COVID-19 : Prochaines étapes pour votre cyberassurance

Les entreprises sont confrontées à de plus en plus de défis liés aux cyberrisques alors que la COVID-19 continue de se propager et que des activités essentielles sont souvent perturbées ou doivent être modifiées.

Il est essentiel que les entreprises continuent de faire de la cybersécurité une priorité lorsqu’elles répondent à des besoins commerciaux urgents et changeants. L’un des aspects de ce processus est de comprendre les conséquences sur la cyberassurance.

Les professionnels du risque doivent travailler avec leurs conseillers en assurance pour examiner attentivement le libellé de leur police de cyberassurance. Ils doivent également se tenir au courant de tous les services d’intervention en cas d’incident offerts en vertu de leurs polices et savoir comment les utiliser au mieux en cas d’incident.

Couverture de la police

Comme de nombreuses entreprises sont déjà en gestion de crise, les services d’intervention en cas d’incident sont plus essentiels que jamais. Vous devriez consulter votre conseiller en cyberassurance pour vous assurer de comprendre ce qui suit :

• Comment accéder à votre garantie d’intervention en cas d’incident? Faut-il appeler une ligne directe ou faire le signalement par l’intermédiaire de votre conseiller?
• Un groupe d’experts judiciaires approuvé au préalable est-il disponible pour aider à enquêter sur un incident? Votre équipe de sécurité de l’information est-elle au courant de cet avantage?
• En cas d’incident lié aux rançongiciels, votre police de cyberassurance inclut-elle une garantie pour le résoudre? Votre assureur donne-t-il accès à un tiers qui peut faciliter le paiement d’une rançon rapidement, au besoin?
• Y a-t-il des modalités de la police à respecter pour vous assurer que la protection s’applique? Par exemple, une approbation préalable est-elle requise avant d’engager des frais judiciaires?

Préparation du renouvellement

Les assureurs de tous les secteurs d’activité sont préoccupés par les répercussions de la pandémie sur les risques qu’ils assurent et les pertes qu’ils pourraient subir.

Pour ce qui est de la cyberassurance, les entreprises doivent s’attendre à ce que les souscripteurs examinent de façon plus détaillée la résilience globale des entreprises afin de déterminer comment elles composent avec les surfaces d’attaques élargies découlant des travailleurs et des autres utilisateurs à distance.  Les souscripteurs voudront également examiner comment l’augmentation de la dépendance à la technologie pourrait toucher la capacité des entreprises à réagir aux perturbations dans leurs propres activités ainsi que dans leurs chaînes d’approvisionnement étendues. 

Les organisations doivent s’attendre à recevoir des questions de la part des assureurs sur une partie ou sur la totalité des sujets suivants :

• Toute défaillance financière attendue et découlant de la pandémie qui pourrait avoir une incidence sur les investissements en cybersécurité ou en technologie;
• Les politiques sur le travail à domicile; soyez prêt à expliquer tout relâchement des politiques habituelles de cybersécurité et de confidentialité pendant cette période sans précédent;
• Le déploiement et la gestion des appareils personnels par rapport aux appareils appartenant à l’entreprise, particulièrement en ce qui concerne les solutions de gestion des appareils mobiles;   
• L’activation de l’authentification à facteurs multiples et l’obligation de l’utiliser pour les employés et les autres utilisateurs pour accéder aux systèmes de l’entreprise;
• Les méthodes de sécurisation de l’accès par l’intermédiaire de réseaux privés virtuels et d’autres protocoles sécurisés d’accès à distance, notamment :  
  
  
  • La formation des employés et des utilisateurs sur l’utilisation du Wi-Fi public et domestique pour les communications d’entreprise;
  • La désactivation des ports USB, ce qui limite le risque de fuite de données dans un environnement de travail à domicile;  
  • Les directives fournies aux employés et aux utilisateurs sur la sécurisation des connexions, le partage de renseignements confidentiels sur des appareils personnels ou l’utilisation, le stockage et l’élimination appropriés des renseignements confidentiels imprimés;
• Toute formation additionnelle sur l’hameçonnage ou toute activité semblable de sensibilisation aux cyberrisques;
• Établissement d’une politique ou d’une procédure ayant fait l’objet d’une évaluation juridique sur les données personnelles concernant les employés ou les clients atteints de la COVID-19;
• Existence d’un plan de continuité des activités désigné pour la sécurité des TI. Est-il en cours de mise en œuvre? Et quel est son effet sur ceux des fournisseurs et des fournisseurs critiques de l’entreprise?

Le Groupe d’expertise sur les cyberrisques de Marsh est bien positionné pour vous aider à passer en revue votre garantie dans le cadre de vos plans d’intervention en cas d’incident et pour vous aider à préparer les bons renseignements à la lumière des demandes changeantes ou nouvelles des assureurs.