Un questionnaire de souscription cyber demande à une entreprise de décrire son système d'information en quarante questions fermées, et cette description devient la base du contrat. C'est un exercice sans équivalent dans les autres branches : on ne demande pas à un industriel de cocher que son usine est solide, on va la voir. Ici l'assureur ne va rien voir, il souscrit sur ce qu'on lui déclare, et la sincérité de cette déclaration est le seul lien entre le risque tarifé et le risque porté. Toute la difficulté vient de ce que les questions sont binaires et que les systèmes d'information ne le sont pas.
Le défaut caractéristique n'est presque jamais un mensonge, c'est un mot pris pour un autre. Une entreprise qui déclare une authentification à deux facteurs déployée pense au projet qu'elle a lancé, aux serveurs sur lesquels elle fonctionne, à la décision qui a été prise en comité. L'assureur, lui, lit une couverture complète de tous les accès distants. Entre les deux se trouve un parc réel où soixante pour cent des comptes sont protégés, où les prestataires ont des accès de service qui n'ont jamais été inclus, et où deux applications anciennes ne savent pas faire. Personne n'a menti et la déclaration est fausse.
Il faut donc savoir qui remplit ce document, et c'est le point d'organisation qui décide de tout le reste. Le questionnaire arrive par le courtier, atterrit au service financier, qui le transmet à l'informatique, qui répond de bonne foi sur ce qu'elle sait de son propre périmètre. Or une déclaration inexacte engage l'entreprise et non l'ingénieur qui a coché la case. La pratique qui protège est courte : faire valider chaque réponse technique par la personne qui pourrait la démontrer, et conserver la trace de cette validation. Ce qui prend une demi-journée avant la souscription vaut le montant du sinistre après.
La sanction dépend ensuite de deux choses que les assurés confondent : la nature de l'inexactitude et son lien avec le sinistre. Une déclaration inexacte de bonne foi ouvre selon les droits une réduction proportionnelle, calculée sur le rapport entre la prime payée et celle qui aurait été demandée en connaissance de cause. Une déclaration intentionnellement fausse relève d'un autre régime, bien plus sévère. Et certaines polices ajoutent des conditions particulières, qui transforment une déclaration en obligation continue : si la clause dit que la garantie suppose une authentification à deux facteurs sur tous les accès distants, son absence n'est plus une question de proportionnalité, c'est une condition non remplie.
Cette distinction entre déclaration et condition mérite d'être cherchée dans le contrat, parce qu'elle ne se voit pas à la lecture rapide et qu'elle change tout. Une déclaration décrit un état au jour de la souscription. Une condition impose un état pendant toute la durée. Un assuré qui a coché sincèrement une case en janvier, et dont le prestataire a désactivé le dispositif en juin pour dépanner une application, a respecté sa déclaration et violé sa condition. Le premier réflexe utile est donc de repérer, parmi les quarante réponses, celles que le contrat reprend en condition, et de les mettre sous surveillance comme on surveille une limite de crédit.
Il faut ajouter que le questionnaire vieillit très vite, et plus vite que dans toute autre branche. Un système d'information change tous les mois : une acquisition ajoute un parc entier, une migration déplace des données, un prestataire est remplacé, une application est ouverte à l'extérieur pour du télétravail. Beaucoup de polices imposent de déclarer les modifications substantielles en cours d'année, obligation que personne n'exécute parce qu'elle suppose de savoir ce que substantiel veut dire. Une règle simple tient lieu de méthode : ce qui aurait changé une réponse du questionnaire se déclare, et rien d'autre.
La discipline se résume à quatre gestes qui précèdent tous la signature. Faire répondre chaque question par quelqu'un capable de démontrer sa réponse, et garder la trace. Traduire les mots ambigus, déployé, à jour, sauvegardé, en pourcentage de parc et en périmètre nommé, plutôt qu'en oui ou non. Repérer les réponses que le contrat reprend en condition, et les mettre sous surveillance. Et relire le questionnaire à chaque changement d'organisation, non par zèle mais parce qu'une réponse devenue fausse en cours d'année est exactement ce que l'assureur cherchera après le sinistre.
Une entreprise industrielle de 900 salariés souscrit en janvier. Au questionnaire, à la question « l'authentification à deux facteurs est-elle déployée sur les accès distants ? », le responsable informatique répond oui : le projet est terminé sur les postes des salariés, soit 780 comptes sur 1 300. Les 520 restants sont des comptes de service, des accès prestataires et deux applications de gestion de production qui ne savent pas faire. En septembre, un attaquant entre par le compte d'un prestataire de maintenance, sans second facteur. Le sinistre atteint 4,1 millions d'euros. La police reprend cette réponse dans ses conditions particulières. Que se passe-t-il ?
Personne n'a menti et la position de l'assuré est très mauvaise, ce qui est la configuration typique de ces dossiers. Le responsable informatique a répondu sur le périmètre qu'il avait en tête, les postes de salariés, où le déploiement est réel et complet ; l'assureur a lu la question telle qu'elle est écrite, tous les accès distants, où la couverture est de soixante pour cent. La bonne foi est certaine et elle ne suffit pas. Ce qui décide ici n'est d'ailleurs pas le régime de la déclaration inexacte, qui aurait ouvert une réduction proportionnelle calculée sur l'écart de prime : c'est que la police a repris cette réponse en condition particulière. La distinction est décisive et l'assuré ne l'a pas vue. Une déclaration décrit un état au jour de la souscription et une inexactitude se sanctionne par une réduction ; une condition impose un état pendant toute la durée, et son absence n'est plus une question de proportionnalité mais une condition non remplie. S'y ajoute le lien de causalité le plus direct qui soit : l'attaquant est entré précisément par un compte dépourvu du second facteur, c'est-à-dire par l'un des 520 que la réponse ne couvrait pas. Ce qu'il fallait faire tient en une ligne et coûtait une demi-journée : traduire la question en pourcentage de parc et en périmètre nommé, 780 comptes sur 1 300 et voici lesquels, plutôt qu'en oui ou non. Un assureur qui reçoit ce chiffre tarife ou pose une condition explicite ; il ne découvre pas en septembre ce qu'il aurait dû lire en janvier.
- 01L'assureur ne va rien voir : il souscrit sur ce qu'on lui déclare, et c'est le seul lien entre le risque tarifé et le risque porté.
- 02Le défaut caractéristique n'est pas un mensonge mais un mot pris pour un autre : déployé ne désigne pas le même périmètre des deux côtés.
- 03Une déclaration décrit un état au jour de la souscription ; une condition l'impose pendant toute la durée, et son absence n'est plus proportionnelle.
- 04On traduit les mots ambigus en pourcentage de parc et en périmètre nommé, plutôt qu'en oui ou non : un chiffre se tarife, un oui se conteste.
- 05Le questionnaire vieillit vite : ce qui aurait changé une réponse se déclare en cours d'année, et rien d'autre.