Profil de l'entreprise cliente
Section de contexte. Elle ne compte pas dans le score, mais oriente toute l'analyse.
Le secteur détermine à la fois la probabilité d'attaque (certains secteurs sont massivement ciblés, la santé en tête) et le coût d'un sinistre (les données traitées et les obligations réglementaires varient fortement). C'est la première variable que le souscripteur regarde pour situer le risque.
Vous la connaissez déjà. Vérifiez simplement l'activité réellement dominante en chiffre d'affaires si l'entreprise a plusieurs métiers, car c'est elle qui compte pour l'analyse.
La taille conditionne la surface d'attaque (plus de salariés, plus de comptes, plus de points d'entrée), le niveau d'exigence des assureurs et les ordres de grandeur de perte d'exploitation. Les attentes du marché pour une entreprise de 900 salariés n'ont rien à voir avec celles pour une TPE.
Donnée publique ou déjà en votre possession. En cas de doute, formulation pour le dirigeant : « Quel est votre effectif total actuel, en incluant les CDD et l'intérim régulier ? »
Le chiffre d'affaires sert de base au calcul de la perte d'exploitation, qui est souvent le premier poste d'un sinistre cyber, et il détermine les limites de garantie pertinentes à demander.
Bilans publics ou question directe : « Quel est votre chiffre d'affaires du dernier exercice clos ? »
C'est la question qui dimensionne le risque de perte d'exploitation, cœur du coût d'un ransomware. Une entreprise qui peut fonctionner en mode papier quelques jours et une entreprise dont toute la production dépend du SI ne présentent pas le même risque, à secteur et taille identiques.
Formulation pour le dirigeant : « Imaginez que demain matin, plus aucun ordinateur, serveur ou logiciel ne fonctionne dans l'entreprise. Quelle part de votre activité continue quand même ? La production tourne-t-elle, pouvez-vous facturer, livrer, prendre des commandes ? »
Une exposition américaine ou britannique augmente sensiblement le coût potentiel d'une violation de données (actions collectives, coûts de défense, régulateurs) et doit être déclarée au souscripteur, qui adaptera le périmètre territorial et le prix.
Formulation : « Avez-vous des clients, des filiales, des salariés ou des données de personnes situées aux États-Unis ou au Royaume-Uni, même marginalement ? »
La multiplicité des sites multiplie les points d'entrée réseau et complique l'homogénéité des mesures de sécurité. Elle joue aussi sur la capacité de continuité, un site pouvant relayer un autre.
Donnée que vous détenez généralement. Sinon : « Sur combien de sites physiques opérez-vous, en comptant les entrepôts et sites de production ? »
Le télétravail étend le système d'information au domicile des salariés et repose entièrement sur des accès distants, précisément le vecteur d'intrusion le plus exploité. Plus la part est élevée, plus les questions sur le VPN et le MFA (section 3) deviennent déterminantes.
Formulation : « Quelle proportion de vos salariés télétravaille au moins un jour par semaine ? »
La capacité à tenir en mode dégradé réduit directement la perte d'exploitation et constitue un argument favorable en souscription. Son absence, croisée avec une forte dépendance au SI, oriente les limites de garantie à demander.
Formulation pour le dirigeant : « Si vos systèmes sont indisponibles pendant deux jours ouvrés, avez-vous des procédures de secours, même manuelles, pour continuer à servir vos clients ? L'avez-vous déjà vécu ? »
- Questionnaire client
- Produit un fichier à envoyer à votre client : il y répond seul, puis vous renvoie ses réponses, que vous relisez ici avant de générer. Le document ne contient ni pondération, ni score, ni analyse : votre client répond, il n'évalue pas.
- Exporter les réponses
- Enregistre le dossier en cours dans un fichier, avec une empreinte qui en garantit l'intégrité. Sert à archiver un dossier, à le reprendre sur un autre poste, ou à le passer à un confrère.
- Importer un fichier
- Relit un fichier produit par « Exporter les réponses », d'ici ou du questionnaire client. Il n'y a pas de modèle à remplir soi-même : un fichier écrit à la main serait refusé, son empreinte ne correspondrait pas.
- Checklist de collecte
- Un document texte listant les soixante questions et, pour chacune, la façon d'obtenir la réponse. À emporter en rendez-vous, ou à envoyer en amont pour que le client prépare ses éléments.
- Vider le dossier
- Efface toutes les réponses de ce navigateur pour repartir d'une page blanche. Sans effet sur les dossiers déjà générés.
Vos réponses sont conservées dans ce navigateur et reprises automatiquement si vous fermez l'onglet. Elles ne partent nulle part tant que vous ne demandez pas la génération du rapport.