Aller au contenu
Le nom

AlgoPolis

Algo · πόλις

  • Algo, c'est le calcul et le modèle.
  • Polis, c'est la cité, donc la politique.
  • AlgoPolis étudie le risque cyber, le risque politique, et leur jonction.

Le nom de la maison ne juxtapose pas deux mots à la mode. Il nomme deux risques : le risque cyber, qui se modélise, et le risque politique, qui se qualifie. Et il dit, par la jonction de ses deux racines, pourquoi un même souscripteur doit tenir les deux.

Deux racines

Algo

d'algorithme · le modèle

Le calcul, le modèle, l'intelligence artificielle : l'outillage qui permet à un souscripteur seul de tenir un portefeuille qui demandait hier une équipe. Le risque cyber est le terrain naturel de cette racine, parce qu'il se prête à la mesure : fréquence et coût des sinistres, surface d'attaque, dépendances partagées, scénarios d'accumulation. Il se modélise, imparfaitement, et c'est justement l'imperfection du modèle qu'un souscripteur doit savoir lire avant de signer.

Polis

de πόλις · la cité

Non pas la ville, mais la communauté politique : ce qui se décide en commun, l'État, la frontière, la guerre, la sanction. C'est la racine de politique, et c'est exactement le champ du risque politique : expropriation, violence politique, inconvertibilité, rupture d'un contrat par un État. Ce risque ne se modélise pas comme le cyber, faute d'une fréquence exploitable. Il se qualifie, pays par pays et acte par acte, et la décision y tient à la lecture du pouvoir plus qu'à la loi des grands nombres.

La troisième chose

Du risque politique dans un contrat cyber

Un nom qui juxtaposerait deux spécialités ne serait qu'une coïncidence. Celui-ci nomme leur jonction, et c'est l'argument central de la maison : les clauses qui décident des plus gros sinistres cyber ne relèvent pas de la technique informatique. Elles relèvent de l'État. Quatre d'entre elles suffisent à le montrer.

  1. L'exclusion de guerre

    Une police cyber exclut la guerre, et toute la question est de savoir ce qu'est une guerre qui ne tire aucun coup de feu. Les exclusions héritées du siècle dernier visaient des conflits armés, et le contentieux né de NotPetya a montré qu'elles tenaient mal face à une attaque informatique imputée à un État. Le marché de Londres a répondu en imposant, à compter du 31 mars 2023, une exclusion propre aux opérations cyber étatiques dans toutes les polices cyber autonomes de ses syndicats. Lire cette clause, c'est lire une définition de la guerre.

    Clause d'exclusion cyber-guerre →

  2. L'attribution à un État

    L'exclusion ne joue que si l'attaque est imputée à un État, et l'imputation est un acte politique avant d'être une preuve technique. Les clauses du marché s'en remettent d'abord à l'attribution officielle faite par le gouvernement de l'État où se trouve le système touché. Le déclenchement d'une exclusion d'assurance dépend alors d'une décision diplomatique, prise à un calendrier qui n'est pas celui du sinistre, par une autorité qui n'est pas partie au contrat.

    Attribution étatique →

  3. L'acte étatique

    Les clauses les plus récentes vont plus loin : elles excluent l'opération étatique qui porte une atteinte majeure au fonctionnement d'un État, à ses services essentiels, à sa sécurité ou à sa défense. Le seuil de l'exclusion n'est plus la gravité du dommage subi par l'assuré, mais l'atteinte portée à une souveraineté. C'est une notion de risque politique, écrite en toutes lettres dans un contrat cyber, et elle se juge avec les outils du risque politique.

    État impacté →

  4. La sanction qui rend la rançon illicite

    Un rançongiciel se règle parfois par un paiement. Si le bénéficiaire figure sur une liste de sanctions, le paiement devient illicite, et l'assureur qui le rembourse s'expose lui-même : l'avis du Trésor américain du 21 septembre 2021 vise expressément les assureurs cyber, sous un régime de responsabilité objective. La décision de couvrir se prend donc sur un fait que personne ne connaît au moment du sinistre : l'identité réelle de l'attaquant, et la liste sur laquelle un État l'a inscrit.

    Sanctions OFAC et rançons →Clause d'exclusion de sanctions →

Dans chacun de ces quatre cas, la question qui décide d'un sinistre cyber est posée par un État : il combat, il accuse, il est atteint, il interdit. Un souscripteur cyber qui ignore le risque politique ne sait pas lire ses propres exclusions ; un souscripteur de risque politique qui ignore le cyber ne voit pas par où passe désormais la violence d'État. Un souscripteur qui tient les deux voit ce que deux souscripteurs spécialisés se renvoient.

Ce que le nom engage

Décider, et pas seulement expliquer

Expliquer un marché et y prendre une décision sont deux compétences différentes. Un souscripteur ne décrit pas un risque : il dit oui ou non, à quel prix et sous quelles conditions, sur une information incomplète, et il sait qu'il aura tort une fois sur cinq.

Le nom engage la maison à s'exercer à la seconde. Elle ne souscrit aucun risque et n'en porte aucun : elle publie des exercices de décision datés, argumentés sur l'information disponible le jour où ils sont tranchés, assortis du signal qui les rendrait faux, puis relus plus tard contre ce qui s'est réellement passé. Les risques traités sont composés à partir de configurations de marché réelles, ou publics et déjà survenus : jamais le dossier d'un tiers.