Le coût de la cyberassurance augmente à mesure que les risques auxquels les entreprises sont confrontées s’intensifient

L’assurance cyber évolue rapidement, dépassant son rôle initial d’outil de protection financière pour devenir un mécanisme de plus en plus influent dans la manière dont les organisations gèrent les risques numériques, conduisent leurs opérations internationales et protègent leurs employés lors de déplacements transfrontaliers. À mesure que les assureurs renforcent leur supervision de l’exposition cyber, les organisations opérant à l’international devraient faire face à des exigences de conformité plus strictes, à un examen accru des risques numériques et à une pression croissante pour aligner leurs pratiques de sécurité sur des standards de souscription en constante évolution. L’augmentation des pertes liées aux rançongiciels, à la fraude assistée par l’IA, aux perturbations d’infrastructures et à la cybercriminalité transfrontalière devrait accélérer cette tendance.

Le marché de l’assurance cyber s’est considérablement développé au cours de la dernière décennie. Les primes cyber mondiales sont passées d’un montant estimé entre 3 et 5 milliards de dollars US par an au milieu des années 2010 à plus de 20 milliards de dollars US aujourd’hui. Certaines prévisions sectorielles suggèrent que le marché pourrait dépasser 50 milliards de dollars US au début des années 2030. Fait notable, l’assurance cyber s’est également étendue au-delà des rançongiciels, des violations de données, des interruptions d’activité, de la responsabilité juridique, de l’investigation numérique et de la réponse réglementaire, pour inclure désormais le rétablissement opérationnel, les communications de crise, les négociations d’extorsion et les perturbations de la chaîne d’approvisionnement. Dans certaines juridictions, les assureurs proposent également une couverture contre la fraude numérique, les attaques par ingénierie sociale et les interruptions de services cloud. Cette couverture élargie reflète l’impact opérationnel croissant des incidents cyber sur les activités commerciales mondiales.

L’élargissement du périmètre de couverture de l’assurance cyber et des exigences de souscription aura probablement des implications au-delà des seuls programmes de sécurité d’entreprise, en influant sur la manière dont les organisations gèrent les voyages de leurs employés et leurs opérations transfrontalières. Les voyageurs internationaux sont plus fréquemment exposés au vol de comptes, aux attaques par échange de carte SIM, aux réseaux d’hôtels et d’aéroports compromis, aux systèmes de paiement frauduleux et au ciblage des appareils lors des déplacements transfrontaliers. Les dirigeants, diplomates, détenteurs de cryptomonnaies, secteurs des infrastructures critiques et travailleurs à distance sont ceux qui font probablement face aux niveaux de risque les plus élevés.

La supervision des assureurs dépasse la cybersécurité traditionnelle 

Les prestataires d’assurance cyber dépassent de plus en plus les fonctions traditionnelles de transfert des risques et deviennent des acteurs actifs de la manière dont les organisations gèrent la cybersécurité, la résilience opérationnelle et les risques technologiques. Les assureurs collectent désormais de nombreuses données opérationnelles auprès des assurés, notamment sur l’architecture réseau, les inventaires logiciels, les registres de gestion des correctifs, les relations avec les fournisseurs et les calendriers d’intervention en cas d’incident.

Cette tendance devrait s’accélérer à mesure que les cyberattaques génèrent des pertes opérationnelles et financières plus importantes dans les chaînes d’approvisionnement mondiales, les réseaux d’infrastructures critiques et les secteurs dépendants du numérique. À mesure que les assureurs assument une exposition accrue à ces risques, ils chercheront probablement à obtenir une visibilité plus directe sur les pratiques de sécurité des assurés.

• Les assureurs pourraient exiger un accès direct aux plateformes de surveillance de la cybersécurité des entreprises afin de maintenir l’éligibilité à une couverture active.
• Les données en temps réel provenant des terminaux, des services cloud et des systèmes industriels deviendront probablement une exigence standard pour les polices destinées aux grandes entreprises.
• Certains assureurs pourraient se réserver le droit de suspendre la couverture si les organisations ne corrigent pas les vulnérabilités identifiées dans un délai défini.
• L’implication accrue des assureurs dans les enquêtes sur les incidents cyber devrait renforcer le partage transfrontalier d’informations entre régulateurs, institutions financières, enquêteurs forensiques et partenaires des forces de l’ordre. 

L’IA et les technologies émergentes transforment l’évaluation des risques cyber 

L’IA devrait transformer la manière dont les assureurs évaluent les risques cyber, déterminent la responsabilité et apprécient la résilience organisationnelle au cours des prochaines années. Les systèmes d’IA permettent déjà de mener à grande échelle des campagnes d’hameçonnage plus sophistiquées, des usurpations vocales, des communications vidéo synthétiques et des opérations automatisées de découverte de vulnérabilités.

Dans le même temps, les progrès des capacités défensives fondées sur l’IA avancent tout aussi rapidement et créent de nouvelles possibilités pour les organisations d’identifier les vulnérabilités, de renforcer les contrôles de sécurité et d’améliorer leur résilience cyber. À mesure que ces outils se généraliseront, les assureurs devraient commencer à prendre en compte leur utilisation dans le cadre d’évaluations plus larges de la posture de cybersécurité et du profil de risque global des organisations. Ces évolutions obligeront probablement les assureurs à réévaluer leur définition de la négligence, des normes d’authentification et des pratiques acceptables en matière de cybersécurité.

Les assureurs pourraient différencier de plus en plus leurs tarifs et leurs conditions de couverture selon les modèles d’IA, les plateformes cloud et les environnements de données sur lesquels les organisations s’appuient. Par exemple, ils pourraient examiner si les entreprises utilisent des systèmes d’IA nationaux, des plateformes cloud étrangères ou des grands modèles de langage entraînés à l’extérieur.

• L’intégration croissante de systèmes assistés par l’IA dans les infrastructures de transport, de logistique, d’énergie et de communications devrait introduire de nouvelles formes de risque cyber systémique que les assureurs devront évaluer.
• Les progrès de l’informatique quantique pourraient accroître les préoccupations à long terme concernant la durabilité du chiffrement et la sécurité des communications.
• Les systèmes autonomes de cyberdéfense pourraient réduire les délais de réponse, même si les assureurs examineront probablement de près les questions de responsabilité lorsque des outils pilotés par l’IA provoquent des perturbations opérationnelles ou produisent des évaluations inexactes des menaces.
• Les infrastructures Internet spatiales et les réseaux de communications satellitaires devraient faire l’objet d’une surveillance accrue de la part des assureurs en raison de leur importance croissante pour les opérations militaires, les infrastructures critiques et la compétition géopolitique. 

L’assurance cyber deviendra presque certainement un facteur majeur dans la manière dont les entreprises internationales se déplacent, achètent et planifient leurs opérations. Les entreprises pourraient commencer à considérer les exigences d’assurance comme un élément de leur accès au marché et du maintien de la confiance commerciale. Les entreprises les plus avancées structurent déjà leurs programmes de voyage autour d’appareils temporaires « vierges », de systèmes de communication segmentés et d’environnements à accès restreint pour les employés se rendant dans des juridictions à haut risque.

• Certaines multinationales localisent désormais le stockage des données sensibles afin de réduire leur exposition lors des voyages transfrontaliers et des inspections réglementaires.
• Les institutions financières intègrent systématiquement les équipes chargées des risques cyber dans les négociations de fusion, les projets d’infrastructure et les examens des achats internationaux.
• Les opérateurs d’infrastructures pourraient voir les assureurs exiger des tests indépendants de résilience des réseaux de technologies opérationnelles avant le lancement de grands projets.
• Les cabinets internationaux de conseil et d’avocats maintiennent de plus en plus des équipes permanentes de crise cyber capables de répondre aux saisies d’appareils, aux confiscations de données ou aux allégations de compromission impliquant du personnel en déplacement.

Les voyageurs internationaux pourraient également subir les effets indirects de l’évolution des standards de l’assurance cyber.

• Les voyageurs d’affaires pourraient recevoir une formation obligatoire à l’hygiène numérique avant d’entrer dans certaines juridictions.
• Les entreprises pourraient restreindre l’utilisation des bornes de recharge publiques, des réseaux Wi-Fi d’hôtel, des applications de messagerie personnelles et du stockage cloud non administré lors des voyages d’affaires.
• Les employés impliqués dans les marchés publics, le financement d’infrastructures, le développement de semi-conducteurs ou les secteurs adjacents à la défense pourraient faire l’objet d’un suivi renforcé de leurs communications et de l’activité de leurs appareils. 

Découvrez comment tirer parti de nos experts régionaux et thématiques de premier plan pour bénéficier d’informations et d’analyses qui aident votre organisation à garder une longueur d’avance sur les risques pesant sur vos collaborateurs et vos opérations.