CyberRisks Pro. Questionnaire. Nom de la société proposante. Description des activités de la société proposante. Informations financières

Transcription

1 Questionnaire Ce questionnaire d assurance doit être dûment complété, daté et signé par une personne habilitée pour engager la Société Proposante afin que l Assureur puisse faire une offre. La remise de ce questionnaire n engage ni la Société Proposante, ni l Assureur à conclure un contrat d assurance. Si une ou plusieurs informations du questionnaire ne correspondent pas à la situation d une ou plusieurs des personnes morales à assurer, merci d apporter les précisions utiles sur un document séparé. Nom de la société proposante Adresse : Code postal : Site internet : Date de création de l'entreprise.. Nombre d'employés. Description des activités de la société proposante Informations financières ANNEE CHIFFRE D AFFAIRES ( ) (Honoraires & Commissions) VENTILATION DU CHIFFRE D AFFAIRES (%) France Monde entier hors USA/ Canada USA/Canada

2 Nature et volumes des données de tiers utilisées et/ou stockées (en nombre d enregistrements) Nature des données / Volumétrie < 100 < < < > Compte clients / Identité simple (informations nominatives sur les clients) Moyens de paiement ou Transactions financières (numéros de cartes, RIB, autres coordonnées bancaires ) Informations de santé et médicales Informations salariés Informations financières (bilans, comptes de résultat, plans stratégiques ) Secrets commerciaux (secrets de fabrique, brevets ) Actifs de propriété intellectuelle Autres, préciser : Conformité et réglementation La société proposante dispose-t-elle d un Correspondant Informatique et Liberté et/ou un responsable du traitement des données?...oui La société proposante pense-t-elle être en conformité avec la réglementation relative au traitement des données personnelles?...oui Existe-t-il une politique de conformité sur la sécurité des données personnelles?...oui La société proposante impose-t-elle à ses salariés des formations de sensibilisation à la protection des données personnelles et aux procédures de sécurité informatique?...oui Si «Oui», veuillez décrire le format et la fréquence de ces formations. La société proposante a-t-elle identifié tous les cadres de réglementation et de conformité relatifs à son activité?...oui La société proposante est-elle en conformité avec les règles de PCI (Payment Card Industry)?...Oui Si oui, un rapport de conformité a-t-il été rédigé par une société extérieure certifiée?...oui Si «oui», à quel niveau?

3 Sécurité Réseaux et Données Budget annuel consacré par la société proposante pour la protection de ses systèmes informatiques et de ses données.. La politique de sécurité est-elle applicable et appliquée par l ensemble des filiales du groupe?...oui La société proposante dispose-t-elle de logiciels antivirus mis à jour en continu, et ce sur l ensemble des dispositifs informatiques, serveurs et réseaux?...oui L ensemble des patchs de sécurité sont-ils appliqués?...oui La société proposante a-t-elle mis en place des pares-feu sur tous les systèmes informatiques et une surveillance et détection des intrusions?...oui L accès aux systèmes de la société proposante est-il systématiquement soumis à mot de passe?...oui A quelle fréquence se fait le changement des mots de passe?... L accès aux données sensibles et confidentielles est-il restreint aux seuls utilisateurs autorisés?...oui Des tests d intrusion ont-ils été effectués sur les systèmes informatiques de la société proposante par une société extérieure?...oui La société proposante dispose-t-elle d une veille permanente (24h/24h) permettant de bloquer les systèmes en cas d attaque ou de défaillance de la sécurité?...oui Toutes les informations sensibles et confidentielles stockées dans les bases de données, serveurs, fichiers et tous les matériels informatiques (y compris sur supports mobiles) de la société proposante sont-elles cryptées?...oui Les accès aux systèmes sont-ils systématiquement coupés aux collaborateurs ayant quitté l entreprise?...oui La société proposante procède-t-elle à une sauvegarde quotidienne de ses données?...oui Les données sont-elles systématiquement effacées lorsque les matériels informatiques sont mis au rebus ou confiés à un tiers?...oui La société proposante a-t-elle mis en place une politique de conservation et de destruction de documents?...oui Les centres de données dans lesquels la société proposante stocke ses données disposent-ils : - d un contrôle d accès?...oui - d une alarme anti-intrusion?...oui - d un système de protection incendie?...oui 3

4 Sous-traitance La société proposante externalise-t-elle la gestion de son réseau, de son système informatique ou des fonctions de sécurité informatique suivantes : Cochez les cases qui correspondent à votre situation Hébergement de données... Gestion de la sécurité... Traitement des données... Fourniture d applications hébergées... Surveillance des systèmes d alerte... Sauvegarde et stockage hors site... Autres, préciser... Nom des Fournisseurs de services La société proposante vérifie-t-elle que les systèmes informatiques des prestataires auprès desquels elle externalise ces fonctions, ont des niveaux de sécurité et de performance suffisants?...oui Si «oui», veuillez indiquer la méthode de vérification : Les données sensibles et confidentielles stockées chez des tiers sont-elles cryptées?...oui La société proposante vérifie-t-elle si ses sous-traitants sont assurés au titre de leur responsabilité civile personnelle, la qualité de leur assureur et les montants de garantie?...oui La société proposante renonce-t-elle à recours à l égard de ses sous-traitants?...oui Réponse aux incidents / Gestion de crise La société proposante a-t-elle mis en place un plan de réponse aux incidents de sécurité en cas de violation de la sécurité?...oui Ce plan comporte-il des options de rechange en cas de défaillance de prestataires d'externalisation tiers dont dépend la société proposante?...oui La société proposante a-t-elle élaboré un Plan de Continuité d Activité (PCA) et un plan de reprise d activité régulièrement testés?...oui Si «Oui», brève description de ces plans :.... Délai estimé pour reprendre les activités après une attaque informatique ou autre perte/corruption de données :... 12h ou moins 13-24h Plus de 24h Délai estimé après lequel l'incapacité du personnel à accéder aux systèmes informatique aurait un impact significatif sur la société proposante :... Immédiatement Après 6h Après 12h Après 24h Après 48h 4

5 Délai estimé après lequel l'incapacité des clients à accéder au site Web de la société proposante aurait un impact significatif sur son activité :... Immédiatement Après 6h Après 12h Après 24h Après 48h La société proposante a-t-elle mis en place une procédure de notification des incidents de sécurité auprès de ses clients?...oui Antécédents La société proposante a-t-elle déjà souscrit une police d assurance contre les risques d atteintes aux données et/ou de cybercriminalité?... Oui Est-il déjà arrivé qu'un assureur résilie ou ne renouvelle pas une police qui fournissait une couverture d assurance identique ou similaire aux garanties recherchées?...oui La société proposante a-t-elle eu connaissance, après enquête, de faits ou d événements pouvant mettre en jeu une ou plusieurs garanties demandées?...oui Si «Oui», veuillez expliquer :.. La société proposante a-t-elle connaissance de circonstances ou incidents ayant déclenché une ou plusieurs des couvertures d assurance identiques et similaires aux garanties recherchées?...oui La société proposante, ou l un de ses ancien ou actuel mandant, partenaire, administrateur ou employé, ont-ils fait l'objet d une enquête administrative fondée sur la réglementation relative aux données personnelles?...oui Au cours des cinq dernières années, la société proposante a-t-elle subi une panne, interruption ou suspension de son système informatique pour tout motif (hors maintenance planifiée) d une durée supérieure à 4 heures?...oui La société proposante a-t-elle déjà subi : Une intrusion sur son réseau...oui Une falsification système significative ou importante...oui Une violation intentionnelle de la sécurité informatique...oui Des dégradations de réseau...oui Une attaque virale ou par codes malveillants...oui Une corruption de système et/ou de données...oui Une perte ou vol de données...oui Au cours des cinq dernières années, un client ou toute autre personne ou entité a-t-il allégué que ses données personnelles avaient été compromises?...oui Au cours des cinq dernières années, la société proposante a-t-elle informé des clients que leurs informations étaient ou pouvaient avoir été compromises?...oui Au cours des 5 dernières années, la société proposante a-t-elle notifié tout événement, déclaration de sinistre ou pertes à tout Assureur qui fournissait une assurance identique ou similaire à l'assurance demandée?...oui 5

6 Formulaire de souscription DECLARATION DU SIGNATAIRE LE SIGNATAIRE DECLARE : QUE LES RENSEIGNEMENTS COMMUNIQUES DANS CE QUESTIONNAIRE SONT EXACTS ET QU IL N A ALTERE, OMIS OU SUPPRIME AUCUN FAIT ; AVOIR ETE INFORME QUE TOUTE RETICENCE, OMISSION OU FAUSSE DECLARATION INTENTIONNELLE PEUT ENTRAINER LA NULLITE DU CONTRAT, SI CETTE RETICENCE OU FAUSSE DECLARATION CHANGE L OBJET DU RISQUE OU EN DIMINUE L OPINION POUR L ASSUREUR (ARTICLE L DU CODE DES ASSURANCES) ; S ENGAGER A DECLARER TOUTES CIRCONSTANCES NOUVELLES MODIFIANT LES DECLARATIONS FAITES DANS LE PRESENT QUESTIONNAIRE ET QUI POURRAIENT SURVENIR : - ENTRE CE JOUR ET LA DATE DE PRISE D EFFET DU CONTRAT D ASSURANCE, OU - POSTERIEUREMENT A LA DATE DE CETTE PRISE D EFFET. Fait à :. le..... Représentant légal ou toute autre personne dûment habilitée à représenter la Société Proposante. Cachet de la Société Proposante : Nom : Fonction : Signature : Les données à caractère personnel fournies sont destinées à l étude par nos services du risque pour la souscription de contrats d assurance et la gestion des contrats souscrits et peuvent être communiquées, pour ces mêmes finalités, à nos mandataires ainsi qu à nos sous-traitants et aux autres entités du groupe Chartis qui peuvent être situés en dehors de l Union européenne y compris dans des pays dont la législation en matière de protection des données personnelles est différente. Ces transferts interviennent sous des garanties, notamment contractuelles, permettant d assurer la sécurité et la protection des données. Vos droits d accès, de rectification et d opposition pour motifs légitimes peuvent être exercés en nous contactant à l adresse suivante : Créalinks, Service Clients, 18 rue de la Gare La Loupe. 6