Test assurance cyber : votre entreprise est-elle assurable ?

Les assureurs vérifient d'abord quelques mesures jugées indispensables : antivirus et pare-feu actifs sur tous les postes, mises à jour de sécurité appliquées rapidement, aucun système plus maintenu par son éditeur, sauvegardes au moins hebdomadaires dont une copie protégée contre l'effacement, double authentification pour les accès à distance et sensibilisation annuelle des salariés. Sans ces prérequis, la souscription est souvent refusée ou soumise à conditions.

Le plus souvent parce qu'un prérequis manque : pas de double authentification sur la messagerie ou les accès à distance, sauvegardes accessibles depuis le réseau, ordinateurs ou serveurs obsolètes, mises à jour non suivies. Un sinistre cyber récent ou une activité exclue (finance, paiement, énergie…) peuvent aussi bloquer le dossier. Le test repère ces points avant que l'assureur ne les relève.

Pour les accès à distance (VPN, bureau à distance), elle fait partie des prérequis de la plupart des questionnaires. Pour la messagerie (Microsoft 365, Google Workspace), elle est très souvent demandée et fortement recommandée par l'ANSSI et Cybermalveillance.gouv.fr : c'est la protection la plus efficace contre le vol de mots de passe.

Une sauvegarde au moins hebdomadaire de toutes les données et des serveurs, dont l'accès est réservé à des comptes dédiés, et au moins une copie protégée contre l'effacement : stockage immuable ou copie déconnectée du réseau. Un rançongiciel chiffre en effet aussi les sauvegardes qu'il peut atteindre. Conserver un historique de plusieurs mois et tester la restauration renforcent le dossier.

Une dizaine de minutes. Vous renseignez d'abord votre entreprise (nom, e-mail, chiffre d'affaires, secteur), puis vous répondez aux questions par Oui, Partiellement, Non ou Je ne sais pas. La note se met à jour à chaque réponse.

Ce sont les questions de sécurité qui ressortent des questionnaires de souscription des principaux assureurs cyber, reformulées en langage simple et adaptées aux entreprises de 10 à 150 utilisateurs. Quand une recommandation publique existe (ANSSI, CNIL, Cybermalveillance.gouv.fr), elle est citée sous la question.

Ce sont les conditions que les assureurs imposent pour souscrire : questions obligatoires ou déclarations à confirmer par « Oui ». Pour les mots de passe, l'assureur demande moins que l'ANSSI : « Partiellement » suffit à lever le prérequis. Tant qu'un prérequis n'obtient pas un « Oui », la souscription risque d'être refusée ou soumise à conditions.

Le test est conçu pour les entreprises de 10 à 150 utilisateurs. Les exigences réservées aux grandes structures, comme les tests d'intrusion, les centres de supervision de sécurité ou les datacenters redondés, en ont été retirées.

C'est la recommandation de la CNIL, établie avec l'ANSSI : 12 caractères mêlant quatre types, 14 sans caractère spécial, ou une phrase de passe. Certains assureurs se contentent de 9 caractères ; la double authentification reste la meilleure protection.

Non. Chaque assureur a son propre questionnaire et ses propres critères, et le repère de 75 sur 100 est le nôtre. La note sert à repérer et corriger les points faibles avant la souscription ou le renouvellement.

Non. Le test reprend les questions qui ressortent des questionnaires des principaux assureurs, limitées à celles qui concernent les entreprises de 10 à 150 utilisateurs. Chaque compagnie pose ses propres questions, avec ses propres seuils. Le test donne une indication, il ne remplace ni le questionnaire de votre assureur ni l'avis de votre courtier.

Avec la méthode forfaitaire d'un questionnaire d'assureur : chiffre d'affaires × 70 % (services) ou × 50 % (industrie, commerce et autres) ÷ 252 jours ouvrés donne la perte par jour ; trente jours de pertes plus 150 000 € de frais donnent l'exposition. Elle ne dépend pas de vos réponses. Chaque assureur évalue l'exposition selon sa propre méthode : ce montant est indicatif et ne remplace pas son évaluation.

Le questionnaire d'assurance engage l'entreprise. Une fausse déclaration intentionnelle peut entraîner la nullité du contrat (article L113-8 du Code des assurances) et une déclaration inexacte peut réduire l'indemnité (article L113-9).

Pendant le test, elles ne quittent pas votre écran et ne sont pas enregistrées. Quand vous demandez votre rapport, vos coordonnées et vos réponses sont transmises à Youbug, qui vous recontacte au sujet de votre résultat. Vous pouvez vous opposer à tout moment à être recontacté.