AlgoPolisAlgoPolisVoici le rapport tel qu'il sort de l'outil, sur un cabinet qui n'existe pas, dont les réponses ont été écrites pour ressembler à un dossier ordinaire : quelques points solides, quelques angles morts nets. Vous en voyez la forme entière, toutes les sections, le score et sa méthode, la trame du plan de remédiation. Vingt blocs portent ici leur texte complet ; les autres sont annoncés par leur nombre, section par section, dans le tableau en bas de page.
Le cabinet, ses réponses, ses scores et ses fourchettes d'exposition sont inventés. Ils servent à montrer la forme et la profondeur du document, pas à décrire une entreprise réelle ni à fournir une analyse utilisable telle quelle. Cette page ne publie qu'une partie des blocs du rapport. Aucun assureur n'est nommé et aucune garantie n'est conseillée.
La section qui sert le plus en rendez-vous : pour chaque thème du formulaire de proposition, la question telle qu'elle est posée, l'état du dossier et ce qu'il faut préparer avant de la recevoir. Le rapport complet en traite 14, le spécimen en montre 2.
« L'authentification multifacteur est-elle déployée sur la messagerie, les accès distants et les comptes à privilèges ? Précisez les exceptions. » Cette question figure dans la quasi-totalité des formulaires, souvent en première page, parfois sous forme d'engagement contractuel.
Identifiant CRA-SPECIMEN · généré le 15/06/2026 · Cabinet Vallonet & Associes
Document d'aide à l'analyse destiné aux professionnels de l'assurance.
Ne constitue ni un conseil en assurance, ni un audit, ni une garantie d'assurabilité. Méthodologie publique AlgoPolis CRA v1.0.
Positionnement établi par la méthodologie, au regard du score, des points bloquants et de la fiabilité des réponses.
Score de 40 : 49,65 sur les familles, moins 10 points pour deux fragilités qui se cumulent. Restauration jamais testée sans plan de réponse (règle R02, −8) ; prestataire informatique unique et difficile à remplacer (règle R03, −4). Leur total, −12, est ramené au plafond de −10.
Forces principales. Données traitées et conformité (60/100) ; Facteur humain et formation (59/100) ; Sécurité technique (58/100)
Faiblesses critiques. Historique d'incidents et couvertures existantes (36/100) ; Dépendances tierces et supply chain (39/100) ; Gouvernance et organisation cyber (41/100)
| Secteur d'activité | Professions juridiques et comptables |
| Effectif | 50 à 249 |
| Chiffre d'affaires annuel | 2 à 10 M€ |
| Part de l'activité dépendante de l'informatique | Plus de 75 % |
| Exposition États-Unis ou Royaume-Uni | Non |
| Sites physiques | 2 à 5 |
| Télétravail régulier | Environ la moitié |
| Fonctionnement possible en mode dégradé plus de 48 heures | Non |
| Types de données personnelles traitées | Clients courantes, Salariés, Bancaires / paiement |
| Personnes concernées par les données détenues | Moins de 10 000 |
| Incidents déclarés sur 36 mois | Fraude au virement |
| Police cyber déjà en place | Non |
Le trait vertical pointillé marque le seuil de 70 points du positionnement « prérequis du marché réunis ». Barres lisibles en noir et blanc.
Une politique de sécurité existe mais n'a pas été actualisée récemment. Un document ancien couvre rarement les pratiques actuelles, télétravail, outils cloud, authentification renforcée, et sa péremption peut être relevée lors de l'instruction. Une mise à jour avant présentation du dossier représente un effort limité pour un gain de crédibilité réel.
Le sujet cyber ne remonte pas à la direction générale, même annuellement. Le risque est donc traité comme un sujet technique délégué, sans arbitrage au niveau où se décident les budgets et les priorités. Les dossiers présentant cette caractéristique se révèlent statistiquement plus fragiles sur les sections techniques, ce que les souscripteurs savent et vérifient.
L'authentification multifacteur n'est déployée que partiellement sur les surfaces critiques, messagerie, accès distants et comptes d'administration. Un déploiement partiel laisse subsister des chemins d'attaque contournant la protection, et les souscripteurs le traitent comme une absence assortie de circonstances atténuantes plutôt que comme une mesure acquise. La généralisation, qui représente un chantier de quelques jours, constitue l'action au meilleur rapport entre coût et effet sur les conditions d'assurance.
Les sauvegardes en place n'ont pas fait l'objet d'un test de restauration réelle au cours des douze derniers mois. Une sauvegarde jamais restaurée demeure une promesse dont la valeur ne se découvre qu'en pleine crise, moment où les échecs partiels de restauration sont une constante des sinistres lourds. Un test complet documenté transforme ce point déclaratif en élément vérifiable et améliore la lecture du dossier sur la franchise comme sur la sous-limite de restauration de données.
Aucune procédure de double validation n'encadre les changements de coordonnées bancaires ni les virements inhabituels. Cette configuration correspond au scénario type de la fraude au virement par usurpation d'un fournisseur ou d'un dirigeant, dont la fréquence et le coût unitaire en font l'un des premiers postes de sinistralité des entreprises de cette taille. La garantie correspondante étant fréquemment assortie de sous-limites basses, la mise en place d'un contre-appel systématique au numéro connu est à la fois la protection la plus efficace et un argument direct dans la discussion de cette sous-limite.
La sensibilisation à la cybersécurité n'a touché qu'une partie des salariés. Les attaquants ne choisissent pas leurs cibles parmi les personnes formées, et un seul clic suffit à ouvrir l'intrusion ; la valeur d'une sensibilisation partielle est donc nettement inférieure à sa couverture apparente. L'extension à l'ensemble des effectifs, y compris les fonctions non informatiques et les dirigeants, complète le dispositif à faible coût.
Le contrat d'infogérance ne couvre que partiellement la réversibilité et les engagements de sécurité. Les zones non couvertes, restitution des configurations, délais d'intervention, notification d'incident, reposent alors sur la bonne volonté du prestataire, ce qui devient problématique précisément dans les situations où ces clauses servent. Une revue contractuelle au prochain renouvellement, ou un avenant, ferme cette exposition à coût limité.
Des tiers disposent d'accès permanents au système d'information sans que leur sécurité ait été évaluée avant contractualisation. Chacun de ces accès étend la surface d'attaque vers des environnements que l'entreprise ne contrôle pas, et de nombreuses intrusions documentées transitent par la compromission d'un fournisseur légitime. Le recensement de ces accès, leur limitation au strict nécessaire et leur protection par authentification renforcée constituent les premières mesures, avant l'évaluation formalisée des nouveaux entrants.
L'entreprise traite des données bancaires ou de paiement. Ces données présentent une valeur de revente directe pour les attaquants, ce qui accroît la probabilité de ciblage, et leur compromission engage des obligations spécifiques envers les émetteurs et les schémas de paiement, dont les pénalités contractuelles s'ajoutent aux coûts habituels d'une violation. La conformité aux exigences applicables au traitement des paiements sera vérifiée lors de l'instruction.
Des données sensibles sont traitées sans chiffrement au repos généralisé. En cas de vol de support ou d'exfiltration, ces données seraient immédiatement exploitables, ce qui maximise le coût de notification et d'accompagnement des personnes ainsi que l'exposition réglementaire. Le chiffrement des bases et des sauvegardes constitue l'une des mesures au meilleur effet sur le scénario violation, généralement activable dans les outils existants.
L'entreprise a été visée par une fraude au virement, aboutie ou tentée, au cours des trois dernières années. Cet historique établit que l'entreprise figure dans le champ de tir de ce type d'attaque, généralement parce que ses processus de paiement ou ses informations publiques le permettent. La sous-limite fraude de la future police, fréquemment basse par défaut, doit être négociée au regard de cet antécédent, et la procédure de double validation des paiements devient dans ce contexte une exigence plutôt qu'une recommandation.
Un plan de continuité existe mais n'a pas été testé récemment. Les plans jamais éprouvés échouent presque toujours partiellement le jour venu, sur des détails que seul l'exercice révèle, coordonnées périmées, dépendances oubliées, délais sous-estimés. Un exercice sur table d'une demi-journée suffit à transformer ce document en capacité vérifiable et à en faire un argument de souscription.
Fourchettes indicatives établies à partir de sources publiques et de coefficients prudents, croisant secteur, taille, dépendance au système d'information et réponses du dossier. Elles ne constituent ni une prédiction ni un engagement. Détail des coefficients en annexe méthodologique du PDF.
Perte d'exploitation estimée entre 18 000 € et 22 800 € par jour d'arrêt.
Arrêt de 7 à 21 jours, pour une perte comprise entre 18 000 € et 22 800 € par jour d'après le chiffre d'affaires et la dépendance informatique déclarés, soit entre 126 000 € et 478 800 €. S'y ajouterait une rançon comprise entre 50 000 € et 400 000 € si elle était payée, ce qui arrive dans environ un cas sur quatre. La durée vient de la restauration jamais testée : testée, elle tomberait à 2 à 7 jours. Le coût du jour est calculé sur le chiffre d'affaires, donc par excès.
Selon le volume de personnes concernées.
De 1 000 à 10 000 personnes concernées, la tranche déclarée, avec un coût compris entre 100 € et 180 € par personne, estimation AlgoPolis faute de source publique. L'écart vient surtout de la tranche : un nombre précis de personnes le réduirait d'autant. Sous 10 000 personnes, une part du coût est fixe (expertise, conseil, notification à la CNIL), si bien que la borne basse est la plus fragile des deux.
Fourchette large en l'absence de double validation systématique.
Fourchette identique pour tout dossier sans double validation des virements, estimation AlgoPolis faute de source publique française. Elle ne tient pas encore compte de la taille du cabinet. Ce qui la bornerait : le montant qu'une seule personne peut virer sans seconde signature. La tentative déjà subie dit que le cabinet est visé, pas combien il perdrait.
Constat : l'authentification multifacteur n'est pas généralisée sur la messagerie, les accès distants et les comptes d'administration. Conséquence assurantielle : ce point est traité par la plupart des souscripteurs comme un prérequis dont l'absence dégrade les conditions ou bloque l'assurabilité, les accès compromis constituant le premier vecteur d'intrusion observé. Action recommandée : généraliser le MFA sur les trois surfaces, chantier de quelques jours à coût faible, en privilégiant les méthodes résistantes à l'hameçonnage pour les comptes à privilèges. Effet attendu sur la lecture du dossier : la levée du principal point de blocage du dossier, et un signal de réactivité valorisable dès le premier échange.
Source : Coveware by Veeam, Quarterly Ransomware Reports, T4 2024 à T4 2025 (rançons payées : médianes 110 890 $ à 400 000 $, moyennes 377 000 $ à 1,13 M$ selon les trimestres ; taux de paiement 20 à 26 % ; accès distants compromis, premier vecteur)
Constat : aucune restauration réelle n'a été testée au cours des douze derniers mois. Conséquence assurantielle : la capacité de rétablissement, qui borne la durée d'interruption et donc la perte d'exploitation, demeure déclarative. Action recommandée : réaliser un test de restauration complet d'un serveur ou d'un volume critique, chronométré et documenté. Effet attendu sur la lecture du dossier : un compte rendu de test daté est l'une des pièces les plus convaincantes qu'un dossier PME puisse présenter, car elle est rare et vérifiable.
Source : Sophos, State of Ransomware, 2025 (coût moyen de récupération hors rançon 1,53 M$ ; 53 % des organisations rétablies en moins d'une semaine ; demande médiane 1,32 M$)
Les prérequis du marché sont réunis en partie : les fondamentaux sont partiellement en place mais un ou plusieurs prérequis usuels du marché font défaut. Il est recommandé de traiter les actions prioritaires identifiées dans ce rapport avant la présentation au souscripteur, ou de les présenter accompagnées d'un calendrier d'engagement ferme, faute de quoi elles se traduiront en majorations, franchises augmentées ou exclusions ciblées.
Les formulaires de proposition cyber du marché français convergent sur un socle de questions. Cette section les anticipe : pour chaque thème, la formulation type que vous recevrez, l'état actuel du dossier de votre client, et ce qu'il faut préparer avant de recevoir le questionnaire. L'objectif est double : ne jamais découvrir une question en séance, et éviter les réponses improvisées qui engagent la déclaration du risque.
La question type du formulaire. « L'authentification multifacteur est-elle déployée sur la messagerie, les accès distants et les comptes à privilèges ? Précisez les exceptions. » Cette question figure dans la quasi-totalité des formulaires, souvent en première page, parfois sous forme d'engagement contractuel.
État du dossier. Partiel, avec périmètre des exceptions à préciser (messagerie « Oui, pour tous » ; accès distants « Partiellement » ; comptes administrateurs « Non »).
À préparer. Faire établir par le prestataire la liste exacte des périmètres couverts et des exceptions, avec leur justification. Une réponse « oui » approximative sur ce point est le premier motif de contestation de garantie après sinistre.
Le plan hiérarchise les actions par horizon de réalisation et non par domaine technique. Les coûts sont des ordres de grandeur indicatifs pour une entreprise de la taille concernée, à faire chiffrer précisément par le prestataire ; ils sont qualifiés de prudents au sens de la méthodologie. La colonne d'impact distingue ce qui débloque l'assurabilité de ce qui améliore les conditions : les actions à trente jours lèvent les points bloquants, celles à quatre-vingt-dix jours consolident le dossier, celles à cent quatre-vingts jours préparent le renouvellement dans de meilleures conditions.
Horizon. 30 jours
Action. Activer l'authentification multifacteur sur la messagerie, les accès distants et les comptes d'administration, en traitant les exceptions une par une.
Coût indicatif. Généralement inférieur à 2 000 EUR hors licences déjà détenues ; souvent inclus dans les suites bureautiques en place.
Impact sur l'assurabilité. Débloque l'assurabilité : prérequis quasi universel dont l'absence entraîne refus ou conditions dégradées. Réalisé et attesté, il retire le principal point noir du dossier.
Statut et lecture. Cette section situe le dossier par rapport aux attentes observables du marché : les prérequis récurrents des questionnaires des assureurs et les points d'attention documentés par les publications de place, ANSSI, AMRAE, rapports de courtiers internationaux. Elle est qualitative et sourcée ; elle ne prétend pas à un classement statistique, qu'aucune donnée publique ne permettrait d'établir honnêtement. Elle se conclut par le verdict de plaçabilité repris de l'executive summary.
Seuls les termes réellement employés dans ce rapport figurent ci-dessous.
Authentification multifacteur (MFA). Validation d'une connexion par un second élément en plus du mot de passe, code ou application sur téléphone, clé physique. Neutralise l'essentiel des prises de contrôle de comptes par mot de passe volé.
Bureau à distance (RDP). Fonction permettant de prendre la main sur un ordinateur depuis un autre. Exposée directement sur internet, elle constitue la voie d'intrusion la plus couramment exploitée par les rançongiciels.
VPN. Tunnel chiffré donnant accès au réseau de l'entreprise depuis l'extérieur. Réduit l'exposition des services internes, à condition d'être lui-même protégé par authentification multifacteur et tenu à jour.
Rançongiciel (ransomware). Logiciel malveillant qui chiffre les données et systèmes d'une organisation, assorti d'une demande de rançon, souvent doublée d'un vol de données avec menace de publication.
Hameçonnage (phishing). Message frauduleux imitant un expéditeur légitime pour obtenir un clic, un mot de passe ou un paiement. Premier vecteur initial des incidents.
EDR. Protection des postes et serveurs de génération actuelle, détectant des comportements d'attaque et non seulement des virus connus, généralement supervisée par des analystes.
Supervision de sécurité (SOC). Surveillance continue des journaux et alertes de sécurité, en interne ou externalisée, permettant de détecter une intrusion en cours et de réagir.
Journalisation. Enregistrement centralisé des événements des systèmes. Condition de la détection et de la reconstitution des faits après incident.
Test de restauration. Restauration réelle d'un serveur ou d'un volume depuis les sauvegardes, chronométrée et documentée, qui transforme la sauvegarde d'une promesse en capacité démontrée.
Test d'intrusion. Attaque simulée menée par un prestataire pour identifier les failles exploitables. Sa valeur en souscription dépend du plan de correction qui le suit.
Fraude au virement. Détournement de paiement par usurpation d'un fournisseur ou d'un dirigeant, typiquement via un faux changement de coordonnées bancaires. Se neutralise par contre-appel systématique au numéro déjà connu.
Plan de réponse à incident. Document court fixant les contacts d'urgence, les premiers gestes et l'ordre des notifications en cas d'attaque, conservé accessible hors des systèmes.
Mode dégradé. Capacité à poursuivre une partie de l'activité sans informatique, par des procédures de secours, souvent manuelles. Réduit directement la perte d'exploitation.
Perte d'exploitation. Marge brute perdue du fait de l'interruption ou de la réduction d'activité consécutive à un sinistre. Premier poste du coût d'un incident cyber majeur.
Sous-limite. Plafond spécifique, inférieur à la limite, applicable à une garantie donnée, fraude, restauration de données, carence de fournisseur notamment.
Franchise. Part du sinistre restant à la charge de l'assuré, exprimée en montant (franchise monétaire) ou en durée d'interruption (franchise temporelle) pour la perte d'exploitation.
Carence de fournisseur. Garantie couvrant l'interruption d'activité causée par la défaillance d'un tiers, prestataire informatique, hébergeur cloud, éditeur. Souvent exclue par défaut ou limitée à des fournisseurs nommés.
Exclusion. Clause écartant certains sinistres de la garantie. Les exclusions visant les attaques étatiques et les vulnérabilités non corrigées font l'objet d'une vigilance particulière.
Souscripteur. Professionnel de l'assureur qui apprécie le risque, décide de l'accepter et en fixe les conditions.
Proposant. Entreprise qui sollicite la couverture et dont les déclarations fondent le contrat.
Déclaration du risque. Ensemble des réponses et informations fournies à l'assureur, dont l'exactitude conditionne la validité des garanties.
RGPD. Règlement général sur la protection des données, encadrant le traitement des données personnelles dans l'Union européenne.
Registre des traitements. Document RGPD recensant les traitements de données personnelles de l'organisation, premier document demandé par l'autorité de contrôle en cas de violation.
Violation de données. Compromission de la confidentialité, de l'intégrité ou de la disponibilité de données personnelles, soumise à notification à la CNIL sous 72 heures lorsqu'elle présente un risque.
Chiffrement au repos. Chiffrement des données stockées, rendant inexploitables des données volées sans la clé.
La méthodologie AlgoPolis CRA (Cyber Risk Assessment) structure l'analyse déclarative du risque cyber d'une entreprise à destination des professionnels de l'assurance. Elle est publique, versionnée et datée : la présente version est la v1.0. Tout rapport généré mentionne la version utilisée, de sorte que deux rapports portant la même version et les mêmes réponses sont rigoureusement identiques. La méthodologie n'est ni une norme, ni un référentiel d'audit, ni un dispositif de certification ; elle organise des déclarations selon des règles explicites et traçables.
L'analyse repose exclusivement sur les réponses apportées au questionnaire par le courtier ou, en mode collecte, par l'entreprise cliente elle-même. Aucune vérification technique n'est effectuée. L'exactitude des réponses relève de la responsabilité du déclarant, comme pour tout questionnaire de proposition d'assurance. Le rapport trace la provenance des réponses, saisie directe du courtier ou collecte auprès du client, avec leur date.
Le questionnaire comporte 61 questions réparties en 7 sections : profil de l'entreprise cliente (8 questions, contexte non scoré), gouvernance et organisation cyber (8), sécurité technique (15, dont une de lecture croisée), facteur humain et formation (7), dépendances tierces et supply chain (8), données traitées et conformité (8), historique d'incidents et couvertures existantes (7). Les types de réponse sont exclusivement fermés : choix simples, échelles, listes et multi-sélections. Six questions sont conditionnelles. L'option « ne sait pas » est toujours proposée et toujours pénalisante dans le scoring, l'incapacité à répondre étant en soi un signal de maturité. Une exception : la question de lecture croisée Q3.15, sur la protection du domaine contre l'usurpation (DMARC), n'entre ni dans le score ni dans le taux de « ne sait pas ». Elle sert à confronter la déclaration à ce qui se lit de l'extérieur, l'enregistrement DMARC étant public.
Chaque réponse porte un score de 0 à 100 défini par option. Chaque question porte une pondération intra-section de 1 à 3 selon son pouvoir discriminant pour la souscription. Le score de section est la moyenne pondérée des questions renseignées et visibles. Le score global pondère les sections ainsi : gouvernance 15 %, sécurité technique 30 %, facteur humain 15 %, dépendances tierces 15 %, données et conformité 10 %, historique et couvertures 15 %. La section profil n'est pas scorée : elle paramètre le contexte, les règles et l'exposition financière.
Quatorze règles de combinaison détectent des configurations dont la gravité excède la somme de leurs composantes, par exemple l'exposition d'accès distants sans authentification multifacteur en secteur santé, ou l'absence conjointe de sauvegardes résilientes et de plan de réponse. Chaque règle porte une justification assurantielle publiée. Les règles peuvent appliquer un malus au score global ; le cumul de ces malus est plafonné à 10 points afin d'éviter le double comptage avec le scoring de base, les configurations les plus graves étant traitées par les red flags plutôt que par le score.
Certaines configurations produisent un signalement bloquant en tête d'executive summary : absence totale de sauvegardes, accès de type bureau à distance exposés sans authentification multifacteur, systèmes obsolètes non isolés sur réseau non segmenté, incident significatif récent sans mesures correctives, combinaison accès distants non protégés et secteur santé, et taux de « ne sait pas » supérieur à 40 % sur les sections techniques. Chaque red flag est accompagné des trois actions correctives prioritaires avant présentation au souscripteur.
Le taux de réponses « ne sait pas » est mesuré sur les sections sécurité technique, facteur humain et dépendances tierces. Au-delà de 30 %, une réserve de fiabilité figure en executive summary. Au-delà de 40 %, un red flag est émis, le dossier est qualifié de non présentable en l'état et la génération de l'Annexe technique est bloquée jusqu'à complément de collecte.
Le rapport est assemblé par un moteur de règles déterministe à partir d'une bibliothèque de blocs rédigés à l'avance, chacun portant un identifiant, des conditions d'activation, un niveau (information, attention, alerte) et, le cas échéant, ses sources. Des exclusions mutuelles empêchent la coexistence de blocs contradictoires dans un même rapport. Un mode de traçabilité permet d'afficher, pour chaque bloc inséré, la règle et les réponses qui l'ont déclenché.
L'exposition est exprimée exclusivement en fourchettes, jamais en point unique, sur trois scénarios : rançongiciel avec interruption d'activité, violation de données, fraude au virement. Les coefficients croisent secteur, taille, dépendance au système d'information et réponses du dossier. Chaque coefficient porte sa source et son millésime, publiés en annexe du rapport ; lorsque aucune source publique n'offre la granularité nécessaire, la fourchette est élargie et explicitement qualifiée d'estimation prudente. Aucune statistique n'est inventée.
Le rapport conclut par l'un de trois positionnements sur les prérequis du marché : réunis, si le score global atteint 70 sans aucun red flag ; non réunis en l'état, dès qu'au moins un red flag est actif ; réunis en partie dans les autres cas, avec la liste des réserves. Ce positionnement qualifie la présentabilité du dossier au regard des attentes observables du marché ; la décision de souscription appartient exclusivement au souscripteur.
Les sources d'exposition financière font l'objet d'une révision annuelle à parution des nouveaux millésimes, entraînant l'incrémentation de la version de la méthodologie. Toute modification des pondérations, des règles ou des seuils entraîne également une nouvelle version. Les versions antérieures restent consultables, et chaque rapport reste interprétable au regard de la version qu'il mentionne.
L'analyse est déclarative et instantanée : elle photographie des réponses à une date donnée, sans vérification technique ni suivi dans le temps. Les fourchettes financières croisent des sources de périmètres hétérogènes, mondial, américain et français, et ne constituent pas une prédiction. La méthodologie ne se substitue ni à un audit de sécurité, ni au questionnaire propre de l'assureur, ni au devoir de conseil du distributeur d'assurance envers son client.
Le présent document est un outil d'aide à l'analyse destiné aux professionnels de l'assurance. Il est généré de façon déterministe selon la méthodologie publique AlgoPolis CRA v1.0, à partir des seules déclarations du proposant ou de son courtier, sans vérification technique. Il ne constitue ni un conseil en assurance au sens de la réglementation sur la distribution d'assurances, ni une recommandation personnalisée destinée à un assuré final, ni un audit de sécurité, ni une évaluation de conformité, ni une garantie d'assurabilité. Il ne se substitue ni au questionnaire propre de l'assureur, ni au devoir de conseil du courtier envers son client. Les scores, verdicts et signalements expriment la présentabilité du dossier au regard des attentes observables du marché et n'engagent pas AlgoPolis. Les fourchettes financières sont des estimations indicatives fondées sur des sources publiques citées en annexe, avec leur millésime ; elles ne constituent ni une prédiction, ni un engagement, ni une base contractuelle. La décision de souscription et la fixation des conditions appartiennent exclusivement au souscripteur. L'exactitude des déclarations relève de la responsabilité du déclarant ; toute déclaration inexacte peut affecter la validité des garanties souscrites sur son fondement. AlgoPolis ne saurait être tenue responsable des décisions prises sur la base du présent document.
Protection des données. Les réponses saisies dans le questionnaire sont traitées dans votre navigateur : elles ne sont ni stockées, ni journalisées, ni transmises à des tiers par AlgoPolis, et aucun témoin de connexion n'est associé aux données de votre client. La sauvegarde et la reprise s'effectuent exclusivement par un fichier que vous exportez et conservez sous votre responsabilité. Lors de la génération d'un rapport payant, les réponses sont transmises de façon chiffrée à une fonction d'assemblage qui les traite en mémoire, sans stockage ni journalisation, et n'en conserve qu'une empreinte cryptographique associée à votre numéro de dossier, laquelle ne permet de reconstituer aucune donnée. Le nom du client final et le logo du cabinet, s'ils sont fournis, sont insérés localement dans le document et ne participent à aucun calcul. En qualité de professionnel, vous demeurez responsable du traitement des données de votre client que vous saisissez, exportez ou transmettez, ainsi que du rapport généré. Pour toute question : le contact indiqué dans les mentions légales du site algopolis.eu.
Provenance des réponses. Le présent rapport trace, section par section, l'origine des réponses : collectées auprès de l'entreprise cliente via le formulaire de collecte, ou renseignées et le cas échéant modifiées par le cabinet de courtage, avec leur date. Toute divergence ultérieure entre ces réponses et les déclarations faites à l'assureur doit être résolue par retour à la source avant signature.
Vous venez de lire 20 blocs sur les 62 que compte ce rapport. Les 42 autres suivent la même forme, dans les mêmes sections, et ne sont pas publiés sur cette page.
| Section | Publiés | Au total |
|---|---|---|
| Gouvernance et organisation cyber | 2 | 3 |
| Sécurité technique | 2 | 7 |
| Facteur humain et formation | 2 | 2 |
| Dépendances tierces et supply chain | 2 | 4 |
| Données traitées et conformité | 2 | 4 |
| Historique d'incidents et couvertures existantes | 2 | 3 |
| Remédiation prioritaire | 2 | 6 |
| Positionnement du dossier | 1 | 1 |
| Questions techniques à préparer | 2 | 14 |
| Plan de remédiation 30, 90 et 180 jours | 2 | 9 |
| Positionnement face aux attentes du marché | 1 | 9 |
L'outil pose jusqu'à 61 questions fermées, dont 55 toujours et 6 selon une réponse précédente, puis assemble le rapport dont vous venez de lire un extrait à partir des réponses de votre client. Le questionnaire se remplit en une vingtaine de minutes, et le document sort en entier, en français ou en anglais.
Voir l'Espace Pro