Assurance cyber PME : l’erreur qui coûte 35 000 €
Mardi, 9h15. Marc ouvre sa messagerie. Il dirige une PME de 14 salariés spécialisée dans les revêtements de sol industriel, à Metz. Il a survécu à la cyberattaque de janvier. Ses serveurs sont revenus à la vie au bout de 11 jours. Il a pensé s’en être sorti.
Ce matin, il reçoit la facture de son prestataire de remédiation, son équipe de Cyber Pompiers.
- 47 000 €.
Marc n’est pas du genre à paniquer. Il ouvre le document de son assureur. Il a souscrit une assurance cyber l’an dernier – 1 400 € par an.
- Je suis couvert, s’était-il dit. 🙂
- L’assureur lui rembourse 12 000 €. 🙁
Pour les 35 000 € restants, la réponse est moins confortable :
- Exclusion contractuelle – absence de mesures de sécurité préalables documentées
Marc relit la clause trois fois. Il ne comprend pas exactement ce que ça veut dire, mais il comprend très bien ce que ça ne veut pas dire : qu’il sera remboursé.
Pourquoi l’assurance n’a pas suffi
L’assurance cyber, c’est un peu comme l’assurance voiture tous risques : elle couvre ce qui était en état de marche avant l’accident. Si votre voiture n’avait plus de freins et que vous le saviez, l’assureur peut légitimement refuser de payer.
Dans le cas de Marc, l’assureur a estimé que plusieurs mesures de sécurité de base n’étaient pas en place au moment de l’attaque :
- pas de mise à jour régulière des systèmes.
- pas de politique de mots de passe documentée.
- pas de sauvegarde hors ligne vérifiée.
Rien d’illégal – juste suffisamment de lacunes pour que la clause d’exclusion s’applique.
Ce qui rend la situation encore plus douloureuse : six mois avant l’attaque, un aidant cyber accrédité ANSSI avait proposé un diagnostic MonAideCyber. Gratuit. Marc avait décliné – trop occupé, pas le bon moment.
- Le diagnostic aurait duré environ deux heures.
- Il aurait permis d’identifier précisément les failles exploitées par l’attaquant.
- Il n’aurait entraîné aucun coût.
La remédiation, elle, a coûté 47 000 €. Dont 35 000 € à la charge personnelle de Marc.
Ce que Marc aurait pu faire différemment
- Accepter le diagnostic MonAideCyber. Deux heures, gratuit, pas de vente cachée. Juste un état des lieux honnête par un aidant accrédité sous contrôle de l’ANSSI. D’autres dirigeants de PME ont déjà franchi ce pas – et ne l’ont pas regretté.
- Lire les exclusions de son contrat d’assurance cyber. Avant de signer, pas après l’attaque. La plupart des contrats exigent un niveau minimal de sécurité documenté pour être valables.
- Faire vérifier ses sauvegardes. Pas juste les configurer – les tester. Une sauvegarde non testée est une sauvegarde dont on ne sait pas si elle fonctionne.
- Mettre à jour ses systèmes. Régulièrement. Les attaquants exploitent des failles connues, documentées, corrigées – sur des systèmes qui n’ont pas appliqué les correctifs.
La leçon de Marc, en une phrase
- Se sentir « couvert » par une assurance cyber sans avoir vérifié les conditions de couverture, c’est comme penser qu’on peut conduire sans permis parce qu’on a payé son assurance.
- L’assurance est utile. Elle ne remplace pas la prévention contre les ransomwares. Et la prévention, quand elle s’appelle MonAideCyber, coûte exactement 0 €.
Passez à l’action
Diagnostic MonAideCyber – GRATUIT :
- Le diagnostic MonAideCyber vous permet de faire le point en 2 heures. Gratuit, anonyme, sécurisé, réalisé dans un cadre associatif sous le contrôle de l’ANSSI – l’agence nationale de l’Etat qui s’occupe de la cybersecurite en France.
- Demander mon diagnostic MonAideCyber gratuit
Accompagnement Eur’Net :
- Pour aller plus loin, Eur’Net vous accompagne dans la mise en oeuvre. Contacter Eur’Net
le1313, c’est :
✅ Une idée claire chaque mardi
✅ Une pause utile dans le flot numérique
✅ Un format court, pour tous les niveaux
✅ Un ton pédagogique, jamais moralisateur
Une URL à retenir : le1313
Aidant cyber accrédité ANSSI, ambassadeur innovation ANSSI, activateur France Num. Mon credo : un sinistre cyber, ce n'est plus "si" mais "quand". La question c'est : vous regardez le tsunami arriver depuis la plage, ou vous apprenez à surfer et vous préparez vos plans A, B, C ?
Entre deux diagnostics, j'élève aussi des IA bio au grand air.
