Écart entre questionnaire et scan

L'écart entre questionnaire et scan est la différence entre ce qu'une entreprise déclare dans son questionnaire de souscription cyber et ce qu'un balayage externe de sa surface d'attaque observe le même mois. Le questionnaire est signé par un dirigeant qui ne connaît pas toujours la réponse technique ; le scan ne voit que ce qui est exposé sur internet, mais il le voit sans intermédiaire. Colonial Pipeline, en mai 2021, a donné au marché la forme extrême du problème : l'intrusion est passée par un compte VPN (réseau privé virtuel) sans MFA. Change Healthcare, en février 2024, a montré le même trou sur un serveur Citrix, reconnu par le dirigeant du groupe devant le Congrès. DMARC (Domain-based Message Authentication, Reporting and Conformance) est souvent la première contradiction qu'un scan trouve, parce qu'elle se lit en une requête DNS publique. Le questionnaire répond « oui » à « avez-vous mis en place DMARC ». L'enregistrement dit `p=none`, qui observe sans rien bloquer, ou il n'existe pas. L'assuré n'a pas forcément menti : un prestataire a publié l'enregistrement en mode observation il y a trois ans, et personne n'est passé à `quarantine` ni à `reject`. Le souscripteur ne tranche pas sur un seul écart. Il pose une question de suivi, demande parfois une capture de console ou l'enregistrement corrigé, et peut faire de la correction une subjectivité avant la prise d'effet. Un écart isolé et expliqué bouge peu la cotation. Plusieurs écarts sur des points que le questionnaire traite comme bloquants, la MFA sur l'accès distant ou un port RDP exposé, changent la lecture de tout le dossier, y compris des réponses que personne ne peut vérifier de l'extérieur, comme les sauvegardes. Côté droit français, l'assuré doit répondre exactement aux questions que l'assureur lui pose (article L. 113-2 2° du code des assurances). La fausse déclaration intentionnelle qui change l'objet du risque ou en diminue l'opinion pour l'assureur entraîne la nullité du contrat (L. 113-8). Sans mauvaise foi établie, l'inexactitude constatée avant sinistre conduit à une surprime acceptée par l'assuré ou à la résiliation ; constatée après sinistre, elle réduit l'indemnité en proportion du taux des primes payées par rapport à celui des primes dues (L. 113-9). Depuis l'arrêt de chambre mixte du 7 février 2014 (n° 12-85.107), l'assureur ne peut invoquer la fausse déclaration intentionnelle que si elle procède des réponses aux questions précises qu'il a posées, et la Cour de cassation écarte la sanction quand l'assuré établit que l'assureur connaissait la circonstance en cause.