La situation de la cyberassurance au Canada

Au Canada, les cybercriminels font preuve d’une sophistication croissante. Ils exploitent autant les personnes et les relations d’affaires de confiance que la technologie elle-même. 

« La cybersécurité n’est plus qu’un simple enjeu informatique. C’est devenu un enjeu de résilience opérationnelle et d’entreprise qui touche les organisations de toutes tailles et de tous les secteurs », explique Leanne Taylor, directrice principale, Technologie et Cyber chez Souveraine Assurance. 

Comprendre comment ces menaces évoluent peut aider les courtiers à repérer les points de vulnérabilité de leurs clients et à intégrer la couverture d’assurance à une stratégie plus large de préparation aux cybermenaces. 
 
La confiance en ligne de mire 

À l’heure où les rançongiciels et les attaques par compromission de courriels d’entreprise demeurent des préoccupations majeures, deux phénomènes émergent en tant que principales menaces pesant sur les entreprises canadiennes : l’ingénierie sociale alimentée par l’IA et l’essor de l’économie du « cybercrime en tant que service ».

« L’IA accélère les attaques existantes, en plus de les rendre moins coûteuses, plus évolutives et plus difficiles à détecter », explique M^me Taylor. 

Elle permet désormais aux criminels de produire en quelques secondes des messages d’hameçonnage personnalisés et soignés, ajoute-t-elle, ce qui signifie que les fautes de frappe et les tournures maladroites ne constituent plus des signaux d’alerte fiables. Le clonage vocal et la vidéo synthétique peuvent donner l’impression qu’une demande provient d’un cadre de confiance. 

« L’IA automatise aussi la reconnaissance pour les groupes de rançongiciels, tandis que le cybercrime en tant que service met à la portée d’attaquants moins qualifiés des outils prêts à l’emploi, des trousses d’hameçonnage et des identifiants d’accès », précise-t-elle.

La forte dépendance des organisations canadiennes envers les fournisseurs de services d’infonuagique, les fournisseurs de services gérés et d’autres fournisseurs signifie également qu’un seul maillon faible peut offrir aux attaquants un point d’entrée fiable. 

« L’IA amène les responsables de la sécurité à ne plus se contenter de se demander s’ils disposent de la bonne technologie, mais à se demander à qui et à quoi ils peuvent faire confiance », indique M^me Taylor.  

Les anciens signes avant-coureurs ayant disparu, les procédures de vérification, l’authentification multifactorielle, la formation du personnel et les capacités de réponse aux incidents sont devenues essentielles. 
 
Les perturbations entraînent des pertes 

Les pertes liées à la cybersécurité le plus souvent observées par Souveraine demeurent liées aux rançongiciels, aux interruptions d’activité, à l’ingénierie sociale et aux atteintes à la vie privée. 

« La cyberrésilience ne consiste plus à prévenir chaque attaque, mais bien à minimiser les perturbations qui s’ensuivent et à se remettre rapidement sur pied », explique-t-elle.

Les pertes les plus graves sont généralement causées par les perturbations opérationnelles qui découlent d’une attaque : perte de revenus, interruption de service, atteinte à la réputation, coûts liés à l’expertise numérique, frais juridiques et obligations réglementaires. 

L’ingénierie sociale et les attaques par compromission de courriels d’entreprise sont particulièrement coûteuses, car elles ciblent le comportement humain. « Une demande de paiement convaincante ou un compte de fournisseur compromis peut entraîner une perte importante, même au sein d’organisations dotées de solides contrôles techniques », indique M^me Taylor. 

Les réclamations mettent souvent en évidence les mêmes lacunes : sensibilisation limitée des employés, inadéquation des plans d’intervention en cas d’incident, dépendance excessive à l’égard de tiers et failles dans la gestion des identités et des accès. 

« On croit depuis longtemps que les cyberrisques ne touchent que certains secteurs, explique-t-elle. Mais dès lors que l’on est connecté à Internet, on devient vulnérable. »

L’exposition varie toutefois selon le secteur, explique-t-elle. Les fabricants sont confrontés à des perturbations de la production et de la chaîne d’approvisionnement. Les organismes de santé détiennent des données sensibles sur les patients et offrent des services essentiels qui ne peuvent pas être interrompus. Les municipalités utilisent souvent des technologies désuètes, ce qui en fait des cibles de choix pour les rançongiciels. Les cabinets de services professionnels détiennent des renseignements précieux sur leurs clients, ce qui les expose à la compromission de courriels d’entreprise et au vol de données. Les détaillants sont exposés par l’intermédiaire de leurs systèmes de paiement et de leurs données clients à mesure que le commerce en ligne prend de l’ampleur. Quant aux entreprises de construction, elles dépendent de plateformes de projets connectées et d’un réseau de fournisseurs et de sous-traitants. 

« Le type de cyberévénement peut varier d’un secteur à l’autre, mais le risque de perturbation opérationnelle demeure universel », ajoute M^me Taylor.

Un marché qui arrive à maturité

Le marché canadien de la cyberassurance a considérablement gagné en maturité à la suite de périodes antérieures de croissance rapide, de pertes importantes liées aux rançongiciels et de conditions de souscription plus strictes. Selon Mme Taylor, le marché actuel est plus stable et repose sur une souscription plus rigoureuse, une meilleure sélection des risques, des mécanismes de cybercontrôle renforcés et une sensibilisation accrue des clients. 
En raison des attentes réglementaires croissantes, les conseils d’administration reconnaissent de plus en plus qu’un cyberincident peut entraîner des conséquences sur les plans réglementaire, juridique, financier et réputationnel, compliquées par les règles en matière de protection des renseignements personnels et de violation de données au-delà des frontières canadiennes.  

« Cela fait entrer la cybersécurité dans les discussions au niveau du conseil d’administration et modifie la façon dont les clients souscrivent une assurance, indique M^me Taylor. Ils veulent savoir ce que couvrent leurs polices et si celles-ci correspondent à leur profil de risque, et ils interrogent les assureurs sur le fonctionnement de l’intervention en cas d’incident lorsqu’une réclamation est déposée. »

Les assureurs accordent également davantage d’importance à la cyberhygiène et aux mécanismes de contrôle de sécurité, et les organisations dotées d’une gouvernance plus solide sont généralement en meilleure posture pour obtenir des conditions avantageuses.

Cela offre aux courtiers l’occasion d’aller au-delà de la simple souscription de polices d’assurance, pour aider leurs clients à examiner les mécanismes de contrôle d’identité, la sensibilisation des employés, la planification des interventions en cas d’incident, les dépendances vis-à-vis des fournisseurs, les risques d’interruption des activités et les lacunes potentielles dans les polices. 

« La cyberassurance n’est plus une solution isolée, mais bien une pièce du casse-tête global, indique M^me Taylor. Les courtiers les plus efficaces aident leurs clients à combler le fossé entre la cybersécurité et l’assurance. Ils traduisent les risques techniques en répercussions sur l’entreprise et aident les organisations à prendre des décisions éclairées qui renforcent leur résilience. » 

Son conseil aux courtiers est de miser sur cette formation. Les assureurs sont généralement disposés à partager leurs ressources et leur expertise, et les courtiers qui en tirent parti sont mieux outillés pour guider leurs clients dans le processus de réclamation ou vers la couverture adaptée au risque. C’est en agissant ainsi de façon constante qu’un courtier deviendra un conseiller de confiance en matière de risques cybernétiques.