Une PME qui demande une soumission en cyberassurance reçoit, avant tout prix, un questionnaire. Beaucoup de dirigeants le remplissent comme une formalité, en cochant « oui » partout où la réponse semble raisonnable. C'est dommage. Ce formulaire est la meilleure liste de contrôles de sécurité qu'une petite entreprise puisse obtenir gratuitement : il est écrit par des gens qui paient les sinistres, et chaque question y figure parce qu'une mauvaise réponse leur a déjà coûté cher. Nos services web en couvrent une partie, pas le tout.
Nous avons lu les propositions canadiennes que quatre assureurs laissent en ligne (CFC, Coalition, Beazley et Chubb), le guide du Bureau d'assurance du Canada (BAC) et les contrôles de base du Centre canadien pour la cybersécurité. Aucune recommandation d'assureur ni montant de prime ici : le questionnaire se lit comme un plan de travail, et chaque case cochée vous engage en droit québécois.
La réponse courte, pour les pressés
Avant de couvrir une PME, un assureur cyber lui fait remplir une proposition dont les questions forment, en pratique, une liste de contrôles de sécurité. Les formulaires canadiens publiés par CFC, Coalition, Beazley et Chubb reviennent aux mêmes points : authentification multifacteur sur les courriels, les accès à distance et les comptes d'administration; sauvegardes gardées hors ligne ou hors du réseau, et restaurations testées; correctifs appliqués dans un délai connu; protection des postes; formation du personnel; plan d'intervention; validation des virements par un second canal; incidents des trois dernières années. Au Québec, chaque réponse est une déclaration régie par le Code civil. Une réponse inexacte faite de bonne foi réduit l'indemnité dans le rapport entre la prime payée et celle qui aurait dû l'être (article 2411). Faite de mauvaise foi, ou sur un point qui aurait fait refuser le risque, elle permet à l'assureur de demander l'annulation du contrat (article 2410). Répondez sur ce qui est en place aujourd'hui, pas sur ce qui est prévu.
Ce que les formulaires publiés demandent vraiment
Une précision : les formulaires laissés en ligne datent de 2018 à 2022, et celui que votre courtier vous fera remplir peut différer.
La proposition canadienne de CFC tient ses « questions de risque de base » en trois lignes. L'authentification multifacteur est-elle toujours activée sur tous les comptes de courriel? Faites-vous chaque jour des sauvegardes hors ligne de toutes vos données essentielles? Une partie de votre informatique est-elle confiée à des fournisseurs, et lesquels (jusqu'à dix)? Suivent les incidents des trois dernières années, et ceux qui ont coûté plus de 10 000 $.
Le questionnaire canadien de Coalition (mai 2022) ajoute l'authentification multifacteur sur l'accès à distance et les comptes d'administration, des sauvegardes au moins hebdomadaires gardées hors ligne ou sur un réseau séparé, le chiffrement des ordinateurs portables, et une question que peu de PME attendent : exigez-vous un second moyen de communication pour valider une demande de virement de plus de 25 000 $?
À l'autre bout, la proposition canadienne de Beazley consacre une trentaine de questions aux seuls rançongiciels, et celle de Chubb, plus détaillée encore, demande le nom de votre hébergeur web et si vous utilisez des logiciels dont le fabricant a cessé le soutien. Le guide du BAC ajoute ce que vous conservez (numéros de carte, d'assurance sociale, renseignements de santé) et en quelle quantité, avec un conseil simple : collectez moins.
Formulaire court ou long, le noyau est le même.
Chaque « oui » est une déclaration au sens du Code civil
Au Québec, la proposition signée engage. L'article 2408 du Code civil oblige le preneur à déclarer toutes les circonstances connues de lui qui sont de nature à influencer de façon importante l'assureur dans l'établissement de la prime, l'appréciation du risque ou la décision de l'accepter. L'article 2409 fixe le niveau attendu : les déclarations d'« un assuré normalement prévoyant », sans réticence importante, et conformes en substance à la réalité.
En assurance de dommages, catégorie dont relève une police cyber, une fausse déclaration faite de bonne foi ne fait pas tomber le contrat : l'assureur paie une indemnité réduite, dans le rapport entre la prime perçue et celle qu'il aurait dû percevoir (article 2411). Mais si la mauvaise foi est établie, ou s'il démontre qu'il n'aurait pas accepté le risque en connaissant la vérité, il peut faire annuler le contrat (article 2410). Or quand un assureur place l'authentification multifacteur parmi ses trois questions de base, il vous dit à quel point elle pèse dans sa décision.
Deux autres articles jouent après la signature. Si la police transforme une réponse en engagement formel, un manquement qui aggrave le risque suspend la garantie jusqu'à ce que vous le corrigiez (article 2412). Et une circonstance qui aggrave le risque par vos propres gestes doit être déclarée promptement (article 2466).
Le piège concret, c'est le mot « tous ». CFC demande l'authentification multifacteur sur tous les comptes de courriel. La boîte facturation@ partagée, sans second facteur parce que c'est plus simple, rend le « oui » inexact. Un « non » accompagné d'une explication vaut mieux qu'un « oui » approximatif, et Beazley prévoit d'ailleurs une section de commentaires pour ça. Dernier réflexe : l'article 2400 oblige l'assureur à vous remettre une copie de votre proposition écrite. Gardez-la avec la police : c'est la liste de ce que vous avez promis.
Les quatre chantiers qui reviennent partout
L'authentification multifacteur. Courriel, accès à distance, comptes d'administration : Coalition demande les trois, CFC le courriel, Beazley le courriel et les comptes à privilèges. Beazley précise la question qui fâche : vos employés peuvent-ils lire leurs courriels dans un navigateur, sur un appareil personnel, et le second facteur est-il alors exigé? Dans une PME, les trous sont rarement chez le patron : plutôt dans la boîte partagée, dans le compte d'un ancien sous-traitant ou chez le registraire du domaine.
Les sauvegardes. CFC veut des copies quotidiennes hors ligne; Coalition, des copies au moins hebdomadaires hors ligne ou sur un réseau séparé. Beazley va plus loin : sauvegardes chiffrées, accès protégé par un second facteur et réservé à des comptes dédiés, restauration testée dans les six derniers mois, intégrité vérifiée avant de restaurer. Elle demande aussi si vous utilisez Dropbox, OneDrive, SharePoint ou Google Drive comme sauvegarde. La question est là parce qu'un service de synchronisation recopie les modifications de vos fichiers, y compris celles d'un rançongiciel. Le test de restauration est détaillé dans notre article sur la sécurité d'un site web de PME.
Les correctifs et les postes. Beazley demande en combien de temps vous installez un correctif critique, si vos employés ont les droits d'administrateur sur leur portable, et si un outil de détection et de réponse surveille vos appareils. Le Centre pour la cybersécurité propose aux petites organisations la réponse la plus simple : les correctifs automatiques partout et, pour ce qui ne les accepte pas, le remplacement ou une mise à jour manuelle régulière (BC.2.1 et BC.2.2).
Les virements. Coalition exige un second canal au-delà de 25 000 $. Beazley demande si tout changement de coordonnées d'un fournisseur est confirmé par un appel au numéro que ce fournisseur vous avait donné avant la demande, et si les personnes qui font les virements sont formées à la fraude. La mécanique est décrite dans notre article sur les 72 premières heures d'un rançongiciel; former vos employés figure d'ailleurs dans la liste de CFC.
La couche web : ce que votre domaine dit de vous
Plusieurs questions visent directement le site et le domaine. Coalition demande le ou les domaines de votre site. Chubb demande qui héberge votre site et si vous évaluez les vulnérabilités de vos sites publics. La liste de contrôles de CFC comprend DMARC et le pare-feu applicatif web, et Beazley demande si vous appliquez strictement SPF aux courriels entrants. Le Centre canadien pour la cybersécurité recommande DMARC sur tous vos services de courriel (contrôle BC.9.7).
Détail qui compte : un enregistrement DMARC est public. N'importe qui peut vérifier en quelques secondes si le « oui » de votre proposition est vrai. Si la question vous semble obscure, notre article sur SPF, DKIM et DMARC l'explique une fois pour toutes.
C'est la partie que nous prenons en charge : mises à jour du site, sauvegardes hors du serveur, HTTPS, second facteur sur les comptes d'hébergement, de registraire et du site, enregistrements de courriel en ordre. Le reste du formulaire (postes, messagerie de l'équipe, accès à distance, virements) relève de votre informatique générale, et l'assureur ne fera pas la différence.
Ce que la police couvre, et les clauses à lire avant de signer
Le BAC distingue la police cyber autonome, qu'il présente comme l'option la plus complète au Canada, de la couverture cyber glissée dans une police de biens ou de responsabilité, souvent avec des limites basses, et de l'avenant. Les postes couverts (enquête, avis, restauration, extorsion) sont résumés dans notre article sur les rançongiciels. Et la couverture varie d'un assureur à l'autre : c'est le libellé qui compte.
Trois clauses méritent une lecture attentive. D'abord, les circonstances connues : Chubb, Beazley et Coalition vous font déclarer tout fait qui pourrait mener à une réclamation, et le formulaire de Chubb les exclut de la couverture : une intrusion soupçonnée et tue ne serait pas couverte. Ensuite, la date de rétroactivité : selon l'avis en tête du formulaire de Chubb, le volet responsabilité couvre les réclamations présentées pendant la période d'assurance pour des incidents survenus après cette date. Enfin, les intervenants : selon le guide du BAC, l'assureur peut vous diriger vers ses experts approuvés, ou exiger que vous y fassiez appel. Le jour J, votre premier appel va donc à l'assureur, avant votre technicien habituel.
Acheter ou non : la position du Centre pour la cybersécurité
Le Centre canadien pour la cybersécurité tranche à sa façon : son contrôle BC.1.3 recommande d'envisager une police qui couvre l'intervention et la reprise des activités, ou de consigner les raisons de ne pas en prendre. Le BAC constate de son côté que les PME restent vulnérables et sous-assurées, dans un marché qui se stabilise en partie grâce à une souscription plus rigoureuse.
Le questionnaire est utile même si vous n'achetez rien. Remplissez-le pour vous-même, honnêtement, puis corrigez les « non ». Chubb et Beazley demandent aussi si votre plan d'intervention a été testé : si vous n'en avez pas, notre guide sur la procédure en cas d'incident de confidentialité en donne la structure.
Par où commencer
Répondez d'abord aux trois questions de base de CFC, avec le mot « tous » en tête. Dressez la liste de vos fournisseurs informatiques essentiels. Vérifiez le second facteur chez votre registraire et votre hébergeur, et testez une restauration. Ensuite seulement, appelez un courtier en assurance de dommages : vous arriverez avec des réponses vraies, et le prix se discutera sur des faits.
→ Parlons de la couche web de votre questionnaire
Ce texte vulgarise le fonctionnement d'une proposition d'assurance pour aider une PME à poser les bonnes questions; il ne constitue ni un avis juridique ni un conseil en assurance. Les formulaires cités sont des exemples publiés par leurs assureurs, pas des recommandations. Le texte de votre police et le Code civil du Québec font foi : pour votre situation, consultez un courtier en assurance de dommages et, au besoin, un juriste.
Écrit parXavier Peich