Blog · Sécurité
Questionnaire assurance cyber : les réponses attendues
Les réponses attendues dans un questionnaire d’assurance cyber doivent décrire votre situation réelle, preuves à l’appui. L’assureur cherche notamment à comprendre vos accès, sauvegardes et pratiques de sécurité. Faites préciser les formulations ambiguës, distinguez ce qui est déployé de ce qui est prévu et conservez une copie datée de votre déclaration.
Par Pierre de Ramel · publié le · mis à jour le · 4 min de lecture
Pourquoi ne faut-il pas chercher la bonne case ?
Un questionnaire n’est pas un examen où il faudrait deviner la réponse rassurante. Il sert à décrire un risque et à préparer une proposition contractuelle. Une affirmation trop large peut créer un écart entre ce que vous pensez déclarer et ce que le document semble garantir. La meilleure méthode consiste à relier chaque réponse à une preuve identifiable et à un périmètre précis.
Dans une PME, plusieurs personnes détiennent souvent une partie de l’information : direction, prestataire, responsable administratif ou éditeur du logiciel métier. Organisez une collecte commune plutôt que de laisser une personne répondre de mémoire. Distinguez les équipements gérés, les usages personnels et les services hébergés. Quand une question reste incomprise, demandez une clarification écrite au courtier ou à l’assureur avant de transmettre le formulaire signé.
Comment répondre sur les accès et le MFA ?
Le MFA, ou authentification multifacteur, ne se résume pas à une option disponible dans votre abonnement. Vérifiez son application effective aux utilisateurs, aux administrateurs et aux accès distants. Certaines exceptions techniques peuvent subsister. Une réponse affirmative globale n’est pas adaptée si seuls les comptes de direction sont protégés ou si les administrateurs utilisent encore un accès sans second facteur.
Préparez un relevé des politiques actives et de leurs exceptions, en évitant de communiquer des secrets ou des codes de récupération. Expliquez les comptes techniques, les comptes partagés et les éventuelles applications anciennes. Faites aussi vérifier le départ des collaborateurs : un compte désactivé dans la messagerie peut conserver des accès ailleurs. Une réponse utile décrit le processus de création, de modification et de fermeture des accès, avec une personne responsable de sa validation.
Quelles preuves fournir pour les sauvegardes ?
Précisez ce qui est sauvegardé : fichiers, serveurs, messagerie, espaces collaboratifs et applications métier. Le mot sauvegarde peut recouvrir des dispositifs très différents. La présence d’une copie ne dit rien de son isolement, de sa conservation ou de sa capacité à résister à une compromission des comptes d’administration. Ne confondez donc pas synchronisation, historique des versions et copie indépendante.
Conservez un compte rendu du dernier test de restauration, les règles de conservation et la description des accès administratifs. Le test doit montrer ce qui a été récupéré et les limites rencontrées. Si un logiciel hébergé n’offre pas d’export exploitable, indiquez cette dépendance au lieu de supposer que son fournisseur prend tout en charge. Un projet de sauvegarde prévu au prochain trimestre doit rester présenté comme un projet, avec son état d’avancement réel.
Que dire des correctifs et de la surveillance ?
Pour les mises à jour, décrivez le fonctionnement habituel et les exceptions. Qui suit les équipements ? Qui traite les alertes ? Que se passe-t-il lorsqu’un poste reste éteint ou lorsqu’une application impose une version ancienne ? Une politique écrite n’a de valeur opérationnelle que si quelqu’un vérifie son application. Préparez un inventaire et un relevé de conformité plutôt qu’une promesse abstraite de sécurité permanente.
Concernant la protection des postes, reprenez les termes du questionnaire et faites-les expliquer si nécessaire. Un antivirus classique, une solution de détection avancée et une surveillance humaine ne désignent pas le même service. Vérifiez notamment les horaires de traitement et les responsabilités lors d’une alerte. Ne déclarez pas une surveillance continue simplement parce qu’un logiciel fonctionne en permanence : il faut aussi savoir qui reçoit les alertes et qui peut intervenir.
Comment valider le dossier sans ralentir la souscription ?
Construisez un petit dossier de preuves, avec une date, un responsable et une référence pour chaque thème. Il peut contenir des comptes rendus de restauration, des extraits de configuration et les procédures d’habilitation. Partagez les documents par un canal adapté, après avoir masqué les informations inutiles. L’assureur n’a pas besoin de vos mots de passe pour comprendre votre niveau de protection.
La direction doit relire les réponses techniques avec le prestataire, puis comparer le contrat proposé aux besoins réels : périmètre assuré, exclusions, assistance et conditions de mobilisation. Signalez les réserves de manière visible et demandez leur prise en compte écrite. Pierre de Ramel, fondateur d’AldenSync, société d’infogérance pour les PME à Paris, signe cet article avec un principe simple : mieux vaut une situation imparfaite clairement documentée qu’une protection idéale seulement déclarée.