Pourquoi le secteur public a besoin d’une cyber-assurance

Les cybermenaces et les attaques par ransomware peuvent paralyser les entreprises du secteur public. Le coût des attaques par ransomware dans l’administration se chiffre souvent en millions de dollars, principalement à cause des temps d’arrêt et de la restauration (ou, dans certains cas, du paiement d’une rançon). Selon un rapport de Sophos sur l’« état des ransomwares » en 2023, le secteur de l’éducation (de la maternelle à la terminale) a enregistré le taux d’attaque par ransomware le plus élevé de tous les secteurs, 80 % des établissements scolaires ayant signalé avoir subi une telle attaque. Les agences gouvernementales locales et nationales ne sont pas en reste, puisque 69 % d’entre elles ont déclaré avoir été victimes d’une attaque par ransomware.

Les agences gouvernementales nationales et locales ont besoin d’une cyber-assurance pour atténuer les risques financiers associés aux cyber-attaques et aux violations de données. Une cyber-assurance, aussi connue sous le nom d’assurance de cybersécurité ou d’assurance de cyber-responsabilité, est un type de couverture d’assurance conçu pour protéger les entreprises contre les pertes financières et les responsabilités résultant de cyberattaques et de violations de données.

Que couvre une cyber-assurance ?

Une cyber-assurance permet aux entités nationales et locales de couvrir les pertes résultant d’une cyberattaque. Bien que les politiques varient en fonction de l’État et de l’assureur, une police couvre généralement les coûts liés aux violations de données, les pertes d’exploitation, les coûts de restauration des données et les paiements liés aux ransomwares.

Les polices de cyber-assurance ne couvrent généralement pas les dommages matériels, la propriété intellectuelle, les vulnérabilités connues, les actes frauduleux ou criminels commis par des employés ou des initiés, les amendes et pénalités réglementaires ou les actes de la nature.

Quels sont les différents types de cyber-assurance ?

Il existe deux types d’assurance de cyber-responsabilité pour permettre aux entreprises de répondre aux violations de données et de s’en remettre :

• On parle d’assurance responsabilité de cyber-responsabilité au premier tiers lorsque l’assureur prend en charge les dépenses de l’entreprise directement liées à une violation de sécurité. La couverture au premier tiers permet aux entreprises de se remettre rapidement d’un cyberincident en prenant financièrement en charge les efforts de réponse et de restauration immédiats.
  
• L’assurance de cyber-responsabilité au tiers couvre les dommages ou les indemnités que l’entreprise doit payer en raison des poursuites judiciaires ou des réclamations résultant de ses actions ou de son inaction. La couverture au tiers permet de protéger une entreprise contre toute responsabilité financière susceptible de découler de poursuites judiciaires, d’actions réglementaires ou d’autres réclamations faites par des personnes ou des entités touchées par une violation de données ou un cyberincident.

Critères de souscription courants

Les fournisseurs d’assurance évaluent plusieurs facteurs pour apprécier le profil de risque d’une entreprise qui souscrit une police de cyber-assurance, notamment :

• La taille et les revenus de l’entreprise
• Les pratiques actuelles en matière de cybersécurité, notamment la mise en œuvre de l’authentification multifacteur (MFA), la formation des employés, les mesures de sécurité du réseau et la gestion des correctifs
• Les types de données stockées par l’assuré, notamment les informations personnellement identifiables (PII) telles que les noms, adresses, numéros de permis de conduire, formulaires de paiement et numéros de sécurité sociale, les informations non classifiées contrôlées (CUI) ou les données des cartes de paiement
• Les antécédents de cyber-incidents, notamment les violations de données, les infections par des logiciels malveillants ou d’autres violations de la sécurité
• Les zones géographiques où une entreprise est implantée ou stocke ses données peuvent avoir une incidence sur les considérations de souscription, car le cyber-risque peut varier d’une région à l’autre

La demande initiale posera probablement plusieurs questions techniques et opérationnelles détaillées. En règle générale, les entreprises devraient s’efforcer de mettre en place les contrôles de sécurité suivants pour pouvoir bénéficier d’une cyber-assurance :

• Mise en œuvre de systèmes de sauvegarde robustes
• Programme de sensibilisation à la sécurité pour les employés
• Sécurité contre les e-mails de phishing dans l’ensemble de l’entreprise
• Protection des terminaux contre les logiciels malveillants
• Authentification multifacteur pour les e-mails basés sur le Web et les accès administratifs ou à privilèges
• Chiffrement des données personnelles, des informations sensibles et confidentielles stockées sur vos systèmes et réseaux

Coût d’une cyber-assurance

Tous les types d’entreprises publiques ont de plus en plus besoin d’une cyber-assurance, car le risque de cyberattaques contre les applications, les appareils, les réseaux et les utilisateurs augmente. Les agences gouvernementales et les établissements d’enseignement sont souvent la cible de cybercrimes, car ils ont accès à des informations sensibles. Les cybercriminels savent également que les entreprises du secteur public ont généralement des équipes informatiques, des budgets et des ressources plus réduits pour déjouer les cyberattaques.

Malheureusement, de nombreux gouvernements ont vu leurs prime de cyber-assurance augmenter rapidement, car les cyberattaques sont de plus en plus nombreuses et le secteur public présente un profil de risque plus élevé. Les primes de cyber-assurance aux États-Unis ont augmenté de 50 % en 2022, car l’augmentation du nombre d’attaques par ransomware a stimulé la demande de couverture. Les primes varient considérablement : les primes annuelles des petites entreprises sont comprises entre 5 000 et 20 000 dollars, tandis que celles des grandes entreprises, telles que les agences nationales ou fédérales, sont de 100 000 dollars minimum.

Comment Keeper Security Government Cloud peut améliorer l’assurabilité

Mettre en place des contrôles et des pratiques de sécurité solides, par exemple utiliser l’authentification multifacteur pour les connexions à l’entreprise et utiliser un gestionnaire de mots de passe, peut faire baisser la prime ou la franchise de votre police.

Gestion des mots de passe

Les gestionnaires de mots de passe permettent à tous les employés de créer des mots de passe forts et uniques pour tous leurs comptes et de les stocker dans un endroit sécurisé. Le vol et la faiblesse des mots de passe sont la cause principale des violations de données. Pourtant, la plupart des entreprises n’ont pas de visibilité, de sécurité ou de contrôle sur les mots de passe et les identifiants de leurs employés.

Keeper Security Government Cloud (KSGC) utilise des politiques d’administration déléguée et de mise en œuvre basées sur les rôles pour offrir une visibilité et un contrôle complets sur la sécurité de l’identité et les risques au sein de votre entreprise. Les administrateurs peuvent appliquer la MFA, qui exige que les utilisateurs fournissent plus d’une forme d’authentification pour accéder à un service ou à une application.

Gestion de l’identité, du contrôle et des accès (ICAM)

La solution de gestion des accès à privilèges (PAM) de Keeper simplifie la façon dont les entreprises gèrent et sécurisent l’accès aux systèmes et aux données très sensibles. Cela inclut notamment l’accès aux systèmes de paie et aux systèmes d’administration de l’IT.

Outre la MFA, qui permet de vérifier l’identité d’un utilisateur, les solutions de gestion des accès à privilèges appliquent le principe du moindre privilège. Ils veillent à ce que les utilisateurs aient un accès aussi limité que possible aux systèmes et aux données en ne leur donnant accès qu’aux comptes dont ils ont besoin pour travailler. Les contrôles d’accès fournissent également des niveaux granulaires de contrôle et de mise en œuvre pour les comptes à privilèges. Les administrateurs peuvent enregistrer l’activité des comptes et des sessions. Cela permet de prendre en charge les audits et les rapports à des fins de conformité et de réglementation.

Bien que la gestion des accès à privilèges puisse permettre aux entreprises de répondre aux exigences de leur cyber-assurance, les solutions traditionnelles ont souvent un coût prohibitif, sont difficiles à déployer et contiennent des fonctionnalités inutilisées. KeeperPAM répond aux principaux problèmes et exigences des entreprises, et propose les fonctionnalités dont vous avez besoin pour prévenir les violations de données.

• Rentable : une plateforme unique dont la gestion ne nécessite que très peu de personnel informatique.
• Approvisionnement rapide : Déploiement et intégration transparents avec n’importe quelle pile technologique ou d’identité en quelques heures seulement
• Facile à utiliser : console d’administration unifiée et interface utilisateur moderne pour tous les employés sur tous types d’appareils. Le temps de formation moyen est inférieur à 2 heures

Pour en savoir plus sur KeeperPAM et découvrir comment la solution peut renforcer la cybersécurité de votre entreprise, demandez une démo dès aujourd’hui.