Les cybermenaces : que peut-on assurer?

Transcription

1 Paris, le 21 mai 2013 Les cybermenaces : que peut-on assurer? Alexandra Gavarone, Directeur du developpement de Beazley France D où viennent les risques? 2

2 Les failles de nos assurés, reflet des statistiques Monde Les failles internes sources importantes de perte de données 26 % : perte de matériel (USB, portables, etc) 23 % : piratage 12 % : erreur humaine 10 % : vol/cambriolage 10 % : employés malhonnêtes 3 Notre experience Depuis 2004 aux USA sur les cyber-risques 2009, création aux USA de Beazley Breach Response o Disponible depuis 2013, au Royaume Uni et en France Solution innovante dans un marché précurseur d un point de vue législatif Plus de 3000 polices en portefeuille Plus de 300 incidents gérés en 2012 Les 3 premiers domaines d intervention : o Etablissements de santé o Institutions Financière o Distribution 4

3 Un marché en pleine évolution Beazley Breach Response (BBR) souscrit depuis 2009 Croissance de plus de 270% de 2009 à 2012 Disponible en France et au UK en Partie I : 24h pour réagir à la perte de données Breach Response Services : pas de plafond de garantie en euro Le Breach Response Manager, un interlocuteur chargé de piloter l ensemble des prestataires dédiés : Experts en sécurité informatique Conseillers juridiques Spécialistes en Notification Experts en Relations Publiques Surveillance des données Identity Monitoring Mise en place d un Call center 6

4 Partie II : Dommages et Responsabilite Civile BBR, un plafond de garantie en euros Conséquences pécuniaires : pertes de données, transmission de virus, activité sur internet Honoraires des experts en sécurité informatique et conseillers juridiques suite à un incident Frais de Notification Frais de défense qui font suite à une réclamation pour atteinte aux données personnelles Risques inhérents aux actions d autorités administratives ou gouvernementales Indemnisations des pénalités PCI Perte de revenus / exploitation Reconstitution des données Remise en état du systéme informatique Frais de gestion des relations publiques Frais liés à la Cyber Extortion 7 Les limites des polices traditionnelles Polices RC et Dommage: o Exclusion des virus informatiques o Exclusion de la divulgation d informations confidentielles Polices Responsabilité Civile: mise en cause par un tiers suite à une faute. Or, les entreprises victimes d une atteinte sont dans l obligation de notifier les autorités ainsi que les individus concernés, même en l absence de réclamation. Police dommage: le fait dommageable doit être un dommage matériel direct. Les pertes subies suite à un dommage immatériel ne sont pas garanties. 8

5 Beazley Breach Response Fonctionnement de la Garantie : deux plafonds distincts Limite de Garantie (en Euro) Breach Response Services Jusqu à 5 millions d individus II.A II.C II.D II.E II.F II.B.1 5 II.B.6 7 II.B.8 Sécurité des Informations et Protection des Données Frais de Défense et Amendes Contenu d un Site Internet Franchises mini Gestion de Crise Pénalités PCI Sécurité informatique & Frais Légaux Notification & Call Centre Identity Monitoring Franchises mini sauf Call Centre & Identity Monitoring 100 individus mini Long terme Court terme Gestion de la crise : Mécanique d Découverte d un incident Prise de contact avec le call centre àtoulouse L équipe Beazley BR entre en contact avec l assuré Conseillers juridiques prennent contact avec l assuré Experts en sécurité informatique commencent leurs investigation s Notification & Identity Monitoring aux individus affectés Relations Publiques et Gestion de Crise Call centre notifie l equipe BR Plan d action sur mesure Implications légales Qui est entré Ou ils ont allés Qu ont ils pris Prise en charge de la logistique. Minimiser l impact sur la réputation

6 It takes 20 years to build a reputation and five minutes to ruin it. Warren Buffett Etes vous prêts face aux cyber risques? 11 Qui a toutes les réponses? Comment cela s est passé? Sommes nous certain que cela soit terminé? Ou est la faille informatique? Quels sont les informations qui ont été visées? Où sont localisés les clients? Avons nous des obligations légales à respecter? Où trouver un avocat qui a toute l expertise dans ce domaine? Qui devons nous prévenir? Devons nous prévenir la police? Quel est notre société de Relations Publiques? Devons nous utiliser les services d un centre d appel? Quel doit être le message du centre d appel? Comment répondre aux questions des employés? Comment présenter cet incident aux Médias? Devons nous changer notre business model? 12

7 Des questions à tous les niveaux de l organisation : Votre entreprise a-t-elle une charte des bonnes pratiques informatiques? La connexion d équipements personnels au réseau de l entreprise est-elle autorisée? Pensez-vous que vos travaux en R&D sont exempts de toute menace? Les cadres de vos services opérationnels sont-ils sensibilisés aux risques internes? Comment vos cadres donnent ils accès aux différents fichiers partagés de leur service? Vos prestataires disposent-t-ils de protections performantes pour vos bases de données? En cas de perte de données, votre service communication est-il prêt à faire face à la crise? Pourriez-vous participer à un exercice de crise et mesurer votre capacité de réaction? 13