Quelles assurances proposer? Focus sur le cloud computing

Transcription

1 ACTUALITÉ DU DROIT DES TECHNOLOGIES DE L INFORMATION Quelles assurances proposer? Focus sur le cloud computing Jean-Laurent SANTONI, Docteur en Droit, Président de Clever Courtage, IT risk insurance broker Document confidentiel Ne pas diffuser sans autorisation 1

2 Une organisation pluri-compétence d audit, de conseil et d intermédiation indépendante détenue exclusivement par des investisseurs privés Les dirigeants du Groupe: Merryl Cuestas / Olivier Pantaleo Le dirigeant de Clever Courtage : Jean Laurent Santoni 2

3 Assurabilité du Cloud Computing : Les difficultés Notre définition du Cloud Computing : celle de la CNIL : SaaS (Software as a Service, ou accès à des logiciels en ligne), PaaS (Platform as a Service, ou accès à une plateforme de développement d applications en ligne) IaaS (Infrastructure as a Service, ou fourniture d une infrastructure informatique - serveurs, stockage, etc. - en ligne) Pourquoi c est difficile à assurer? Les risques immatériels et les nouveaux environnements techniques du Cloud Computing n obéissent qu imparfaitement à la traditionnelle distinction Assurance de Dommages versus Assurance de Responsabilité Civile. Doit-on retenir la vision dommages (les dommages aux données traitées par le SaaS et stockées dans le cloud restent à la charge du maitre du traitement et des données) ou Doit-on retenir la vision responsabilité (le fournisseur SaaS et l opérateur de Cloud engagent leur responsabilité de services et non pas de produit logiciel pour autant que leur faute soit démontrée, le préjudice quantifié et dans la limite des SLA). La quantification des préjudices comporte des dimensions très difficiles à quantifier (perte de confiance, perte d image, perte d intégrité ou de valeur probante d une donnée) qui rend parfois difficilement applicable le principe indemnitaire 3

4 Assurabilité du Cloud Computing : notre méthode Suivre les recommandations de la CNIL en l élargissant à toutes les données : 1. identifier clairement les données et les traitements qui passeront dans le Cloud, 2. définir ses propres exigences de sécurité technique et juridique, 3. conduire une analyse de risques afin d identifier les mesures de sécurité essentielles pour l entreprise, 4. identifier le type de Cloud pertinent pour le traitement envisagé 5. choisir un prestataire présentant des garanties suffisantes Déterminer les rôles respectifs du client et du prestataire ( faisceau d indices CNIL) 1. l évaluation du niveau d instruction donné par le client au prestataire. Plus le degré d autonomie du prestataire dans la réalisation de la prestation sera élevé, plus la tendance sera de le considérer également comme responsable de traitement ; 2. le degré de contrôle de l exécution de la prestation du prestataire par le client ; 3. la valeur ajoutée fournie par le prestataire sur le traitement des données du client, et donc, le niveau de maîtrise du traitement de données par le prestataire ; 4. le degré de transparence du client sur le recours à un prestataire Cloud. En attendant les BCR «sous-traitants», identifier si : 1. le prestataire Cloud est localisé hors UE et agit en qualité de sous-traitant, 2. le prestataire Cloud est localisé hors UE et agit en qualité de responsable de traitement, 3. le prestataire Cloud est localisé dans l UE, agit en qualité de sous-traitant et transfère les données à un sous-traitant (de 2é niveau) situé hors UE 4

5 Assurabilité du Cloud Computing par le client ATTEINTE AU PATRIMOINE INFORMATIONNEL OU QU IL SE TROUVE (UE et hors UE) Frais de reconstitution des Données / Frais de réversibilité Frais supplémentaires d exploitation / secours / Back up Pertes d exploitation / Perte d Activités / Cyber rançon Pénalités contractuelles (PCI DSS) Dépenses de relations publiques UNE PROCEDURE REGLEMENTAIRE RELATIVE A LA PROTECTION DES DONNEES Coûts d investigation en cas de suspicion de compromission, Frais de défense face aux organismes de contrôle selon la nature des données (AMF, ACP, CNIL, Santé ), Indemnisation des coûts de notification et des couts de protection des titulaires des données MISE EN CAUSE SUITE A UNE PROCEDURE CONTENTIEUSE OU UNE RECLAMATION D UN TIERS Atteinte au Système d information du propriétaire des données et du responsable / co-responsable du traitement Manquement à une obligation de confidentialité ou de sécurité 4 UNE PROTECTION DE LA RESPONSABILITE CIVILE DES MANDATAIRES SOCIAUX Votre assureur est subrogé dans vos droits après vous avoir indemnisé : identifiez vos capacités de recours contre vos prestataires et sous-traitants (SLA, PLA Privacy Level Agreement). Exigez et validez annuellement leurs propres attestations d assurance RC 5

6 Assurabilité du Cloud Computing par le prestataire ATTEINTE AU SYSTÈME D INFORMATION PRESTATAIRE Frais et dépenses consécutifs à une Atteinte au Système d Information trouvant son origine dans : Un accident physique atteignant l infrastructure et les matériels Un acte de Malveillance informatique ou un sabotage immatériel (hacking) GARANTIE OPTIONNELLE DOMMAGES POUR COMPTE CHOISIE PAR LE CLIENT Il s agit de garantir les atteintes aux données du client à la suite de tous faits générateurs immatériels (y compris des évènements ne relevant pas d une faute du prestataire) sur la base d un capital forfaitaire choisi par le client et correspondant à la valeur qu il attache aux données confiées MISE EN CAUSE SUITE A UNE RECLAMATION D UN CLIENTS SUR LA BASE DES SLA - PLA Atteinte à l intégrité ou divulgation de données Exclusion des préjudices indirects, pertes de marchés, punitive damages Manquement à une obligation de confidentialité ou de sécurité caractérisée (exclu la force majeure) L assurance de l atteinte au Système d Information du Prestataire ne garantit pas nécessairement les données confiées par les clients, sauf dans le cadre d une souslimitation «biens confiés», d où l intérêt de la garantie Dommages pour compte La problématique de l assureur du Prestataire est relative au cumul de ses engagements : capital garanti par évènement divisé par le nombre de lésé versus capital garanti par réclamant multiplié par le nombre de réclamant capé par un engagement maximum 6