Pour une enseigne de distribution alimentaire, le rayon frais fait venir les clients, porte une part importante du chiffre d’affaires et engage sa responsabilit\u00e9 sanitaire. Qu’il ferme dans un magasin, la perte reste contenue : quelques dizaines de milliers d’euros de denr\u00e9es \u00e0 jeter, un montant qui ne remontera jamais en comit\u00e9 des risques. Qu’il ferme dans trois cents magasins \u00e0 la fois, l’atteinte se chiffre en millions d’euros. Nul besoin pour cela d’un point unique de d\u00e9faillance : il suffit de compromettre, m\u00eame en vagues successives, les dispositifs de contr\u00f4le du froid d’une poign\u00e9e de prestataires qui \u00e9quipent \u00e0 eux seuls tout le r\u00e9seau, chacun avec une configuration identique d’un magasin \u00e0 l’autre. Peu d’organisations ont cartographi\u00e9, chiffr\u00e9 ou v\u00e9rifi\u00e9 ce sc\u00e9nario aupr\u00e8s de leur assureur. Ces ordres de grandeur sont illustratifs, mais le raisonnement vaut pour toute activit\u00e9 qui repose sur un \u00e9quipement op\u00e9rationnel connect\u00e9, de l’IoT aux technologies op\u00e9rationnelles (OT) : la climatisation pilot\u00e9e \u00e0 distance d’un data center, les convoyeurs automatis\u00e9s d’un entrep\u00f4t, les pompes d’une station de traitement d’eau. Cet article part de ce que l’entreprise doit prot\u00e9ger, montre comment chiffrer l’atteinte et la confronter au programme d’assurance, puis propose en conclusion, dans la partie \u00ab Par o\u00f9 commencer \u00bb, cinq actions concr\u00e8tes pour les RSSI et les Risk Managers.<\/p>\r\n\r\n
Revenons au supermarch\u00e9. Ce que l’enseigne doit prot\u00e9ger, c’est la continuit\u00e9 de son activit\u00e9 de produits frais : des rayons ouverts, des denr\u00e9es conformes et des clients qui reviennent. Le dispositif de contr\u00f4le du froid est l’un des chemins par lesquels cette activit\u00e9 peut \u00eatre atteinte. Install\u00e9 par le frigoriste, supervis\u00e9 \u00e0 distance et suivi, au mieux, comme un actif technique, il reste souvent \u00ab l’\u00e9quipement du prestataire<\/em> \u00bb et sa vuln\u00e9rabilit\u00e9 une ligne dans un rapport d’audit. Consid\u00e9r\u00e9 par le prisme de l’activit\u00e9 qu’il soutient, il devient un sc\u00e9nario de risque dont l’impact se d\u00e9crit sans peine : chiffre d’affaires perdu, rayons ferm\u00e9s, stock d\u00e9truit, confiance des clients entam\u00e9e.<\/p>\r\n\r\n C’est pr\u00e9cis\u00e9ment le chemin que trace EBIOS RM : partir des valeurs m\u00e9tier, identifier les biens supports qui les portent, puis cartographier, au moment des sc\u00e9narios strat\u00e9giques<\/a>, les parties prenantes de l’\u00e9cosyst\u00e8me par lesquelles un attaquant peut passer, ce qui rel\u00e8ve du risque tiers<\/a>. Appliqu\u00e9e s\u00e9rieusement, la m\u00e9thode oblige \u00e0 documenter ce que les inventaires ont du mal \u00e0 capter : le tiers qui d\u00e9tient l’acc\u00e8s distant, et le nombre de sites qui partagent le m\u00eame \u00e9quipement dans la m\u00eame configuration.<\/p>\r\n\r\n Ces sc\u00e9narios sont cot\u00e9s en gravit\u00e9 et en vraisemblance sur des \u00e9chelles qualitatives. C’est suffisant pour les hi\u00e9rarchiser entre eux, beaucoup moins pour additionner trois cents sites, comparer un risque \u00e0 une franchise de police d’assurance ou d\u00e9fendre un budget en euros. La quantification financi\u00e8re du risque cyber (CRQ) reprend les sc\u00e9narios issus de l’analyse et les exprime en fr\u00e9quence annuelle et en distribution de pertes, dans la logique de la m\u00e9thode FAIR. Elle prolonge l’analyse et s’appuie enti\u00e8rement sur sa cartographie.<\/p>\r\n\r\n C’est l\u00e0 que la configuration partag\u00e9e entre sites change l’ordre des priorit\u00e9s : un mod\u00e8le qui \u00e9value chaque site isol\u00e9ment conclut \u00e0 un risque mineur, alors qu’un mod\u00e8le qui int\u00e8gre la d\u00e9pendance commune<\/a> fait appara\u00eetre un risque concentr\u00e9 sur quelques prestataires, capable de toucher des centaines de sites en quelques nuits.<\/p>\r\n\r\n Mis en regard d’un impact de cet ordre, le co\u00fbt des mesures est faible. La quantification sert \u00e0 justifier que ce chantier passe devant d’autres.<\/p>\r\n\r\n Beaucoup d’entreprises dimensionnent leur assurance cyber par comparaison, en retenant la m\u00eame limite de garantie que leurs pairs. Ce benchmark renseigne sur les pratiques du march\u00e9 mais pas sur la fa\u00e7on dont la police r\u00e9agira au sc\u00e9nario qui vous concerne. Or celui-ci ne ressemble \u00e0 aucun sinistre de r\u00e9f\u00e9rence : ni fuite de donn\u00e9es ni ran\u00e7on, mais une perte physique n\u00e9e dans un \u00e9quipement op\u00e9r\u00e9 par un tiers, \u00e0 la fronti\u00e8re entre la police cyber, qui exclut g\u00e9n\u00e9ralement les dommages mat\u00e9riels, et la police dommages, qui exclut de plus en plus souvent, ou encadre strictement, les \u00e9v\u00e9nements d’origine cyber.<\/p>\r\n\r\n Projeter le sc\u00e9nario chiffr\u00e9 sur l’ensemble des polices permet de lire, poste par poste, ce que le programme d’assurance aide r\u00e9ellement \u00e0 surmonter et ce qui reste \u00e0 la charge de l’entreprise. Bien dimensionn\u00e9e, l’assurance devient un outil pour se relever d’une atteinte au c\u0153ur de l’activit\u00e9. C’est sur cette base, et non sur les achats des pairs, qu’une limite, une franchise ou une extension se n\u00e9gocient avant les renouvellements.<\/p>\r\n\r\nDu sc\u00e9nario EBIOS RM au chiffrage financier du risque cyber<\/h2>\r\n\r\n
Assurance cyber : une limite align\u00e9e sur le march\u00e9 ne garantit pas le d\u00e9clenchement de la police<\/h2>\r\n\r\n
\r\n\r\n
\r\n \r\nAtteinte \u00e0 l’activit\u00e9<\/th>\r\n Police concern\u00e9e<\/th>\r\n Question \u00e0 poser<\/th>\r\n<\/tr>\r\n<\/thead>\r\n \r\n Marchandises perdues, mat\u00e9riel \u00e0 remplacer<\/td>\r\n Dommages aux biens, bris de machine<\/td>\r\n Une exclusion cyber s’applique-t-elle, et l’incendie qui en r\u00e9sulte est-il r\u00e9int\u00e9gr\u00e9 ?<\/td>\r\n<\/tr>\r\n \r\n Chiffre d’affaires perdu pendant la fermeture des rayons<\/td>\r\n Dommages ou cyber<\/td>\r\n En dommages, faut-il un dommage mat\u00e9riel garanti ? En cyber, le dispositif fait-il partie du SI assur\u00e9 ou rel\u00e8ve-t-il de la carence d’un prestataire ?<\/td>\r\n<\/tr>\r\n \r\n Mise en cause par des clients ou des tiers, recours contre le prestataire<\/td>\r\n RC du prestataire, RC de l’entreprise<\/td>\r\n Les plafonds et exclusions cyber des RC laissent-ils un reste \u00e0 charge ?<\/td>\r\n<\/tr>\r\n<\/tbody>\r\n<\/table>\r\n\r\n