Le simulateur en travaux dirigés de 90 minutes
Une classe joue la même partie le même jour, sans compte et sans frais, puis débat de deux décisions qui ne se reportent pas. Voici le déroulé minute par minute et les réponses du débrief.
Ouvrir la partie du jourUne question, une séance à caler : contact@algopolis.eu
À qui il sert
À un cours d'assurance ou de réassurance de master, qui veut faire tenir un portefeuille plutôt qu'expliquer une police. À un cours de gestion des risques, pour la panne d'un prestataire et ce qu'elle coûte à neuf cents entreprises le même matin. À un cours de relations internationales, parce que la partie bascule sur une question d'État : qui attribue une cyberattaque, et ce que vaut une clause tant que personne ne signe.
Le déroulé, minute par minute
0 à 10, le briefing. Projeter /fr/simulateur. Chaque étudiant ouvre la partie du jour sur son téléphone ou son portable, sans compte. Le cadre en trois phrases : vous tenez le bureau cyber d'une maison d'assurance pendant huit trimestres, de 2025 à fin 2026 ; chaque trimestre, des dossiers à accepter ou refuser ; deux fois, une décision qui ne se reporte pas.
10 à 15, le premier trimestre ensemble. Lire le chapitre du T1 à voix haute (« Le marché dort ») : quatre dossiers du livre sont chez le même hébergeur, Amazonas Cloud. Laisser chacun signer ses dossiers.
15 à 35, première décision jouée : la panne de Logipaie (tour 3). Amazonas Cloud est tombé cinq jours. Logipaie, éditeur de paie, déclare : 900 entreprises n'ont pas pu payer leurs salariés. La police couvre la défaillance d'un prestataire, dans sa sous-limite. La direction technique propose de refuser, le courtier veut un acompte. Cinq minutes seul, puis vote à main levée sur les trois options, puis trois minutes de défense par option. Chacun valide son choix dans le jeu et lit le retour.
35 à 45, jouer seul. Tours 4 à 6 : NoxLock inscrit sur les listes de sanctions, le coup d'État au Sénégal, Rotterdam à l'arrêt.
45 à 65, seconde décision jouée : l'attribution de Rotterdam (tour 7). La Haye ne peut pas attribuer l'attaque. Holland Container Terminals réclame la perte d'exploitation de ses trois terminaux ; le service des sinistres tient le rapport d'un éditeur de sécurité et propose d'opposer l'exclusion des attaques d'État. Même mécanique : seul, vote, défense, validation.
65 à 70, finir. Tour 8, puis la page de fin, « ce qui ressemble à ce qui s'est vraiment passé », où chaque fait réel dit au joueur s'il avait raison.
70 à 90, le débrief. Les six questions ci-dessous, trois minutes chacune, la réponse attendue lue après les propositions de la salle.
Les six questions du débrief, et la réponse attendue
1. Pourquoi payer tout de suite la perte d'exploitation de Logipaie, mais pas les réclamations de ses 900 clients ? La perte d'exploitation est acquise et mesurable dès la fin de la franchise. Les réclamations ne le sont pas, et une partie tombera sur la limitation de responsabilité de leurs contrats. Les payer avant qu'elles soient chiffrées, c'est renoncer à la défense que la police finance.
2. La direction technique avait-elle raison de refuser, puisque aucune sécurité n'a été atteinte ? Non. Le texte couvre la défaillance d'un prestataire, malveillante ou non : le refus se perd et coûte la relation. Le précédent réel est la mise à jour défectueuse du 19 juillet 2024, 8,5 millions d'ordinateurs Windows arrêtés : les polices qui couvraient la défaillance non malveillante ont payé, après une franchise de huit à douze heures en général.
3. Qui doit attribuer une cyberattaque pour que l'exclusion d'État joue ? D'abord le gouvernement du pays où se trouvent les systèmes touchés (clauses LMA 5564 à 5567, novembre 2021). À défaut, l'assureur peut s'appuyer sur une déduction objectivement raisonnable, qu'il lui revient de prouver.
4. Le rapport de l'éditeur de sécurité suffit-il à refuser Rotterdam ? Non : un rapprochement de code n'est pas une déduction objectivement raisonnable. Elle tient si la veille pays a déjà mis au dossier un service d'État qui a visé ces systèmes ailleurs, et si la police porte la clause B ou C ; sous la clause A, qui n'exclut que la guerre, le refus mène au procès que les assureurs de Merck ont perdu en appel.
5. Que gagne-t-on à payer sous réserve écrite plutôt que sans réserve ? On garde ce qu'une attribution future pourrait dire. NotPetya, le 27 juin 2017, n'a été attribué au renseignement militaire russe par Londres et Washington que le 15 février 2018, huit mois plus tard.
6. Qu'a jugé la seule cour qui ait tranché l'exclusion de guerre face à une cyberattaque ? La cour d'appel du New Jersey, le 1er mai 2023 : l'exclusion « hostile or warlike action » vise la guerre au sens classique, pas une cyberattaque contre une entreprise privée. Merck réclamait environ 1,4 milliard de dollars ; les parties ont transigé en janvier 2024.
Pour un cours de relations internationales, une septième question se pose au tour 5 (« Dakar, puis Moscou ») : comment un coup d'État au Sénégal entre-t-il dans un portefeuille cyber ? Le chapitre répond lui-même : par la porte de la clause guerre.
Après le TD : ce que l'Académie offre gratuitement
Les cours sont en accès libre, sans compte : des modules à lire, des cas travaillés, un questionnaire court à la fin. Les quiz courts sont gratuits, sans compte. Le simulateur se rejoue autant qu'on veut. Lien à donner : algopolis.eu/academie.
Pour aller plus loin : les certifications
Une certification (un groupe de cours) coûte 11,99 € TTC, une spécialisation (un groupe de certifications) 17,99 € TTC, à l'ouverture de la vente. La mention qui les accompagne partout :
Certification privée délivrée par AlgoPolis sous sa seule autorité. Elle n'est enregistrée ni au RNCP ni au répertoire spécifique de France Compétences, et n'est pas éligible au compte personnel de formation.