Longtemps, souscrire à une assurance cyber tenait d’un formulaire à cocher et d’une prime calculée sur le chiffre d’affaires. Ce temps est révolu. Un assureur qui reçoit votre dossier veut aujourd’hui savoir si vos sauvegardes sont isolées, si votre authentification multifacteur couvre les accès distants et les comptes à privilèges, et de plus en plus souvent quand votre dernier test d’intrusion a eu lieu et ce qu’il a révélé. Le lien entre pentest et assurance cyber se resserre. Un questionnaire rempli trop à la légère peut se transformer en contestation de garantie au pire moment. Voici ce que les assureurs attendent, la place d’un test d’intrusion (ou pentest) dans leur évaluation du risque et la manière de le préparer.
Ce que les assureurs exigent aujourd’hui
Après une période marquée par les ransomwares, le marché de la cyber-assurance a connu une période de sinistralité élevée. Les assureurs ont, en général, réagi en relevant les primes, en réduisant les capacités sur certains profils et en conditionnant la souscription à des mesures de sécurité vérifiables. Ils n’évaluent plus un risque abstrait mais une posture technique basée sur des rapports datés, signés par un prestataire identifié.
Et quelques mesures reviennent très souvent dans les questionnaires.
- L’authentification multifacteur (ou MFA) vient en tête : accès à distance, messagerie en ligne, comptes d’administration, outils de gestion à distance.
- Les sauvegardes suivent : il ne suffit pas d’en avoir, elles doivent être déconnectées ou immuables, hors du domaine d’authentification principal, avec une restauration testée.
- Viennent ensuite la gestion des correctifs, la protection des postes et serveurs par un EDR, un plan de réponse à incident documenté, PCA-PRA et la sensibilisation des collaborateurs.
À noter que les exigences exactes varient selon l’assureur, la taille de l’entreprise, le secteur et le capital assuré : le contrat et le courtier font foi.
Ce que le pentest apporte dans un dossier d’assurance
Un questionnaire déclaratif dit ce que vous pensez avoir mis en place. Un test d’intrusion démontre ce qu’un attaquant peut réellement faire. Pour un souscripteur, la différence est considérable : un rapport récent répond à des questions qu’il se pose sans toujours les formuler. Votre périmètre exposé est-il maîtrisé ? Un simple compte utilisateur peut-il mener à la prise de contrôle de l’Active Directory ? Vos sauvegardes sont-elles atteignables depuis le réseau interne ? Ce sont précisément les scénarios qui alimentent les sinistres majeurs.
Selon les contrats, le capital assuré et le secteur, le pentest peut jouer à trois niveaux. Il peut être une condition de souscription, un critère de renouvellement avec une fréquence attendue, parfois un test d’intrusion chaque année, ou encore un argument de négociation : un profil documenté, avec des vulnérabilités corrigées puis re-testées, justifie une discussion sur la prime ou les franchises. Nous ne pouvons pas promettre de pourcentage de réduction : il dépend de l’assureur et de votre dossier, et mieux vaut poser la question explicitement au courtier.
Quels pentests les assureurs reconnaissent ? 4 critères
Tous les tests ne se valent pas aux yeux d’un souscripteur. On peut distinguer quatre critères :
- le périmètre d’abord. Un test limité au site vitrine rassure peu lorsque le risque réel se joue sur le système d’information interne. Les assureurs sensibles au rançongiciel s’intéressent au pentest interne, à la robustesse de l’Active Directory et à l’isolation des sauvegardes.
- la méthodologie ensuite : des référentiels reconnus, des scénarios d’attaque décrits, des vulnérabilités classées par criticité et des preuves d’exploitation. Un simple export de scanner de vulnérabilités n’est pas un pentest, et un souscripteur averti fait la différence.
- l’indépendance et la qualification du prestataire comptent aussi : un test réalisé par l’équipe qui a construit l’infrastructure manque de recul, et les critères de choix d’un prestataire de pentest aident à s’y retrouver.
- la fraîcheur, enfin. Un rapport vieux de trois ans, sur une infrastructure qui a depuis migré vers le cloud, n’a plus grande valeur. Savoir lire et interpréter un rapport de pentest aide aussi à le présenter correctement.
Le piège du questionnaire : déclarer ce que vous ne pouvez pas prouver
C’est le risque le plus sous-estimé. Après un sinistre, l’assureur peut mandater des experts pour comprendre ce qui s’est passé. Si le questionnaire affirmait que le MFA couvrait tous les accès distants et que l’enquête révèle un compte sans second facteur par lequel l’attaquant est entré, la discussion sur l’indemnisation devient tendue. En droit des assurances, une fausse déclaration intentionnelle peut entraîner la nullité du contrat, et une déclaration inexacte non intentionnelle une réduction de l’indemnité : la qualification dépend de chaque situation, et un juriste ou le courtier est le mieux placé pour l’apprécier.
Autre condition à connaître : depuis la loi d’orientation et de programmation du ministère de l’Intérieur de 2023, l’indemnisation des pertes liées à une cyberattaque est subordonnée à un dépôt de plainte dans les 72 heures suivant la connaissance de l’attaque. Le réflexe est donc simple : déclarer ce qui peut être démontré. Un pentest avant la souscription ou le renouvellement donne exactement cela : une photographie datée et honnête de votre posture, pour répondre au questionnaire avec exactitude et corriger les écarts avant qu’ils ne deviennent un litige.
Comment préparer un pentest orienté assurance
La démarche gagne à être pensée en amont du calendrier de renouvellement, pas dans la semaine qui précède l’échéance. Voici l’ordre que nous recommandons :
- récupérer le questionnaire ou les exigences de l’assureur et repérer les points techniques vérifiés : MFA, sauvegardes, segmentation, correctifs, EDR.
- définir un périmètre qui couvre ces points : exposition externe, réseau interne, Active Directory et, selon l’activité, le cloud et les applications critiques.
- confier le test à un prestataire indépendant, avec une restitution qui distingue les vulnérabilités critiques, leur chemin d’exploitation et les actions correctives.
- corriger en priorité les failles qui touchent les sujets suivis par l’assureur, puis les faire vérifier par un contre-test.
- conserver le rapport, la preuve de remédiation et le plan d’action : ils alimentent le dossier et prouvent votre diligence en cas de sinistre.
Le contre-test est souvent négligé. Pourtant, un rapport qui montre des failles critiques suivies d’une attestation de correction raconte une histoire bien plus favorable qu’un rapport sans suite.
Ce qu’un pentest ne garantit pas, et comment en faire un levier
Un pentest ne garantit ni la souscription, ni une baisse de prime, ni l’absence de sinistre. Il mesure un état à un instant donné sur un périmètre défini, et votre système d’information évolue entre deux campagnes. C’est pourquoi les entreprises bien positionnées combinent plusieurs briques : un pentest régulier, un audit de cybersécurité pour structurer la feuille de route, un suivi continu des correctifs et, quand l’organisation n’a pas de pilotage dédié, un RSSI externalisé qui coordonne l’ensemble. Une gouvernance identifiée peut être appréciée d’un assureur, car elle réduit la probabilité que les recommandations restent lettre morte.
Les exigences d’un assureur reflètent surtout les scénarios qui coûtent réellement de l’argent. Les respecter protège d’abord l’entreprise, ensuite le contrat. Dans de nombreux cas, l’exercice révèle un nombre limité de chemins d’attaque critiques dont la correction a un impact disproportionné sur la résilience.
Des preuves plutôt que des promesses
Les assureurs ne demandent pas la perfection, ils demandent des preuves : un questionnaire exact, un pentest récent, des corrections suivies et un plan de réponse à incident testé. Avant le prochain renouvellement, la bonne question n’est donc pas « que répondre à l’assureur ? », mais « que peut-on démontrer dès aujourd’hui ? ».