La gestion du risque cyber des assureurs laisse à désirer

Le risque cyber inquiète le superviseur. L’Autorité de contrôle prudentiel et de résolution (ACPR) a publié vendredi une notice appelant les organismes d’assurance à mieux appréhender ce risque en pleine explosion. Le document vise à s’assurer que les entreprises du secteur respectent les orientations de l’autorité européenne des assurances (Eiopa) et «les diligences à effectuer par les organismes d’assurance et de réassurance afin de tenir compte de l’importance de la gestion du risque des nouvelles technologies de l’information et de sa prise en compte par la gouvernance».

Pour cela, elle précise 25 orientations. La première appelle à une meilleure proportionnalité dans les dispositions des organismes eu égard à l’intensité du risque cyber, supposant donc que le compte n’y est pas. Viennent ensuite une série d’éléments concernant les technologies de l’information et de la communication (cadre de gouvernance, stratégie, risques) et des orientations visant notamment la surveillance de la sécurité. «Les entreprises devraient instaurer (…) une fonction de sécurité de l’information dont les responsabilités seraient confiées à une personne désignée», précise par exemple l’ACPR.

Le superviseur critique aussi la communication des organismes sur le sujet, jugeant par exemple qu’«en cas de perturbation ou d’urgence (…) les entreprises devraient veiller à disposer de mesures de communication efficaces en situation de crise».

Enfin, il précise que les entreprises devraient veiller que les exigences soient bien respectées dans le cas d’appel à un prestataire externe, citant la technologie cloud.

Cette notice n’est pas anodine : «le secteur financier est le plus touché par les attaques», rappelle l’ACPR. Le risque cyber est d’ailleurs le seul jugé en augmentation dans l’évaluation des risques du système financier au premier semestre 2021 de la Banque de France. En ce qui concerne le secteur de l’assurance, MMA et MNH ont récemment vu leurs systèmes informatiques plantés pour cette raison. Mais, avec la fuite de données dont a été victime Axa en France et l’attaque de pirates informatiques contre une de ses filiales asiatiques, la question des données se révèle particulièrement épineuse. Le superviseur précise être très vigilant sur la question mais interpelle aussi les organismes d’assurance : «Cela reste un sujet de préoccupation et un enjeu de taille dans le domaine assurantiel qui justifie, pour l’ensemble des acteurs du marché, une prise en compte appropriée de ces risques.»