Risque systémique cyber
Risque qu'un événement cyber unique affecte simultanément un grand nombre d'assurés interconnectés, générant une accumulation de sinistres corrélés non modélisable avec les outils actuariels classiques.
Le 19 juillet 2024, une mise à jour de contenu défectueuse du capteur Falcon de CrowdStrike met hors service environ 8,5 millions de machines Windows selon le décompte de Microsoft, des comptoirs d'aéroport aux urgences des hôpitaux. Aucun attaquant, un seul fichier. Le risque systémique cyber désigne la possibilité qu'un seul événement d'origine cyber provoque des sinistres simultanés et corrélés chez un très grand nombre d'assurés. L'événement peut être une cyberattaque massive, une vulnérabilité zero-day exploitée à grande échelle ou la défaillance d'une infrastructure numérique critique (cloud provider, DNS, BGP). L'accumulation qui en résulte peut dépasser les capacités du secteur assurantiel. Ce risque diffère structurellement des périls naturels, dont la corrélation géographique est prévisible. Le périmètre d'un événement cyber se délimite mal ex ante, et sa propagation peut être quasi instantanée à l'échelle mondiale. Les opérations cyber étatiques forment une sous-catégorie particulièrement préoccupante : leur puissance de feu et leur capacité à cibler des infrastructures critiques les rendent potentiellement plus dévastatrices qu'une attaque cybercriminelle. C'est pour cette raison que le Lloyd's a exigé de la clarté sur la couverture cyber war : son bulletin de marché Y5381 du 16 août 2022 impose, à la souscription ou au renouvellement de tout contrat cyber à partir du 31 mars 2023, une exclusion des attaques soutenues par un État. Les clauses modèles qui y répondent sont rédigées par la Lloyd's Market Association. En excluant ou en plafonnant les opérations cyber étatiques les plus systémiques (état impacté), les clauses LMA 5565 à 5567 cherchent à rendre le risque résiduel modélisable, donc assurable.
Le 19 juillet 2024, la panne CrowdStrike a temporairement paralysé 8,5 millions de machines Windows dans le monde entier, hôpitaux, aéroports, banques. Parametrix a chiffré à 5,4 milliards de dollars la perte directe des seules entreprises du Fortune 500, Microsoft exclu, et à 540 millions à 1,08 milliard la part assurée, soit 10 à 20 % du dommage, le reste tenant aux rétentions et aux limites des polices. Bien que non malveillante, cette panne a illustré le potentiel d'accumulation d'un risque systémique cyber. Une cyberattaque étatique de même ampleur aurait déclenché des sinistres simultanés chez des milliers d'assurés.
- Lloyd's, Market Bulletin Y5381, « State backed cyber-attack exclusions », 16 août 2022 ; Parametrix, « CrowdStrike to cost Fortune 500 $5.4b; insured loss range of $0.54b to $1.08b », 24 juillet 2024
accumulation cyber, risque systémique, systemic risk, cyber systemic risk, accumulation catastrophique
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.