RiskAssur-hebdo
- Le magazine professionnel des Risques et des Assurances
Abonnement gratuit sur
page 32 - Numéro 466 du 11 novembre 2016
Reportage
la cinquième depuis 2007, qui vise à identifier les
risques dans un environnement économique de plus
en plus complexe, le cyber-risque est entré dans la
liste des dix premiers, au neuvième rang, alors qu’il
n’était qu’à la dix-huitième place en 2007.
Cette transformation digitale croissante engendre
des expositions financières de plus en plus lourdes.
Une enquête récente conduite pour AON par le
Ponemon institute que les valeurs perçues des actifs
tangibles et intangibles sont voisines : 872 Millions
de Dollars pour les premiers, et 845 pour les seconds.
En revanche, l’impact et la vraisemblance de la
réalisation de menaces sur les actifs intangibles sont
perçues comme significativement plus élevées.
Globalement, l’impact d’un événement cyber sur les
actifs intangibles est évaluée à +163 % par rapport au
sinistre maximum possible sur des actifs physiques.
En 2015, il y a eu 295 incidents « cyber » ICS
4
déclarés
à l’agence ICS-CERT
5
. Parmi, les incidents graves des
années 2000, on note que les événements « cyber »
peuvent avoir pour conséquence des dommages
physiques :
2000 Hunter Watertech / Maroochy Shire
Council SCADA hack : une usine de traitement des
eaux a provoqué la relâche incontrolée d’eaux
usées,
2008 Baku-Tbilisi-Ceyhan (BTC) : attaque cyber
sur un oléoduc (rumeur non confirmée)
2010 Stuxnet SCADA : un logiciel malveillant
a provoqué la perte de contrôle sur des
centrifugeuses qui ont fini par s’autodétruire
2011 Duqu and Flame sons-of-Stuxnet utilisés
pour recueillir des informations sur le système de
contrôle informatique de compagnies d’énergie
2011 Night Dragon données subtilisées sur
les systèmes SCADA de différentes compagnies
d’énergie
2012 Shamoon shut down Saudi Aramco and
RasGas business information systems
2015 German Steel Mill hack: causing
destruction of blast furnace
2016 Ukrainian Grid: causing widespread
outages
4
L’édition de logiciels spécifiques. Depuis sa création, ICS
édite des logiciels sur mesure, pour des activités civiles et militaires
(habilitation défense).
5
Computer Emergency Readiness Team – Equipe de prepa-
ration aux urgences informatiques
*
Problématiques distribuées
Chacun des silos qui pourraient être impacté en cas
d’attaque cyber se focalise sur un élément du profil
digital ou du cyber risque. Malgré l’évolution rapide
de la technologie et du paysage des menaces, les
acteurs économiques continuent de s’occuper des
cyber-risques de façon éclatée, chacun dans son
silo. On peut citer :
ü
Ressources humaines
: sur la sélection des colla-
borateurs, leur implication et leur formation,
ü
Opérations/Commercial
: sur la technologie
comme pilote de la performance et de la com-
pétitivité,
ü
Conformité/Juridique
: sur les problématiques
de respect de la vie privé, et a conformité légale
et réglementaire,
ü
Sécurité informatique
: sur la protection des
données et des informations contre les intru-
sions inamicales.
Les cyber-risques sont évalués et traités dans
chacun des silos au sein de l’organisme. C’est en
partie ce qui explique la difficulté des stratégies des
risques et des assurances à s’adapter pour suivre
l’évolution digitale. La transformation digitale est
en fait un terme générique qui recouvre l’ensemble
des évolutions que connait le contexte, interne et
externe, des organismes avec pour conséquence
la création de nouveaux marchés et de nouvelles
structures organisationnelles avec leur cortège de
menaces et d’opportunités.
Ce mouvement, brownien pensent certains, modifie,
voire bouleverse les fondamentaux sur lesquels les
organismes s’appuient pour se développer avec
l’impact que l’on imagine sur les « business models »
et les profils de risques. La difficulté supplémentaire
est que toutes les branches et secteurs ne sont
pas soumis au même rythme de transformation,
de même que chaque organisme au sein d’un
secteur donné en fonction de son réseau de parties
intéressées. Dans toutes les situations toutefois, le
phénomène commun est la difficulté des stratégies
risques et assurances pour rester pertinentes dans
cette nouvelle réalité digitale/cyber.
Au niveau des couvertures d’assurances proposées
par les acteurs du marché des entreprises, la
perception par les acheteurs d’assurances est qu’elles
ne répondent pas aux besoins des organismes.
L’assurance cyber est relativement nouvelle sur
les marchés, même dans les pays développés,
