Un rapport parlementaire milite pour le non-paiement des cyberrançons

C’est presque un pavé jeté dans la marre. Alors que les défis et limites de l’assurance du risque cyber ne cessent d’apparaître au grand jour avec l’accélération de la digitalisation durant la pandémie, la députée LREM Valéria Faure-Muntian entend faire avancer les choses. La présidente du groupe d’études Assurances à l’Assemblée nationale a rendu public un rapport dans lequel elle énonce 20 propositions pour «clarifier et définir les termes propres au champ du risque cyber, avant de délimiter une législation efficace susceptible de le réguler», «garantir la résilience et la défense des entreprises et collectivités françaises» et dynamiser le marché de la cyberassurance.

En définissant le risque cyber comme un ensemble de risques liés à une utilisation malveillante des systèmes informatiques et des technologies de l’information des particuliers, administrations ou entreprises, Valéria Faure-Muntian veut clarifier le volet juridique de l’assurance cyber. Ainsi, sur le paiement des rançons, qui fait débat entre les assureurs, elle tranche : «il convient d’inscrire dans la loi l’interdiction pour les assureurs de garantir, couvrir ou d’indemniser la rançon». Ce choix est justifié par l’alimentation de la cybercriminalité, l’encouragement à la récidive mais aussi l’incertitude sur la récupération des données malgré le paiement de la rançon.

Sensibilisation et pôle de cyberdéfense offensif

Jérôme Notin, directeur général du Groupement d’intérêt public action contre la cybermalveillance (GIP ACYMA), rappelle dans la préface du rapport que «pour commencer à se protéger, il faut déjà prendre conscience des risques pour en accepter les contraintes». C’est pourquoi une sensibilisation annuelle des salariés des petites et moyennes entreprises (PME) au sujet est proposée. «Du civil au militaire, en passant par la police, la gendarmerie et la justice, il convient de renforcer la formation en cybersécurité», résume, de manière générale, le rapport. Seules les entreprises qui travaillent pour ou avec l’État et des opérateurs fournissant des services vitaux pour l’économie (OIV/OSE) se verraient alors obligées de se doter d’une police d’assurance cyber. Valéria Faure-Muntian propose aussi d’augmenter le soutien économique au GIP ACYMA pour la mise en place d’un futur observatoire national de la menace et du risque numérique.

En outre, la députée souligne que «si la cyber protection d’une partie du monde économique français est assurée par l’Anssi (Agence nationale de la sécurité des systèmes d’information), la cyberdéfense en la matière est une grande absente» puisque le commandement de la cyberdéfense des armées (COMCYBER) est limité à des finalités d’intérêts militaires. C’est pourquoi la proposition numéro 13 suggère de «créer au sein de l’État une agence nationale dédiée à des opérations cyber-offensives dans le secteur économique et industriel». Ce manque de possibilités offensives est aussi critiqué par d’autres dans le secteur financier. Bernard Gavgani, global chief information officer chez BNP Paribasdéplore ainsi «qu’une banque ne puisse pas riposter à une attaque».

Partenariat public-privé

Pour dynamiser le marché de l’assurance, les compagnies doivent monter en compétence sur leur propre risque et l’exposition de leur portefeuille. Puisqu’aucun acteur ne peut porter le risque seul, «il faut une coordination permettant aux assureurs européens de joindre leurs efforts», affirme la députée, proposant d’«envisager le partenariat public-privé pour le segment systémique du risque cyber». Une vision appelée de ses vœux par Frédéric de Courtois, directeur général d’Axa, lors de la présentation du Futur Risks Report d’Axa, dans lequel le risque cyber prend la deuxième place.

Valéria Faure-Muntian énonce deux dernières propositions pour dynamiser l’offre assurantielle : «créer une nouvelle branche d’assurance dédiée à la cyberassurance» et «développer des solutions hybrides de cybersécurité et de cyberassurance pour les PME et les collectivités territoriales».