En 2020, des millions de salariés ont basculé en télétravail en quelques jours. Les équipes informatiques ont mis en place des solutions de connexion à distance : VPN, accès bureau à distance, outils collaboratifs cloud : dans l'urgence, parfois sans le temps de les sécuriser correctement.
Deux ans plus tard, les conséquences commencent à apparaître dans les bilans des assureurs cyber. Et dans les dossiers sinistres que nous gérons.
Ce que le télétravail a changé dans le profil de risque cyber
L'extension du périmètre. Avant 2020, le réseau informatique d'une entreprise avait des frontières relativement claires : les locaux, les équipements gérés par la DSI, les connexions maîtrisées. Le télétravail a multiplié les points d'entrée : postes personnels des salariés, réseaux WiFi domestiques non sécurisés, outils cloud non homologués.
La baisse de vigilance. Les procédures de sécurité (validation des expéditeurs inconnus, non-cliquage des liens suspects, mise à jour des mots de passe) sont plus difficiles à appliquer hors d'un environnement professionnel physique.
L'augmentation du phishing ciblé. Les attaques par phishing ont progressé de 55 % en France entre 2020 et 2022 (ANSSI, rapport annuel 2022). Les attaquants exploitent les outils de communication à distance : faux e-mails d'IT support, fausses notifications Teams ou Zoom.
Ce que votre contrat cyber couvrait peut-être : et ce qu'il couvrait moins
Les contrats cyber souscrits avant 2020 définissaient le « système d'information assuré » comme le réseau informatique du ou des sites de l'entreprise. Les équipements distants : postes à domicile, accès VPN : pouvaient être hors périmètre selon la rédaction.
Trois points à vérifier dans votre contrat actuel :
- La définition du périmètre assuré. Inclut-elle explicitement les accès distants et les équipements des télétravailleurs ?
- La clause de conformité. Certains contrats exigent que les mesures de sécurité listées (MFA, chiffrement, sauvegardes) soient appliquées sur tous les équipements connectés, y compris distants. Un manquement peut invalider la garantie.
- La couverture des sous-traitants. Si un de vos sous-traitants en télétravail est compromis et que l'attaque rebondit vers vos systèmes, êtes-vous couvert ?
L'ANSSI (rapport annuel 2022) : « Les attaques par rançongiciel ont augmenté de 37 % en France en 2021, avec une prévalence marquée sur les PME et ETI. »
Ce que nous recommandons
Si votre contrat cyber a été souscrit avant 2021 et n'a pas été revu depuis, il est probablement inadapté aux nouvelles réalités de votre organisation.
Un avenant de mise à jour : ou un nouvel appel d'offres : vous permettra de clarifier le périmètre couvert et d'adapter les garanties à votre organisation actuelle. Ce n'est pas forcément plus cher. C'est plus pertinent.