Pourquoi la segmentation est importante aujourd'hui si vous voulez une cyberassurance

L'assurance cybernétique, également connue sous le nom d'assurance responsabilité cybernétique, couvre la responsabilité de votre entreprise en cas de violation de données ou un événement cybernétique pouvant impliquer des données sensibles telles que des informations sur les clients. Cela peut couvrir les informations personnelles identifiables (PII) telles que les numéros de sécurité sociale, les informations de carte de crédit et de compte, les permis de conduire et les dossiers médicaux.

La cyberassurance permet généralement de couvrir les coûts associés à la notification aux clients d'une violation de données, à la restauration de l'identité personnelle des clients concernés, puis à la récupération et à la réparation des données, des systèmes informatiques et des réseaux compromis. La cyberassurance est souvent exclue de l'assurance responsabilité civile générale et de l'assurance contre la criminalité.

En règle générale, la couverture d'assurance cybernétique passe soit par un courtier, soit directement par l'intermédiaire d'un assureur. Lorsque vous vous renseignerez, il vous sera demandé de remplir une demande qui comportera un certain nombre de questions différentes concernant votre profil de risque et vos exigences en matière de couverture. En cas d'approbation, le transporteur ou le courtier vous proposera une police, vous indiquera les conditions, les limites de couverture, la coassurance, etc.

Avez-vous réellement besoin d'une assurance cybernétique ?

Pour y répondre, posez-vous quelques questions :

• Qu'est-ce qu'un événement cybernétique tel qu'une violation de données peut avoir sur vos actifs et sur votre capacité à fonctionner ?
• En cas de menace contre votre organisation, pourriez-vous perdre de l'argent ou vous faire extorquer, ou vos clients seraient-ils concernés par un événement dont vous êtes le responsable ?
• La perte de propriété intellectuelle ou de données clients vous ferait-elle perdre des clients ou aurait-elle d'autres conséquences financières ?

La réalité est que tous les types d'organisations, des entreprises internationales aux petites et moyennes entreprises, utilisent la technologie pour faire des affaires et sont donc confrontées à un certain niveau de cyberrisque.

À mesure que la technologie devient de plus en plus complexe et sophistiquée, les menaces augmentent également. C'est pourquoi les organisations se préparent de plus en plus à souscrire une cyberassurance pour compléter leur stratégie de cybersécurité afin de gérer et d'atténuer leurs risques.

Les exigences de sécurité en matière de cybersécurité sont de plus en plus strictes

Dans leur Rapport 2021, le Government Accountability Office des États-Unis a constaté que de plus en plus de clients d'assurance optent pour une couverture cybernétique, passant de 26 % en 2016 à 47 % en 2020. Au cours de la même période, les sociétés d'assurance américaines ont vu le coût des cyberattaques presque doubler entre 2016 et 2019. En conséquence, les primes d'assurance ont également connu des augmentations importantes en raison des pertes financières subies par les transporteurs à la suite du paiement du nombre accru de sinistres.

Ce que nous avons constaté de première main de la part des transporteurs ces dernières années, c'est que, dans le but de réduire leurs pertes, ils examinent de plus près la préparation en matière de sécurité et les experts en étiquetage de leurs clients afin de leur apporter leur point de vue et leur expertise.

Dans leur Déclaration annuelle sur les biens et les pertes humaines 2022 Rapport complémentaire sur la cybersécurité et le vol d'identité, l'Association nationale des commissaires aux assurances (NAIC) a écrit :

En raison des risques croissants en matière de cybersécurité, les entreprises sont confrontées à un processus de souscription de plus en plus exigeant. Les assureurs examinent de manière plus approfondie les contrôles de sécurité, les processus internes et les procédures d'une entreprise en matière de cyberrisques. En outre, les souscripteurs sont plus prudents lorsqu'ils examinent le risque que présentent pour un assuré les tiers qui travaillent ou passent des contrats avec l'assuré.

Les transporteurs en ont assez de payer pour des violations qui auraient pu être évitées et des incidents qui auraient pu être maîtrisés. Ils reconnaissent qu'il existe de nombreuses vulnérabilités pour les entreprises, mais en collaboration avec les fournisseurs et les prestataires de services, ils mettent en place des outils de sécurité de pointe capables d'atténuer les risques de manière significative.

L'authentification multifactorielle (MFA) était une option intéressante il y a des années, mais elle est désormais absolument requise et vous ne pourriez probablement pas prétendre à des devis d'assurance contre les cyberattaques sans elle. Ensuite, nous avons commencé à voir les transporteurs imposer des outils de détection et de réponse tels que l'EDR et le MDR.

Maintenant, étant conscients que les violations sont inévitables, ils commencent à devenir obligatoires Segmentation Zero Trust (ZTS), qui, contrairement aux technologies de prévention et de détection, arrête la propagation des brèches en bloquant les voies de déplacement latéral et en n'autorisant que les communications souhaitées et nécessaires.

En savoir plus sur Zero Trust Segmentation ici.

La segmentation Zero Trust est de plus en plus requise pour les polices de cyberassurance

Si l'on considère le coût total de la plupart des violations, en dehors du DFIR (Digital Forensics and Incident Response) et du paiement de la rançon elle-même, la partie la plus coûteuse est la récupération.

La raison pour laquelle nous voyons les compagnies d'assurance et les régulateurs plaider en faveur de la segmentation, même bas de gamme vers les petites et moyennes entreprises, parce que le fait d'empêcher une attaque de se propager à quelques appareils seulement au lieu de tous permet de réduire considérablement le coût de la restauration. C'est pourquoi vous voyez des offres de souscription mises à jour de la part des assureurs, où la segmentation est désormais requise pour les actifs ou les points de terminaison critiques. (qui sont généralement le point de départ de nombreuses violations).

Heureusement, les coûts de restauration peuvent être contrôlés de manière importante si vous utilisez ZTS et empêchez la propagation des violations. Un récent émulation d'attaque réalisée par Bishop Fox a découvert que ZTS stoppe les attaques de rançongiciels quatre fois plus rapidement que la détection et la réponse seules, et que ZTS réduit considérablement le temps nécessaire à la restauration après un incident.

Imaginez les coûts qu'une compagnie d'assurance doit récupérer 1 000 postes de travail à la suite d'une attaque de rançongiciel contre une entreprise manufacturière de taille moyenne. Si l'entreprise avait mis en œuvre ZTS, empêché la propagation de l'attaque et n'avait eu à récupérer que 3 postes de travail à la place, la structure des coûts de restauration serait très différente.

ZTS ne s'appuie pas sur la détection comme les autres outils, et si le trafic ne parvient pas à atteindre vos actifs critiques, il ne peut pas les infecter, quelle que soit la technique d'attaque utilisée.

L'avenir de l'assurance inclut les outils de sécurité et les fournisseurs de services

Nous nous sommes entretenus avec plusieurs partenaires et assureurs, et ils conviennent que l'avenir de la cyberassurance passe par une collaboration étroite qui associe des fournisseurs de sécurité, des prestataires de services et des compagnies d'assurance.

Dans ce paysage de menaces en constante évolution, les entreprises agiles ont besoin d'une planification complète de la continuité, qui commence par la mise en place des bons outils et, dans certains cas, par une feuille de route pour la stratégie de sécurité, comme l'adoption de l'un des meilleurs frameworks tels que NIST CSF, CIS ou CMMC. Les prestataires de services de confiance peuvent aider les responsables informatiques à mettre en place une bonne hygiène de sécurité de manière proactive et à doter les organisations d'un dispositif de sécurité ayant un impact significatif.

La cyberassurance devrait être un élément clé de votre stratégie de gestion des risques, mais elle ne peut pas être la seule. Si vous êtes propriétaire d'une propriété, achèteriez-vous uniquement une assurance incendie et non des détecteurs de fumée et des dispositifs d'atténuation des incendies ? J'espère que non, mais même si vous le faisiez, vous vous attendriez à payer une prime plus élevée étant donné que vous n'avez pas déployé de commandes qui réduisent réellement vos risques d'incendie.

Le fait est que les entreprises qui sont mieux préparées paieront un meilleur taux que celles qui ne le sont pas. Être en mesure de le démontrer vous permettra non seulement de vous protéger contre un cyberévénement, mais également de vous faire économiser de l'argent et de gagner du temps en collaborant avec votre opérateur en cas de problème.

Illumio ZTS est une solution de sécurité proactive qui réduit les coûts de cyberassurance

Quand le ZTS devrait-il faire partie de la stratégie de sécurité de votre entreprise ? Si vous possédez déjà des produits MFA et EDR/MDR, alors le ZTS devrait être votre prochaine priorité, s'il n'a pas encore été mandaté.

Non seulement vous aurez une longueur d'avance avant le renouvellement de votre prochain contrat de cyberassurance, mais vous serez en mesure de renforcer l'efficacité de vos outils de détection existants en atténuant leur faiblesse en matière de temps de séjour tout en augmentant considérablement vos capacités de réponse.

Si vous êtes confronté à des mandats de segmentation de la part de votre compagnie d'assurance cybernétique, contactez-nous dès aujourd'hui pour une consultation et une démonstration.