Sous une tente, au bord de la plage
Au printemps 1997, au congrès de la Risk and Insurance Management Society à Honolulu, Steven Haase, qui plaidait depuis plus de deux ans auprès des assureurs pour une garantie des risques numériques, présente son idée à une vingtaine de personnes réunies sous une tente près du rivage. Le métier a gardé un surnom pour la scène : « Breach on the Beach » (Insurance Journal, 2022, NordProtect).
La police qui en sort, l'Internet Security Liability, est souscrite par AIG. Les récits divergent sur son étendue ; le plus courant la décrit comme une police de responsabilité envers les tiers, une « police contre les pirates », pensée pour les premiers commerçants en ligne qui stockaient les données de leurs clients (Insurance Journal, 2014, Banque fédérale de réserve de Chicago). Elle se vend mal : peu d'entreprises se savent exposées, et le passage à l'an 2000 occupe tous les esprits.
La loi qui a fait le marché
Le 25 septembre 2002, le gouverneur de Californie signe la loi SB 1386, en vigueur le 1er juillet 2003 : toute entreprise qui détient des données personnelles informatisées de résidents californiens doit les prévenir quand ces données sont compromises, où que soient ses serveurs. C'est la première loi de ce genre aux États-Unis (Paul Hastings, Université d'État de Californie à Bakersfield).
Ce texte a changé la nature du sinistre. Avant lui, une fuite de données pouvait rester silencieuse ; après lui, elle coûtait à coup sûr : lettres aux clients, centres d'appel, enquêteurs, avocats. Ces frais, certains et chiffrables, sont devenus le cœur de la police cyber, et le marché a commencé à grandir. Les garanties de première partie, la notification, la gestion de crise, puis l'extorsion, sont venues de là.
Ce que cela apprend
L'assurance cyber n'est pas née du pirate, qui existait déjà, mais d'une décision publique qui a donné un prix à la fuite. La même chose se répète aujourd'hui avec le règlement européen sur la protection des données, les obligations de déclaration d'incident ou l'interdiction de payer certaines rançons : chaque fois, c'est un législateur qui déplace ce que le contrat doit payer. Le risque cyber est, depuis son premier jour, un risque réglementaire et donc politique.
Cette page raconte une histoire ; elle ne dit rien de ce qu'il faudrait assurer aujourd'hui.