L’assurance cyber est un maillon de la chaîne de valeur de la cybersécurité

Les attaques cyber dont sont régulièrement victimes les entreprises françaises et internationales et tout récemment la paralysie de la ville de Baltimore illustrent bien l’intensité et la gravité de la menace cyber… Institutions, entreprises de toutes tailles et de tous les secteurs industriels… Les cibles des attaques sont plurielles. Pourtant, peu d’entreprises sont aujourd’hui parfaitement préparées à faire face à cette menace diffuse qui pèse sur l’intégrité de leurs systèmes d’information et la protection de leurs données.

Le risque cyber est un défi majeur pour lequel il est indispensable d’apporter des réponses efficaces. C’est justement l’objectif que se fixe la Paris Cyber Week 2019. Cet événement, organisé les 5 et 6 juin 2019, rassemble pour la première fois tous les acteurs concernés (publics, privés, représentants européens…) dans le but de faire émerger une vision cyber commune de la transformation numérique sécurisée de nos sociétés.

Un risque cyber singulier

Pierre Bessé, président de Bessé, est intervenu, aux côtés de Mariya Gabriel, commissaire européenne chargée de l’Économie et de la Société numériques, et de Sébastien Garnault, fondateur de la Paris Cyber Week, pour présenter les enjeux cyber et les dispositifs à mettre en place pour permettre aux entreprises de se protéger efficacement de la menace cyber…

Selon lui, « Le risque cyber est singulier. Il appartient à une nouvelle génération de risques qui peut affecter l’entreprise dans sa globalité, dont la complexité est extrême et les caractéristiques diamétralement opposées à celles du risque industriel. »

En voici les trois caractéristiques principales :

• Alors que le risque industriel est principalement d’origine accidentel, le risque cyber est principalement d’origine malveillante.
• Le risque cyber est « évolutif » tandis que le risque industriel est stable : nous ne pouvons anticiper aujourd’hui ce que seront demain ses origines et ses conséquences.
• Le risque cyber est systémique à l’inverse du risque industriel qui est cantonné : il s’agit sans doute du seul risque à pouvoir toucher la totalité du bilan d’une entreprise en une seule occurrence.

Favoriser la prise de conscience…

Le risque cyber correspond à la plus importante menace à laquelle une entreprise peut aujourd’hui se retrouver confrontée. La vulnérabilité des infrastructures s’accroît à mesure que la digitalisation se développe. Les entreprises disposent donc de nombreux points vitaux potentiellement exposés aux risques cyber.

« Bien que la perception du risque cyber continue de progresser, encore trop peu d’entreprises se sentent véritablement menacées. Bien souvent, elles ne se considèrent pas comme des cibles potentielles ou limitent leur vision du risque à la seule dimension technique des systèmes d’information. Les dirigeants n’ont semble-t-il pas encore tous pris conscience de la dimension stratégique de ce risque pour leurs entreprises. Il est donc essentiel de communiquer sur ses enjeux et ses conséquences. Le risque zéro n’existe pas. Les entreprises sont toutes vulnérables », précise Jean-Philippe Pagès, Directeur du pôle Industrie & Services de Bessé.

Grâce à l’accompagnement délivré par Bessé, l’entreprise Faurecia a pu mettre en œuvre l’ensemble des leviers lui permettant de se prémunir contre le risque cyber :

« L’élément déclencheur de notre prise de conscience face au risque cyber découle d’un double constat : celui d’une montée de ces risques, reflétée par la parution dans la presse de cas d’attaques avérées ayant entraîné de sévères conséquences pour les sociétés attaquées, et celui d’une vulnérabilité accrue de nos systèmes d’exploitation de la supply chain industrielle, en raison de leur centralisation », ajoute Michel Josset, Responsable Assurances groupe, contrôle des risques et Immobilier au sein de Faurecia.

Le transfert du risque résiduel au marché de l’assurance

L’assurance est un maillon de la chaîne de valeur de la sécurité. C’est celui du traitement du risque résiduel c’est-à-dire de l’indemnisation des préjudices subis en cas de crise.

« Grâce à notre conseil Bessé, il nous a été possible de mettre en place et de déployer notre politique de sécurité. Les échanges avec des spécialistes du risque cyber comme avec de nombreux assureurs rencontrés par l’intermédiaire de Bessé, nous ont permis d’avoir un regard extérieur et d’enrichir notre réflexion, notamment sur la protection de nos sites industriels et sur les enjeux de carence fournisseurs », déclare François Ink, Head of Aperam Group Credit, Insuranceand Risk Management.

Co-construire ensemble la cyber-résilience

Au-delà des aspects assurantiels et financiers, c’est véritablement sur l’humain que repose cet enjeu majeur pour les entreprises.

« L’assurance est un maillon de la chaîne de valeur de la cybersécurité. Être cyber-résilient nécessite de gérer tous les maillons de cette chaîne de valeur :structurer la gouvernance du risque, mettre en œuvre une prévention adaptée, disposer des outils de protection efficaces, lancer des actions managériales adaptées pour sensibiliser et former les équipes…

Mais si toutes ces actions sont nécessaires et indispensables, elles ne sont pas suffisantes. Il convient, selon nous, en plus de cela, de réunir les conditions d’un dialogue entre pairs de confiance, entre dirigeants, entre Public et Privé, afin de favoriser les échanges, le partage d’expérience et diffuser les bonnes pratiques. C’est la raison pour laquelle, nous soutenons l’Appel de Paris pour la confiance et la sécurité du cyberespace et participons à la Paris Cyber Week », conclut Jean-Philippe Pagès.