Sortir le risque cyber de la chambre froide : quand un équipement connecté met l’activité à l’arrêt
Pour une enseigne de distribution alimentaire, le rayon frais fait venir les clients, porte une part importante du chiffre d’affaires et engage sa responsabilité sanitaire. Qu’il ferme dans un magasin, la perte reste contenue : quelques dizaines de milliers d’euros de denrées à jeter, un montant qui ne remontera jamais en comité des risques. Qu’il ferme dans trois cents magasins à la fois, l’atteinte se chiffre en millions d’euros. Nul besoin pour cela d’un point unique de défaillance : il suffit de compromettre, même en vagues successives, les dispositifs de contrôle du froid d’une poignée de prestataires qui équipent à eux seuls tout le réseau, chacun avec une configuration identique d’un magasin à l’autre. Peu d’organisations ont cartographié, chiffré ou vérifié ce scénario auprès de leur assureur. Ces ordres de grandeur sont illustratifs, mais le raisonnement vaut pour toute activité qui repose sur un équipement opérationnel connecté, de l’IoT aux technologies opérationnelles (OT) : la climatisation pilotée à distance d’un data center, les convoyeurs automatisés d’un entrepôt, les pompes d’une station de traitement d’eau. Cet article part de ce que l’entreprise doit protéger, montre comment chiffrer l’atteinte et la confronter au programme d’assurance, puis propose en conclusion, dans la partie « Par où commencer », cinq actions concrètes pour les RSSI et les Risk Managers.
Partir de ce que l’entreprise doit protéger
Revenons au supermarché. Ce que l’enseigne doit protéger, c’est la continuité de son activité de produits frais : des rayons ouverts, des denrées conformes et des clients qui reviennent. Le dispositif de contrôle du froid est l’un des chemins par lesquels cette activité peut être atteinte. Installé par le frigoriste, supervisé à distance et suivi, au mieux, comme un actif technique, il reste souvent « l’équipement du prestataire » et sa vulnérabilité une ligne dans un rapport d’audit. Considéré par le prisme de l’activité qu’il soutient, il devient un scénario de risque dont l’impact se décrit sans peine : chiffre d’affaires perdu, rayons fermés, stock détruit, confiance des clients entamée.
C’est précisément le chemin que trace EBIOS RM : partir des valeurs métier, identifier les biens supports qui les portent, puis cartographier, au moment des scénarios stratégiques, les parties prenantes de l’écosystème par lesquelles un attaquant peut passer, ce qui relève du risque tiers. Appliquée sérieusement, la méthode oblige à documenter ce que les inventaires ont du mal à capter : le tiers qui détient l’accès distant, et le nombre de sites qui partagent le même équipement dans la même configuration.
Du scénario EBIOS RM au chiffrage financier du risque cyber
Ces scénarios sont cotés en gravité et en vraisemblance sur des échelles qualitatives. C’est suffisant pour les hiérarchiser entre eux, beaucoup moins pour additionner trois cents sites, comparer un risque à une franchise de police d’assurance ou défendre un budget en euros. La quantification financière du risque cyber (CRQ) reprend les scénarios issus de l’analyse et les exprime en fréquence annuelle et en distribution de pertes, dans la logique de la méthode FAIR. Elle prolonge l’analyse et s’appuie entièrement sur sa cartographie.
C’est là que la configuration partagée entre sites change l’ordre des priorités : un modèle qui évalue chaque site isolément conclut à un risque mineur, alors qu’un modèle qui intègre la dépendance commune fait apparaître un risque concentré sur quelques prestataires, capable de toucher des centaines de sites en quelques nuits.
Mis en regard d’un impact de cet ordre, le coût des mesures est faible. La quantification sert à justifier que ce chantier passe devant d’autres.
Assurance cyber : une limite alignée sur le marché ne garantit pas le déclenchement de la police
Beaucoup d’entreprises dimensionnent leur assurance cyber par comparaison, en retenant la même limite de garantie que leurs pairs. Ce benchmark renseigne sur les pratiques du marché mais pas sur la façon dont la police réagira au scénario qui vous concerne. Or celui-ci ne ressemble à aucun sinistre de référence : ni fuite de données ni rançon, mais une perte physique née dans un équipement opéré par un tiers, à la frontière entre la police cyber, qui exclut généralement les dommages matériels, et la police dommages, qui exclut de plus en plus souvent, ou encadre strictement, les événements d’origine cyber.
| Atteinte à l’activité | Police concernée | Question à poser |
|---|---|---|
| Marchandises perdues, matériel à remplacer | Dommages aux biens, bris de machine | Une exclusion cyber s’applique-t-elle, et l’incendie qui en résulte est-il réintégré ? |
| Chiffre d’affaires perdu pendant la fermeture des rayons | Dommages ou cyber | En dommages, faut-il un dommage matériel garanti ? En cyber, le dispositif fait-il partie du SI assuré ou relève-t-il de la carence d’un prestataire ? |
| Mise en cause par des clients ou des tiers, recours contre le prestataire | RC du prestataire, RC de l’entreprise | Les plafonds et exclusions cyber des RC laissent-ils un reste à charge ? |
Projeter le scénario chiffré sur l’ensemble des polices permet de lire, poste par poste, ce que le programme d’assurance aide réellement à surmonter et ce qui reste à la charge de l’entreprise. Bien dimensionnée, l’assurance devient un outil pour se relever d’une atteinte au cœur de l’activité. C’est sur cette base, et non sur les achats des pairs, qu’une limite, une franchise ou une extension se négocient avant les renouvellements.
Pour voir comment la quantification éclaire le dimensionnement d’un programme d’assurance : la quantification du risque cyber au service de l’assurance.
Par où commencer : 5 actions pour les RSSI et Risk Managers
Pour un RSSI ou un Risk Manager qui veut traiter le sujet sans attendre le prochain incident, la démarche tient en cinq actions, à mener en binôme.
- Inventorier ce dont le métier a besoin. Identifier, avec les directions opérationnelles, ce qui est indispensable pour mener à bien les opérations et, plus largement, la stratégie de l’entreprise : activités critiques, engagements clients, obligations réglementaires, projets structurants.
- Remonter des activités aux équipements qui les portent. Reprendre ou compléter l’analyse de risque pour relier ces biens supports aux processus qu’ils conditionnent, et repérer les dépendances communes : même équipement, même configuration, même prestataire sur plusieurs sites.
- Chiffrer à l’échelle du réseau. Quantifier les scénarios prioritaires en intégrant la corrélation entre sites, puis comparer la réduction de perte attendue au coût des mesures pour arbitrer la feuille de route avec des arguments en euros.
- Relire les polices à la lumière de ces scénarios. Confronter avec le courtier, avant les renouvellements, les polices cyber, dommages et responsabilité civile aux pertes chiffrées : déclencheurs, définition du SI assuré, exclusions, reste à charge.
- Remettre les prestataires dans la boucle contractuelle. Encadrer les accès distants et les obligations de mise à jour dans les contrats de maintenance, vérifier l’assurance du prestataire et préserver les possibilités de recours.
Citalid modélise financièrement ces scénarios, y compris sur des équipements opérationnels et des tiers, et simule la réponse du programme d’assurance. Échanger avec nos équipes
