i – les cyber-risques, le-réputation et leur évolution - atteintes aux données - e-réputation...
TRANSCRIPT
* Cyber risks et e-réputation
Séminaire Innovation
CHEA – le 05 Septembre 2013
Bertrand De BattistaFrédéric CoppinAnne de GuignéNicolas GomartChristophe GuirtenMarc Lesieur
I – Les cyber-risques, l’e-réputation et leur évolution
- Atteintes aux données- E-réputation- Autres Vu- Par les entreprises- Par les particuliers
II - Les réponses actuelles pour les Risk Managers
Les cyber-risques : quelles solutions internes, quelle réponse des assureurs ?
Quel avenir pour les assureurs ?
l’e-réputation : quels risques pour l’entreprise et comment s’y protéger ? Des solutions internes et des alternatives d’assureurs.
III - Témoignage M Eric Lemaire, Directeur de la Communication et de la Responsabilité d’Entreprise d’Axa France
Sommaire
2
• 5 milliards d’appareils connectés et accessibles via internet en 2013,
31 milliards en 2020
• Le Wi-fi, les réseaux sociaux, le BYOD, le cloud computing…
• Le volume de données stockées augmente de 62% annuellement et
• Or moins de 20% de ces données auraient fait l’objet de protections
Nous sommes de plus en plus exposés aux
cyber-risques …
3
Chaque jour 1,5M de personnes sont hackées soit
18 par seconde
110 milliards US$ : coût annuel de la cybercriminalité
dans le monde . En France 2,5 milliards
d’euros de pertes pour les entreprises
90% des entreprises américaines ont été piratées
au cours des 12 derniers mois.
83% des internautes chinois ont été victimes de
cybercrimes
4
Pourquoi le cyber-risque nous intéresse-t-il en tant qu’assureurs / courtiers
• Jusqu’à présent une couverture « par défaut » des cyber-risques
• Un transfert des polices généralistes vers les polices cyber?
• Des entreprises encore sceptiques face à ces polices spécialisées
5
1. Risques liés à la sécurité du réseau internet
1. Pertes ou dommages des biens numériques.
2. Violation de la confidentialité des données.
3. Indisponibilité du réseau informatique et destruction matérielle.
4. Prise de contrôle de processus informatiques.
6
L’électrochoc du double piratage de Sony : près de 100 millions de comptes
utilisateurs • Double attaque sur le réseau de jeu en ligne et le service de
musique et vidéo à la demande de Sony
• Conséquences dramatiques : sites inaccessibles, données personnelles de millions d’utilisateurs dérobées, dont 2.2 millions de données de cartes bancaires, service interrompu pendant plus d’un mois, pertes estimées à environ 122 millions d’euros, poursuites judiciaires…
• Pourquoi ? Sony utilisait des versions obsolètes de logiciels, et ses serveurs n’étaient pas protégés par un pare-feu
7
2. Risques liés aux contenus présents sur le réseau internet : l’e-réputation
1. Les risques médiatiques pour l’entreprise
• Les atteintes informationnelles
• Les atteintes touchant à l’identité de l’entreprise
• Les atteintes d’ordre technique
2. Les risques pour l’individu
• Des risques nombreux
• Le droit à l’oubli
8
Findus et la viande de cheval : une multiplication d’erreurs
• Février 2013 : Findus révèle que ses lasagnes surgelés contiennent de la viande de cheval
• Présence sur le Net minime : twitter ou facebook très peu actifs. Communication sur l’affaire uniquement dans un question/réponse
• Une volonté systématique d’effacer les commentaires des Internautes, pas de dialogue
• Violent retour de bâton : le scandale devient « l’affaire Findus »9
Les réponses actuelles pour
les Risks Managers
10
Organisation des entreprises face aux cyber risques
1.Une nécessaire prise de conscience et une future obligation légale
2.Protection
3.Prévention, contrôle et réparation
4.Transfert du risque résiduel
11
1.Identification des personnes impliquées
2.Cartographie des risques
*« first-party risks » :
* Déni de service
* Vol ou fuite de données
* Risques de réputation
* Fraude (non spécifique aux cyber risques)
*Distinction risques externes et internes
*« third-party risks » : responsabilité
Une nécessaire prise de conscience« Il n’existe que deux types d’entreprises, celles qui ont été piratées et celles
qui le seront. »Robert Mueller, Directeur du FBI, mars 2012
12
Une nécessaire prise de conscience
3.Analyse des contrôles existants
*Pertinents ?
*Suffisants ?
*Complets ?
4. Le tout dans le cadre d’une politique générale de sécurité à définir au plus haut niveau de l’entreprise selon son « appétit pour le risque »
13
Protection1 - Déni de service: destruction, dégradation
*Distinction sécurité physique et sécurité système
*Protection des accès :
*Physique: sécurité d’accès aux locaux
*Système: plusieurs couches de sécurité : antivirus, antispam, antibot, etc . , sur réseaux et postes de travail individuels, agissant en coupe circuit ou en parallèle
*Protection face aux risques liés au web 2.0 (applications P2P: partages de fichiers) : contrôle et application de règles de sécurité (blocage d’applications ou fonctionnalités), sensibilisation au moment de l’accès aux applications et demande de justification
14
Protection
2 - Vol ou fuite de données
*Risque principal : équipements mobiles des collaborateurs
*Protection: mots de passe (complexité, renouvellement), chiffrage, non-stockage sur disque local, contrôle supports amovibles (clé USB)
*Détection des données protégées avant qu’elles ne quittent l’entreprise (solutions « prévention des pertes de données » (DLP))
*Cohérence accès réseau et équipements mobiles / présence dans l’entreprise
*Contrôle des postes de travail et des imprimantes 15
Prévention, contrôle et réparation Sensibilisation des utilisateurs
* Charte d’usage et de bonnes pratiques
* Éducation et formation sur les comportements à risque.
Contrôles et suivi
* Associés à la cartographie des risques
* Automatisés et aléatoires
* Exemples de contrôles: tests d’intrusion, d’usurpation d’identité, « ethical hacking », etc.
*Monitoring sécurité informatique: revue et régularisation des comptes à privilèges élevés, suivi et gestion des événements de sécurité
Normalisation
Réparation
* Plans de reprise et/ou de continuité d’activité
* Plan de secours informatique16
Transfert du risque résiduel
Identification des risques non ou partiellement couverts
Confrontation avec l’offre du marché de produits d’assurance contre les cyber risques
Décision de transfert ou amélioration du dispositif de contrôle interne.
Maintien de l’effort de veille sur les risques et les technologies et mise à jour régulière de la cartographie et des contrôles
Et toujours en cohérence avec la politique de sécurité choisie par l’entreprise 17
Les solutions assurantielles pour les entreprises
Cyber-risques
18
Ace - Dataguard Descriptif
Ce produit permet d’accompagner l’entreprise dans ses actions préventives.
En effet, couverture très large, avec une indemnisation optimale, qui tient compte de la nature et de l’ampleur
des sinistres.
Ce produit combine des garanties de Dommages et de Responsabilité civile.
Trois garanties peuvent être également actionnées, même en l’absence de réclamation, pour accompagner
l’Assuré:
• dans ses investigations,
• dans ses relations avec la CNIL,
• dans la notification aux tiers.
Les garanties proposées
Dommages matériels
• Garantie Tous Risques Sauf couvrant les dommages aux ordinateurs et équipements annexes sous contrat de maintenance informatique
• Frais de reconstitution des données• Frais supplémentaires d'exploitation• Pertes d'exploitation consécutives
• Frais de reconstitution• Frais supplémentaires d'exploitation• Pertes d'exploitation consécutives• Carence des fournisseurs
Actes de malveillance
• Sabotage et vandalisme des systèmes• Fraude commise par tout moyen, y compris
informatique (contrat DATA PROTECTOR)• Virus• Frais de reconstitution des données• Frais supplémentaires d'exploitation• Pertes d'exploitation ou perte d'activité bancaire
consécutives• Carence des fournisseurs• Dépenses engagées pour restaurer l'image de la
marque• Préjudices liés à une divulgation de données
confidentielles (contrat DATA RISKS PROTECTION)• Pénalités
Erreurs et accidents
19
Hiscox – Data Risks Descriptif
Ce contrat est une offre globale de services, qui s’appuie sur un réseau d’experts mis à la disposition des entreprises destinés à les protéger contre les risques liés à l’intégrité de leurs système d’information, de leurs données personnelles et ou sensibles
Cible
Toutes entreprises responsables du traitement de données à caractère personnel (e-commerce, distribution, hôtellerie, santé, restauration)Toutes les tailles d’entreprises de la PME aux grands comptes
Hors cible
Institutions bancairesSociétés de jeux en ligne
Avantages
Un accompagnement avant et après souscription pour prévenir et sensibiliser les entreprises face aux risques liés à la gestion des données:
- audit possible de la sécurité informatique de l’entreprise- accès gratuit à notre solution d’information globale sur la protection des données personnelles via notre portail de ressources dédié (Hiscox eRisk HubTM)
Engagement de services avec la mise en œuvre de la réponse à incident dans les 48 heures en cas de perte ou violation de données.
Une prise en charge immédiate par des experts informatiques pour arrêter l’intrusion dans les systèmes de sécurité.
Une prise en charge immédiate par des spécialistes (avocats, agence de communication de crise, call center) pour gérer les conséquences financières et sur votre réputation :
- frais de notification, de veille et de remise en service des systèmes informatiques- perte de chiffres d’affaires- frais de négociation en cas d’extorsion
Une prise en charge des réclamations de tiers ou des autorités administratives au titre de la responsabilité civile de l’entreprise en cas de perte ou violation de données :
- frais de défense, y compris devant un tribunal pénal- dommages et intérêts
Une police d’assurance flexible et adaptable aux besoins de l’activité de l’entreprise.
20
Aig - Cyber EdgeDescriptif
Le nouveau produit CyberEdge offre une solution aux diverses conséquences des cyber-risques.
Les fuites et les pertes de données peuvent entraîner des sanctions réglementaires, entacher gravement l’image de l’entreprise et remettre en cause sa pérennité.
Conscient de l’effet domino d’une cyber-crise, AIG propose une couverture d’assurance intégrant le conseil de spécialistes.
CyberEdge couvre les principaux risques liés aux atteintes à la sécurité d’un réseau mais offre également les services de spécialistes afin d’aider les assurés à prendre les meilleures décisions en cas de crise.
La plupart des entreprises ne sont pas assurées spécifiquement contre les cyber-risques.
Les garanties proposées
• Les responsabilités liées aux données => conséquences financières de perte ou de détournement de données de clients ou d‘employés.
• La gestion de crise et l’assistance => frais de consultants permettant de minimiser et de mettre fin à un cyber-incident (sont compris : les frais d’expert informatique pour sécuriser votre réseau, les coûts de notification et de surveillance associés à une atteinte à la protection des données et les frais de consultant en relations publiques suite à une atteinte à la réputation des dirigeants et/ou de la société)
• Les enquêtes administratives => frais liés à une enquête administrative ainsi que les sanctions prononcées suite à une violation de la réglementation relative à la protection des données personnelles.
• La restauration des données électroniques => coûts de récupération, de recollecte ou de reconstitution des données après une fuite ou une atteinte à la sécurité des données.
• L’interruption du réseau (En option) => perte de profit net résultant d’une interruption matérielle du réseau assuré après une attaque de déni de service ou une atteinte à la sécurité du réseau.
• La responsabilité multimédia (En option) => dommages et frais de défense engagés en raison d’une violation des droits de propriété intellectuelle de tiers ou d’une négligence relative aux contenus électroniques;
• La cyber-extorsion (En option) => paiement de rançons à des tiers qui menacent de divulguer des informations confidentielles piratées via votre réseau.
21
Quel avenir pour les offres assureurs ?
22
Protection
23
Warren Buffet : « It takes twenty years to build a reputation and five minutes to destroy it ».
24
Démarche de Risk-Management
*Analyse des risques liés à l’e-réputation
*Définition des orientations de politique de gestion de l’e-réputation
Toutes les entreprises ne sont pas toutes égales au risque d’e-réputation 25
Une mutation des rôles des parties prenantes7 familles de risques numériques1. Stratégique 2. Ethique et juridique 3. Lié au contrôle des SI 4. Lié aux RH 5. Marketing 6. Lié à la dématérialisation des rapports humains 7. Périphérique
26
Veille interne ou ST et outils type Digimind
Equipe Communication et Community ManagementStratégie de communication Collective (e-réputation, top réputation) et individuelle (console d’engagement)
Plateforme PCA / SI
27
Console d’engagement Digimind : un lieu unique pour engager la discussion avec les internautes via les différents comptes sociaux à disposition de l’entreprise
La gestion du Workflow par le Community Manager
28
La gestion de « l’e-réputation de flux » et la « top réputation »
29
Stratégie juridique Sensibilisation interne
30
Sensibilisation interne
Stratégie de communication Collective (e-réputation, top réputation)
31
Les solutions assurantielles pour le particulier
Protection Juridique spécialisée
32
Analyse offre particuliers
SWISS LIFE AXA FINAREF
Contrat Optionnel e-réputationInclusion dans contrat de
protection de la famille type GAV avec Assistanc et PJ
Option dans un contrat Protection Juridique
GARANTIES DE PROTECTION JURIDIQUE
e-réputation
dénigrement, injures, diffamation, publication via l’Internet de
déclarations, d’écrits, dephotographies ou de vidéo préjudiciables, sans votre
consentement.
L’atteinte à l’e-réputation désigne la diffamation, injure ou
divulgation illégale de la vie privée de l’assuré à l’aide d’une
photographie, d’un écrit, d’une vidéo, d’une déclaration publiée sur un blog, forum de discussion,
réseau social, site web.
NON
usurpation d'identité NON
L’usurpation d’identité désigne un usage non autorisé des éléments
d’identification ou d’authentification de l’identité de l’assuré par un tiers dans le but de
réaliser une action frauduleuse entraînant un préjudice pour
l’assuré.
OUI
Protection Juridique - plafond d'intervention 10 000 € 10 000 € 20 000 € indemnisation du Préjudice - 5 000 € -Garanties d'ASSISTANCE OUI OUI NONpartenaire spécialiste reputation squad reputation squadidentification , suppression ou noyage des sources OUI OUI (plafond 5000)
assistance psychologique NON OUILimite vie privée uniquement vie privée uniquement vie privée uniquementPrix public TTC 9,90€/mois 13,00€/mois 12,50 €/moisCoût de la prestation de 'réparation' par spécialiste 200 à 3000 € 200 à 3000 €
33
*Le marché du particulier entre contrat dédié optionnel peu vendu
*Coût trop élevé pour des garanties complètes
*Risque d’antisélection
*Inclusion dans des contrats de Protection Juridique
*Risque de dilution des garanties
*Risque d’insuffisance de garanties
*La solution résiderait-elle dans l’Assurance affinitaire liée aux produits nomades ?
Analyse offre particuliers
34
Une solution ‘Care & Cure’ pour les entreprises: e-réputation
Les solutions Assurantielles :
35
Organisation de solution
‘assuristance’ de type
‘care & cure’AUDIT
E-Reput.
+Crise
CAREVeille e-
Réputation(module optionnel)
CUREGestion de crise
(incl. Crise e-Réputation)
ALERTE
Entreprise
assureur
Possibilité d’inclure l’audit de e-réputation dans l’évaluation
du risque par Generali ?
assisteur assureur
36
Les solutions assurance-assistance-
prévoyance pour les entreprises
*Les garanties « Gestion de la Crise » spécialisées e-réputation combinant assurance, assistance et protection juridique
* ASSISTANCE Via le consulting d’experts en gestion de crise (prise en charge limitée en nombre d’heures) qui mettra en œuvre
* l’intervention d’un prestataire spécialisé qui mettra à la disposition de l’entreprise ses ressources spécialisées en community management et/ou en content management
* L’intervention du réseau de prestataires spécialisés Gestion de crise selon la nature de la crise à traiter (médias off line, accident,…)
* PROTECTION JURIDIQUE Via la prise en charge du volet juridique si nécessaire
* ASSURANCE Via une éventuelle indemnisation en pertes pécuniaires37
Intervention d’Eric LEMAIRE, Directeur de la communication et de la responsabilité d’Entreprise d’Axa France.
38