Comment utiliser les signaux de cyber-risque pour une meilleure tarification ?

Les cybermenaces sont de plus en plus sophistiquées et de plus en plus nombreuses. Pour les souscripteurs, le défi consiste à disposer de suffisamment d'informations et d'analyses pour prendre des décisions éclairées fondées sur les données. Si une sécurité infaillible est impossible dans le monde numérique, car aucune mesure d'atténuation des risques ne peut éliminer les cyberrisques, la compréhension et l'utilisation efficace de ces données peuvent aider les assureurs à distinguer les bons risques des mauvais.

Un paysage des menaces en évolution

"À partir de la fin 2019, nous avons commencé à observer une forte hausse des Ransomware-as-a-Service (RaaS)", explique William Altman, consultant principal en cybersécurité chez CyberCube, une plateforme d'analyse des cyberrisques dédiée au secteur de l'assurance. "La fréquence et la gravité des attaques ont augmenté au plus fort de la pandémie, et la croissance du modèle RaaS a radicalement changé le marché de la cyberassurance. Les courtiers adoptent une approche plus proactive pour préparer les clients aux conversations avec les assureurs, tandis que les souscripteurs deviennent plus stricts dans leurs demandes de niveaux minimums d'hygiène en matière de cybersécurité."

Selon M. Altman, les rançongiciels sont le moyen numéro un de monétiser la cybercriminalité et devraient être une priorité pour les assureurs. Si certains assureurs développent des contre-mesures, les ransomwares sont une cible mouvante. Aujourd'hui, les acteurs de la menace ransomware intègrent de plus en plus des tactiques d'extorsion telles que la menace de publier les données volées, faisant pression sur leurs victimes pour qu'elles répondent à leurs exigences.

"Nous devons nous attendre à ce que les tactiques de ransomware changent radicalement au cours des six prochains mois", déclare Altman. "Les événements géopolitiques, notamment la guerre en Ukraine et les sanctions internationales, ont fortement impacté le modèle économique RaaS. Les acteurs de la menace continueront à s'adapter et à innover en cherchant à maintenir leurs profits."

Gérer le risque avec des signaux cybernétiques

Les assureurs doivent analyser une grande quantité de données, y compris l'entreprise, la chaîne d'approvisionnement numérique, le balayage du réseau externe, la sécurité interne derrière le pare-feu, les renseignements d'experts et les données historiques pour obtenir une vue d'ensemble du cyber risque.

Comme les cyberrisques se multiplient et deviennent plus complexes, les souscripteurs doivent connaître les tendances des cybermenaces et rester au fait de l'évolution du paysage des risques. Les meilleurs signaux de cyberrisque mesurent la cyberhygiène et permettent aux souscripteurs d'identifier les signaux d'alarme. En outre, des signaux de cyber-risque efficaces permettront aux souscripteurs de faire la différence entre des comptes apparemment similaires.

"Les signaux sont générés par l'analyse des données brutes", explique Altman. "Cela implique de scanner les ports, les gouffres DNS, le dark web, les logiciels de protocole de bureau à distance (RDP) et tout ce qui pourrait augmenter l'exposition au risque d'un client potentiel à un cyber événement."

Il est important que les signaux de cyberrisque reflètent l'activité des acteurs de la menace et que leur pouvoir prédictif soit validé par l'analyse de cyberévénements historiques. "Tous les signaux de cyberrisque ne sont pas créés égaux", dit Altman. "Identifier les cyberrisques en utilisant les bons signaux est la première étape d'une cyber-souscription rentable. Une fois que les souscripteurs ont sélectionné les bons signaux pour leur stratégie, ils peuvent quantifier le cyber risque pour permettre une tarification plus précise."

Analyse à 360 degrés

Selon Mme Altman, pour aider les souscripteurs à créer des modèles de tarification précis et à savoir quand éviter un risque, les signaux cybernétiques doivent révéler les facteurs de risque à la fois en termes absolus et par rapport aux groupes de pairs et à d'autres variables. En plus d'identifier les risques de sécurité contrôlables, les souscripteurs doivent accéder à la cyber-exposition inhérente d'une entreprise. "Il est important de comprendre l'exposition inhérente d'une entreprise pour déterminer si elle est ou non une cible attrayante pour les acteurs de la cybermenace", explique M. Altman.

La science des signaux

Face à l'augmentation des cybermenaces, les assureurs ont besoin d'informations actualisées, précises et pertinentes pour contrôler les risques et minimiser les sinistres liés à la cybercriminalité. Une stratégie de signaux cybernétiques renforce l'art de la souscription par la science et fournit une vision plus complète du risque dans l'un des domaines les plus difficiles pour les assureurs.