un risque petit et connu. La société française est le vrai sujet du dossier, et elle est exactement au milieu de la courbe dangereuse. Le lien d'annuaire ouvert en mai crée un chemin entre un réseau aligné sur la politique du groupe et un réseau qui ne l'est pas encore, et il l'a créé deux mois avant ce renouvellement, sans que dix-huit mois d'harmonisation soient commencés. La déclaration « authentification à deux facteurs partout » se vérifie donc sur un point précis : couvre-t-elle les comptes d'administration de la filiale française, ceux qui existaient avant l'acquisition et que personne n'a inventoriés, ou seulement les comptes du groupe. La question qui décide de l'étendue vient ensuite et elle se pose telle quelle : depuis mai, existe-t-il un compte dont la compromission ouvrirait à la fois la filiale et le groupe. Si oui, le sinistre maximal n'est plus borné à 60 salariés mais à 1 400, et c'est un changement de nature, pas de degré. Trois gestes suivent, et aucun n'est un refus. Demander l'inventaire des comptes d'administration de la filiale française et la date de leur reprise sous la politique du groupe. Traiter la question par une condition portant sur ce point, avec une date, plutôt que par un prix qui ne corrigerait rien. Et vérifier avec le courtier que la garantie de perte d'exploitation a été dimensionnée sur l'hypothèse où le groupe et la filiale s'arrêtent ensemble, puisque depuis le mois de mai cette hypothèse existe.
- 01Une réponse peut être parfaitement exacte sur un périmètre qui n'est pas celui du risque : ce n'est pas un problème de sincérité, c'est un hors-champ.
- 02L'intégration d'une acquisition produit son maximum de risque au milieu : le danger commence à la première interconnexion, pas à la signature.
- 03Coentreprise, établissement étranger, entité en cours de cession : trois entités qu'aucun organigramme d'assurance ne porte et qui ont pourtant des accès.
- 04La question qui décide de l'étendue ne porte pas sur les entités mais sur les liens : existe-t-il un compte qui ouvrirait plus d'une entité.
- 05« On ne sait pas » est une information de souscription et non un refus de répondre : elle dit que l'étendue du sinistre n'est pas bornée.