Comment les organisations passent-elles d’une approche réactive à une approche préventive face aux cyberincidents?

À mesure que les cybermenaces gagnent en sophistication, la cyberassurance évolue au-delà de la simple remise en état pour aider les organisations à identifier leurs vulnérabilités, à renforcer leur cybersécurité et à réduire la probabilité et l’impact des cyberincidents.

Traditionnellement, la cyberassurance visait essentiellement à aider les organisations à rétablir leurs activités à la suite d’un incident. Or, bien que cela demeure une fonction essentielle de l’assurance des entreprises, les organisations ont aussi besoin d’assureurs aptes à les aider à prévenir les cyberincidents et à renforcer leur résilience en la matière.

« La cybersécurité n’est plus qu’un défi d’ordre informatique, mais bien un enjeu fondamental de résilience pour l’entreprise, indique Sue Elliott, spécialiste principale en cyberrisques au sein de l’équipe de gestion des risques chez Souveraine Assurance. Les risques auxquels font face les organisations de nos jours sont plus complexes, plus interreliés et plus perturbateurs que jamais. Voilà pourquoi il est désormais essentiel d’en assurer la gestion proactive. »

Les organisations évoluent dans des environnements de plus en plus interconnectés, misant sur des fournisseurs de services d’infonuagique et de technologies, des chaînes d’approvisionnement et des infrastructures critiques pour assurer la continuité de leurs activités. Une perturbation touchant ne serait-ce qu’une partie de ce réseau peut rapidement avoir des répercussions plus importantes. Les cybermenaces gagnent aussi en fréquence et en gravité, tandis que la hausse des coûts liés aux interruptions des activités, des exigences réglementaires et des frais de reprise continue d’accroître l’impact financier des sinistres. 

Par conséquent, selon M^me Elliott, les assureurs cyber deviennent des partenaires stratégiques en matière de gestion des risques, en associant une protection financière à des initiatives proactives d’évaluation des risques, de prévention et de renforcement de la résilience qui viennent aider les organisations à consolider la poursuite de leurs activités et à naviguer dans un paysage de risques de plus en plus incertain.

Vulnérabilités courantes

De nombreuses organisations perçoivent la cybersécurité strictement comme étant un défi d’ordre technologique, mais la majorité des cyberincidents émanent d’enjeux relevant du facteur humain, des processus et de la gouvernance, selon M^me Elliott.  

« C’est souvent une combinaison de problèmes de contrôle fondamentaux qui conduit à des cybersinistres, plutôt qu’une seule vulnérabilité », précise-t-elle.
La faiblesse des contrôles de gestion des identités et des accès, l’utilisation irrégulière de l’authentification multifactorielle, les retards dans l’application des correctifs logiciels, la sensibilisation limitée des employés à l'hameçonnage et à l’ingénierie sociale, les risques croissants liés aux tiers et à la chaîne d’approvisionnement, ainsi que l’absence de plans d’intervention éprouvés en cas d’incident, demeurent parmi les cybervulnérabilités les plus courantes que négligent les organisations. 

Les organisations qui mettent en place et testent régulièrement des plans d'intervention en cas d'incident sont généralement mieux préparées à contenir les menaces, à coordonner les efforts de reprise et à rétablir efficacement leurs opérations, ce qui contribue à réduire les interruptions d’activité, les pertes financières et les atteintes à la réputation, explique M^me Elliott.

« Une cybersécurité efficace nécessite une approche holistique qui transcende la technologie et prend en compte les personnes, les processus et les structures de gouvernance qui sous-tendent la posture de sécurité globale d’une organisation », ajoute-t-elle.

Pallier les lacunes

Les évaluations des cyberrisques aident les organisations à repérer, évaluer et hiérarchiser les menaces avant qu’elles ne se transforment en incidents. Ce processus permet aux entreprises de mieux comprendre leur exposition aux cyberrisques tout en contribuant à aligner les contrôles de sécurité sur les objectifs organisationnels, les exigences réglementaires et un paysage des menaces en constante évolution, explique M^me Elliott.

L’approche de Souveraine consiste notamment à repérer les actifs critiques, à évaluer les menaces et les vulnérabilités, à passer en revue les mécanismes de contrôle de sécurité existants et à hiérarchiser les mesures d’atténuation selon leur impact sur l’organisation. Les renseignements sur les menaces, l’historique des incidents, les risques liés aux tiers et à la chaîne d’approvisionnement contribuent également à formuler des recommandations concrètes qui renforcent la posture globale de sécurité d’une organisation.

« L’objectif ne consiste pas à corriger chaque vulnérabilité, mais de collaborer avec les courtiers et les clients pour identifier les principales expositions aux risques, hiérarchiser les mesures correctives et réduire l’impact potentiel d’incidents futurs », explique M^me Elliott.

Elle ajoute que de solides mesures de contrôle de cybersécurité apportent une valeur qui va bien au-delà de l’assurance. Elles aident les organisations à maintenir la continuité de leurs activités, à minimiser les temps d’arrêt à la suite d’un cyberincident et à prendre des décisions plus éclairées en matière de technologie et de transformation numérique.

Faire évoluer les échanges

« Les courtiers disposent d’un avantage unique, car ils dialoguent avec leurs clients avant même qu’un sinistre ne survienne », poursuit Mme Elliott. 
En s’éloignant des discussions traditionnelles axées sur les limites, les franchises et les conditions de couverture, les courtiers peuvent désormais fournir les conseils et les stratégies de réduction des risques que les clients recherchent de plus en plus aujourd’hui.

« Ces échanges à valeur ajoutée permettent au courtier de jouer un rôle de conseiller stratégique capable d’aider ses clients à gérer les risques, ainsi qu’à réduire les pertes et les vulnérabilités de leur entreprise, ajoute-t-elle. Cette approche peut aussi  favoriser le renforcement des relations à long terme avec les clients. »

Le passage graduel des organisations d’une mentalité réactive à une approche axée sur la résilience viendra créer des possibilités pour les assureurs, les courtiers et les équipes de gestion des risques, qui pourront jouer un rôle plus proactif en combinant la protection d’assurance avec des évaluations cyber, des informations sur les risques, des ressources pédagogiques et la planification des interventions en cas d’incident.

« L’avenir de la cyberassurance ne se résume pas au simple règlement des réclamations à la suite d’un incident, conclut M^me Elliott. Il s’agit d’aider les entreprises à prévenir les pertes et à se remettre plus rapidement sur pied, ainsi que de les outiller adéquatement pour fonctionner et réussir dans un monde où le numérique occupe de plus en plus de place. »