Cyber-assurance : les exigences techniques à satisfaire

Souscrire une cyber-assurance ne se résume plus à remplir un formulaire déclaratif signé à la va-vite. Face à l'explosion des rançongiciels, les assureurs conditionnent désormais la couverture, le niveau de franchise et le montant de la prime à des mesures techniques concrètes, vérifiables en cas de sinistre. Un questionnaire mal rempli ou une mesure absente peut entraîner une réduction d'indemnisation, voire un refus pur et simple de prise en charge. Comprendre ce que l'assureur attend, et savoir le mettre en œuvre sur l'ensemble de votre parc, devient donc un enjeu financier autant que sécuritaire.

La logique est simple : l'assureur cherche à mesurer votre exposition réelle au risque. Plus votre parc est maîtrisé, documenté et à jour, plus le risque baisse, et plus la couverture devient accessible à un tarif raisonnable. À l'inverse, une déclaration approximative se retourne contre vous le jour où il faut prouver que les mesures annoncées étaient bien en place. Voici les exigences les plus fréquentes et, surtout, comment les satisfaire concrètement.

Pourquoi les assureurs durcissent leurs exigences

Le marché de la cyber-assurance a été profondément déséquilibré par la vague de rançongiciels de ces dernières années. Les sinistres ont dépassé les primes collectées, obligeant les assureurs à revoir leur modèle. Plutôt que de refuser tout le monde, ils ont choisi de sélectionner et d'accompagner les entreprises capables de démontrer un socle de sécurité minimal.

• Les rançongiciels exploitent presque toujours les mêmes portes d'entrée : phishing, comptes sans MFA, failles logicielles non corrigées.
• Les mesures demandées sont précisément celles qui bloquent ces vecteurs à moindre coût.
• L'assureur veut pouvoir vérifier a posteriori que la mesure déclarée était réellement active au moment de l'attaque.
• Une entreprise capable de prouver sa diligence bénéficie de primes plus basses et de franchises réduites.

Les quatre piliers exigés par les assureurs

Les questionnaires varient d'un assureur à l'autre, mais quatre contrôles reviennent systématiquement, car ce sont les mesures qui réduisent le plus le risque de rançongiciel et de compromission de compte.

• Authentification multifacteur (MFA) sur tous les accès : messagerie, VPN, comptes administrateurs et applications cloud.
• Détection et réponse sur les endpoints (EDR ou antivirus nouvelle génération) active et supervisée sur chaque appareil.
• Sauvegardes régulières, testées et isolées selon la règle 3-2-1 pour restaurer rapidement après un rançongiciel.
• Gestion des correctifs : systèmes d'exploitation et applications tierces maintenus à jour dans des délais courts et documentés.

MFA et blocage de l'authentification héritée

L'authentification multifacteur est la mesure numéro un, car elle neutralise l'essentiel des attaques par vol d'identifiants. Attention toutefois : un MFA activé sur la messagerie ne suffit pas si l'authentification héritée (POP, IMAP, SMTP de base) reste ouverte et la contourne. Un assureur regarde la couverture réelle, pas la case cochée. Avec l'Accès conditionnel de Microsoft Entra, vous imposez le MFA à tous les utilisateurs et bloquez les protocoles hérités en une seule politique.

EDR actif et supervisé

Un antivirus classique ne suffit plus : les assureurs demandent une solution de détection et réponse (EDR) capable de repérer les comportements suspects, pas seulement les signatures connues. Microsoft Defender for Endpoint, intégré à l'écosystème, répond à cette exigence. Le point clé est la supervision : l'outil doit être actif sur chaque appareil et remonter ses alertes, ce que vous vérifiez via les politiques de conformité.

Sauvegardes isolées et testées

La règle 3-2-1 (trois copies, deux supports, une hors site et isolée) reste la référence. Mais une sauvegarde jamais testée est une fausse sécurité : les assureurs demandent des restaurations d'essai régulières. Une sauvegarde connectée en permanence au réseau peut être chiffrée par le rançongiciel en même temps que le reste : l'isolation est essentielle.

Correctifs système et applicatifs

Les délais de correction sont souvent chiffrés dans le contrat : par exemple, appliquer les correctifs critiques sous quinze ou trente jours. Cela vaut pour le système d'exploitation mais aussi, et c'est le point le plus oublié, pour les applications tierces.

Traduire ces exigences en configuration Intune

La bonne nouvelle : la plupart de ces mesures s'appliquent nativement via Microsoft Intune et l'Accès conditionnel, sans outil supplémentaire ni prestataire externe. Voici comment procéder concrètement.

1. 1Créer une politique d'Accès conditionnel imposant le MFA à tous et bloquant l'authentification héritée.
2. 2Déployer et superviser Microsoft Defender for Endpoint sur l'ensemble des appareils gérés.
3. 3Configurer des anneaux de mise à jour Windows Update for Business, échelonnés par groupe.
4. 4Déployer les dernières versions des navigateurs et logiciels tiers via Intune, puis vérifier la couverture.

Le point faible le plus souvent oublié reste le patch des applications tierces. Windows Update ne couvre ni Chrome, ni Zoom, ni un lecteur PDF, ni la plupart des utilitaires métier. Un assureur qui découvre, lors de l'enquête après sinistre, qu'une version obsolète de navigateur a servi de porte d'entrée peut invoquer un défaut de diligence et réduire fortement l'indemnisation.

Les erreurs fréquentes qui coûtent cher

Certaines maladresses reviennent régulièrement et fragilisent la couverture au moment où l'on en a le plus besoin. Les connaître permet de sécuriser sa déclaration.

• Déclarer le MFA « activé » alors qu'il ne couvre qu'une partie des comptes ou laisse passer les protocoles hérités.
• Considérer un antivirus intégré comme un EDR, alors que l'assureur attend une détection comportementale.
• Oublier les applications tierces dans la politique de correctifs et ne suivre que Windows Update.
• Ne conserver aucune preuve datée de l'état du parc, rendant toute démonstration impossible après coup.
• Ignorer les appareils en télétravail, souvent hors du périmètre des contrôles centralisés.

Prouver sa conformité, pas seulement la déclarer

En cas de contrôle ou de sinistre, il faut documenter l'état réel du parc : taux de couverture MFA, appareils conformes, versions logicielles effectivement déployées, dates de correction. Un inventaire à jour et des rapports datés valent bien mieux qu'une simple déclaration sur l'honneur, qui peut se retourner contre vous si elle s'avère inexacte.

L'idéal est de disposer, à tout moment, d'une vue consolidée démontrant que chaque exigence est réellement appliquée sur l'ensemble des appareils, et non seulement configurée sur le papier. Cette capacité à prouver, plus encore que la mesure elle-même, fait la différence lors de la négociation de la prime comme au moment de l'indemnisation.

Comment AuPoint vous aide

AuPoint aide les PME et les MSSP à couvrir ces exigences sans expertise PowerShell : déploiement guidé du MFA et de l'Accès conditionnel, activation et supervision de Defender, inventaire logiciel complet du parc, détection des applications vulnérables et des CVE associées, puis déploiement des correctifs via Intune avec les installeurs officiels des éditeurs, sans dépendre de winget sur les postes. Vous obtenez un tableau de bord clair pour répondre au questionnaire de votre assureur, et surtout pour le prouver le jour venu.

Questions fréquentes

Le MFA sur la messagerie suffit-il pour l'assureur ?

Non. Les assureurs attendent le MFA sur tous les accès sensibles : messagerie, VPN, comptes administrateurs et applications cloud. Ils vérifient aussi que l'authentification héritée, qui contourne le MFA, est bien bloquée. Une couverture partielle peut suffire à réduire l'indemnisation.

Windows Update couvre-t-il l'exigence de correctifs ?

Seulement en partie. Windows Update maintient le système d'exploitation, mais pas les navigateurs, lecteurs PDF et autres logiciels tiers, qui concentrent une grande part des vulnérabilités exploitées. La politique de correctifs doit inclure ces applications, avec une preuve de déploiement.

Comment prouver que les mesures étaient actives lors d'un sinistre ?

En conservant des rapports datés : taux de conformité, inventaire logiciel horodaté, historique des déploiements de correctifs. Une plateforme qui archive ces états vous permet de démontrer votre diligence a posteriori, ce qu'une simple déclaration ne permet pas.

Ne laissez pas une case mal cochée fragiliser votre couverture. Avec AuPoint, alignez votre parc Intune sur les exigences de votre assureur et gardez, en continu, la preuve que chaque mesure est bien appliquée. Demandez une démonstration pour voir votre niveau de conformité en quelques minutes.