En quoi le cyber est-il différent des autres formes de risques couverts par les (ré)assureurs ?
D’abord, il est très fluctuant, ce qui a de grosses implications pour les ingénieurs et analystes en charge de le surveiller. Il y a 4 ou 5 ans, par exemple, les fuites de données étaient considérées comme la pire menace. Plus récemment, on a plutôt vu les rançongiciels devenir un vrai problème, sans parler des malwares (programmes malveillants) qui infectent beaucoup d’ordinateurs différents. En réalité, il y a une composante catastrophique dans le cyber comme dans les risques naturels : c’est un risque bien plus complexe que d’autres auxquels sont confrontés les assureurs. Et c’est un risque qui évolue en fonction des activités humaines.
L’est-il aussi par la manière dont il affecte les entreprises ?
Oui, car il touche de multiples lignes d’activité. Nos vies sont comme doublées par nos activités numériques : à peu près tout ce que nous faisons a son pendant cyber. Et chaque activité effectuée rajoute donc potentiellement une nouvelle ligne d’activité assurantielle. Un cabinet d’avocat qui détiendrait des données sensibles sur ses clients peut devenir une cible intéressante pour des hackers, par exemple. C’est un nouveau risque, une exposition cyber.
Ce risque implique donc de nouvelles responsabilités pour les entreprises. Comment cela se traduit-il dans leurs couvertures d’assurance ?
Nos activités personnelles comme nos activités professionnelles sont toujours plus dépendantes du numérique. Donc dans les assurances de responsabilité civile, par exemple, il y a un nouveau territoire : si une entreprise ne surveille pas correctement ses activités numériques, si un particulier ne prend pas suffisamment soin des informations qu’il brasse en ligne, alors il y a un sujet à couvrir. Les assureurs eux-mêmes sont potentiellement plus exposés qu’auparavant : si leur système informatique est compromis et qu’ils ne peuvent plus conduire leurs propres activités, nous devons couvrir en tant que réassureur un nouveau risque d’interruption de l’activité.