Scénario de catastrophe cyber

Faute d'un historique suffisant de catastrophes cyber, les assureurs et les régulateurs mesurent le cumul au moyen de scénarios : des événements extrêmes mais plausibles, décrits dans leur mécanisme, leur propagation et leur durée, dont on calcule l'effet sur un portefeuille donné. Les familles classiques sont la panne prolongée d'un grand fournisseur de services en nuage, le rançongiciel qui se propage par une vulnérabilité commune, l'attaque contre une infrastructure énergétique ou financière, la compromission d'un logiciel omniprésent et la fuite massive de données chez un prestataire partagé. Pour chacun, il faut dire quelles entreprises sont touchées, pendant combien de temps, quelles garanties répondent et lesquelles sont exclues, notamment par les clauses de guerre et d'infrastructure. Le scénario a une vertu que le modèle probabiliste n'a pas : il se discute, puisqu'on peut en contester chaque hypothèse. Il a aussi une limite : sa probabilité est une convention, et le choix du scénario, souvent inspiré d'un événement déjà survenu, laisse de côté la catastrophe que personne n'a imaginée. Les autorités de marché exigent des assureurs qu'ils déclarent leur exposition à des scénarios de référence.