Catégories
Votre courtier vous annonce une hausse de 40% de votre prime cyber "parce que vous n'avez pas de politique de sécurité documentée."
Pourtant, vous changez vos mots de passe, vous avez un antivirus, Jean de l'IT surveille tout ! Le problème : vous n’avez aucune preuve de ce que vous faites pour renforcer la cybersécurité de votre entreprise.
Dans le monde des assurances, ce qui n'est pas écrit n'existe pas. Voici comment transformer vos bonnes pratiques de PME en arguments qui font baisser votre prime.
Décryptons le langage codé du questionnaire cyber :
"Avez-vous un RSSI ?" L'assureur cherche à savoir si quelqu'un s'occupe sérieusement de la sécurité. Si vous avez une personne désignée pour prendre en charge le parc IT, ça compte.
"Vos données sont-elles sauvegardées ?" Êtes-vous capable de survivre à un ransomware (rançongiciel), comment géreriez-vous cette situation ? Si vous avez mis en place un Google Drive ainsi qu'une sauvegarde de Jean le vendredi, c'est déjà ça.
"Organisez-vous des formations de sensibilisation ?" Vos collaborateurs ont-ils les bons réflexes face à des demandes bizarres reçues par email ? Mettre en garde contre les tentatives de fraudes, communiquer en interne pour informer sur la bonne pratique à apporter en réponse c'est de la sensibilisation.
Pourquoi ces interrogations ? Le coût moyen d'une cyberattaque pour une PME : 165 000€.
60% des PME victimes d’une cyberattaque ferment dans les 6 mois.
Face à ces chiffres, les assureurs préfèrent prévenir que payer.
Vous avez déjà mis en place plusieurs actions positives, il vous faut désormais bien les présenter :
Si Jean s'occupe de la sécurité IT, présentez-le comme le "Référent cybersécurité désigné qui supervise nos mesures de protection".
Si vous mettez tout sur Dropbox et que Jean s’occupe de faire une copie sur disque dur de façon récurrente, dites : "Sauvegarde cloud chiffrée quotidienne et réplication physique déconnectée".
Vous pouvez le décliner pour toutes vos actions :
- Mises à jour automatiques : "gestion proactive des vulnérabilités".
- Antivirus partout : "protection endpoint sur 100% du parc".
- WiFi invité séparé : “segmentation réseau appliquée".
- Mots de passe par défaut changés : "durcissement des configurations".
Avec votre dossier en poche, vous voilà armé pour négocier.
"Nous ne stockons pas de données sensibles" Si votre activité ne brasse pas de données bancaires, médicales ou personnelles critiques, mettez-le en avant. Un garage automobile n'a pas le même profil de risque qu'un cabinet médical.
"Notre secteur est peu exposé" Certaines activités (BTP, transport, industrie traditionnelle) sont statistiquement moins ciblées que les services financiers ou la tech.
"Nos données critiques sont externalisées" Si votre comptabilité est chez l'expert-comptable et votre CRM dans le cloud, vous transférez une partie du risque à des tiers mieux protégés que vous.
"Nos pratiques suivent les recommandations ANSSI pour les PME" L'Agence Nationale de la Sécurité des Systèmes d'Information a publié un guide spécifique aux PME. Si vous appliquez ne serait-ce que la moitié de leurs conseils, dites-le.
"Nous sommes alignés sur les standards de notre profession." Si votre syndicat professionnel ou votre fédération a édité des bonnes pratiques cyber, mentionnez-le.
Si votre prime dépasse 5 000€/an, il peut être rentable de faire auditer votre sécurité par un expert. Comptez 2 à 5 jours de conseil pour une PME, soit 3 000 à 8 000€. Si ça vous fait économiser 20% sur votre prime pendant 3 ans, c'est un investissement qui se justifie.
Votre assureur n'est pas votre ennemi. Il cherche juste à évaluer si vous êtes un "bon risque" ou si vous allez lui coûter cher. En documentant vos pratiques et en montrant que vous prenez la sécurité au sérieux (même avec des moyens de PME), vous lui facilitez le travail.
Et surtout, n'oubliez pas : ce travail de documentation ne sert pas qu'à négocier votre prime. Il vous oblige à faire le point sur votre sécurité, à identifier vos points faibles et à progresser. Au final, tout le monde y gagne : vous payez moins cher, l'assureur risque moins, et vos données sont mieux protégées.
