Ca bouge du côté du cyber-risque (3) : un projet de loi permettant à l’assureur de rembourser les cyber-rançons

Experte Fonction Risk Manager et Gestion des Risques, enseignant et chercheur en gestion à l'Université Toulouse II, Caroline AUBRY propose un blog axé sur des sujets d'actualité concernant le risque, la gestion des risques et la fonction de RM. Les sujets proposés sont issus d'articles cités en référence et d'analyses issues de ses propres réflexions.

Son blog :

• définition / risques liés au télétravail / contexte)
• démarche de gestion des risques : nommer le risque, l'identifier à partir de ses causes et de ses conséquences / réglementation et amplification du risque)
• propositions de plans d'actions

🏅Le cyber risque, risque n°1 pour les entreprises.

❓ Un risque nouveau aux modalités multiples, un risque subjectif qui le rend difficile à appréhender et à gérer, un risque difficile (« illusoire ») à assurer, un risque amplifié par le régulateur-législateur

❓Evaluation du risque : une probabilité élevée (voir causes nombreuses) ; un impact fort (voir coût élevé)

🚴 Comment agir ?

👉 Un projet de loi permettant le remboursement par l’assureur des cyber-rancons Le post très pédagogique de Paul Berger de Gallardo, avocat, pour faire un point sur le projet de loi Deux articles pour vous positionner / et vous quel est votre avis sur ce projet de loi ? Une bonne solution pour les assureurs. Mais solution pour gérer le cyberrisque ?

👉 Les plans d’action préconisés par l’ANSII pour gérer le cyberrisque - dans 15 jours sur le blog

LE POST TRES PEDAGOGIQUE DE PAUL BERGER DE GALLARDO, AVOCAT, POUR FAIRE UN POINT SUR LE PROJET DE LOI.

🔐 Le remboursement par l'assureur des cyber-rançons conditionné à un dépôt de plainte ?

🚨 Un projet de loi prévoit d'encadrer les clauses de remboursement des rançongiciels par les #assurances, en rendant obligatoire le dépôt d’une plainte par la victime dans les 48h après le paiement de cette rançon.

🔹 Quoi ? Le rançongiciel ou ransomware est ainsi défini par l’ANSSI - Agence nationale de la sécurité des systèmes d'information : « envoi à la victime d’un logiciel malveillant qui chiffre l’ensemble de ses données et lui demande une rançon en échange du mot de passe de déchiffrement ».

🔸Pourquoi ? 20 % des entreprises françaises déclarent avoir subi au moins une attaque par rançongiciel au cours de l’année 2020, atteignant souvent l’activité économique et perturbant parfois la production.

🔕 L’absence fréquente de plainte des victimes, par crainte de reconnaître leur vulnérabilité et de ternir leur image, empêche toute investigation. 🔹Est-ce légal de payer une rançon, et d'être remboursé par son assurance ? Ainsi que l'a rappelé récemment le HCJP (Haut Comité Juridique de la Place Financière de Paris), le paiement d’une rançon par la victime d’une extorsion ne constitue ni un délit ni un acte de complicité dès lors que le consentement au paiement n'est pas libre mais résulte de la contrainte.

➡️ L’assurance du risque de rançongiciel ne paraît se heurter à aucun obstacle juridique majeur.

🔸 Quelles sont les solutions possibles ? L'étude d'impact du projet de loi a analysé trois solutions :

1️⃣ assujettir le remboursement d’une rançon versée par un assureur au dépôt de plainte

2️⃣ rendre obligatoire la déclaration à TRACFIN de tout paiement d’une rançon

3️⃣ promouvoir au niveau européen l’interdiction du paiement des rançons par les assureurs suite à une #cyber-attaque.

⁉️ Pourquoi retenir la première solution ? L'interdiction du paiement des rançons et de leur #assurance pèserait de manière démesurée sur les entreprises qui jouent parfois leur survie. Le dépôt d'une plainte rapide permettrait aux autorités compétentes de bénéficier des informations nécessaires à la poursuite des infractions et de « casser » le modèle de rentabilité des cyber‑attaquants.

🔹 Comment ? Par la création d'un article L. 12-10-1 du Code des assurances prévoyant cette condition de garantie au sein d'un nouveau chapitre « L’assurance des risques de cyber-attaques ».

🕰 La règle envisagée serait d’application immédiate et entrerait en vigueur également pour les contrats en cours.

⬇️ Que pensez-vous du paiement des cyber-rançons, de leur assurabilité et de ce projet de condition de garantie ?

DEUX ARTICLES POUR VOUS POSITIONNER / ET VOUS QUEL EST VOTRE AVIS SUR CE PROJET DE LOI ? SOLUTION POUR GERER LE CYBERRISQUE ?

Loi LOPMI : pour payer la rançon, il faudra déposer plainte Sécurité : Le nouveau projet de loi d’orientation et de programmation encadre notamment la transition numérique des forces de l’ordre et propose un régime encadrant le paiement des rançons dans les affaires de rançongiciels. Le projet égrène une douzaine de mesures, dont une partie concerne le développement des capacités des policiers et des gendarmes en matière de réponse aux crimes et délits en lien avec le numérique, ainsi que des dispositions visant à équiper les forces de l'ordre de nouveaux équipements. Parmi les nouvelles dispositions, le gouvernement propose une première approche visant à encadrer le paiement des rançons suite à des attaques au ransomware. Comme le précise l'article 5 du projet de loi, le versement d'une rançon couverte par l'assureur de la société victime est possible si la victime accepte de déposer plainte dans les 48 heures après le paiement de la rançon. Pas d'interdiction du paiement des rançons Une manière de trancher le débat qui faisait rage depuis plusieurs mois autour du paiement des rançons exigées par les groupes de rançongiciels. Le directeur de l'Anssi avait allumé la mèche en fustigeant publiquement les « intermédiaires » qui acceptaient de payer les rançons, mais il avait également reconnu que cette possibilité devait rester ouverte dans certains cas. Depuis, les assureurs étaient nombreux à réclamer « une clarification » des règles sur le sujet, certains ayant choisi de cesser de proposer leurs assurances cyber prévoyant le paiement de rançons dans les affaires de ransomware. En la matière, le gouvernement a donc choisi de s'aligner sur la proposition émise par le haut comité juridique de la place financière de Paris, qui avait été saisi du sujet et a publié un rapport à la fin du mois de janvier sur la question. Le haut comité recommandait de ne pas interdire purement et simplement le paiement des rançons, mais de conditionner celui-ci à un dépôt de plainte. Cette approche laisse donc une certaine marge de manœuvre aux victimes et à leurs assureurs, en leur permettant d'envisager le paiement d'une rançon pour espérer récupérer l'accès aux données. Et elle donne un coup de pouce aux forces de l'ordre qui ont du mal à convaincre les entreprises de déposer plainte après une attaque informatique. Renforcer les forces de l'ordre sur le numérique Outre cette disposition, le projet de loi prévoit également d'étendre les enquêtes sous pseudonyme, jusqu'alors réservées à certains délits concernant le trafic de drogues et d'armes, à l'ensemble des crimes et délits punis d'une peine d'emprisonnement. Le projet de loi prévoit également d'ouvrir aux forces de police la saisie « d'actifs numériques », terme utilisé pour décrire les cryptomonnaies et autres actifs basés sur une blockchain, aujourd'hui fréquemment utilisés dans le blanchiment d'argent et les affaires de rançongiciels. Le texte reprend des mesures annoncées par le président de la République lors du discours de clôture du Beauvau de la sécurité, comme la place d'un « numéro 17 » dédié à la fraude informatique, la création de 1 500 postes de cyberpatrouilleurs et la création d'une agence du numérique des forces de sécurité, chargée de superviser l'équipement des policiers et gendarmes en smartphones et accessoires nécessaires aux enquêtes. Le montant prévu de ces différents investissements est estimé à 8 milliards d'euros. Adopté en conseil des ministres, le texte doit maintenant être soumis au vote du parlement. Mais, calendrier oblige, celui-ci ne sera présenté qu'après l'élection présidentielle, donc pour la prochaine législature. Un timing relevé par le Conseil d'Etat dans son avis sur la loi, qui remarque le calendrier « pour le moins habituel » pour un projet de loi de ce type. Par Louis Adam. Mars 2022

Cyberattaques : les assureurs rassurés sur la possibilité de couvrir les rançons

Un projet de loi prévoit qu'une entreprise victime d'une cyberattaque et contrainte de payer une rançon devra déposer plainte pour obtenir la prise en charge de ce paiement par son assureur. Une bonne nouvelle pour les représentants du secteur. Les promesses ont mis du baume au coeur des syndicats de policiers mais aussi… des assureurs. Le plan de modernisation des moyens des forces de l'ordre, présenté par le gouvernement à la mi-mars, est en effet considéré par la profession comme une bonne nouvelle pour le développement dans l'Hexagone des assurances contre les cyberattaques. Le projet de loi, dit LOPMI, prévoit notamment d'obliger les entreprises victimes d'un rançongiciel à porter plainte dans les 48 heures suivant le paiement d'une rançon pour obtenir sa prise en charge par l'assurance. Et ce, afin « d'améliorer l'information des forces de sécurité et de l'autorité judiciaire, et de 'casser' le modèle de rentabilité des cyberattaquants », note le projet.

Pas de changement sur le fond

« La France, comme les autres pays dans le monde, ne veut pas interdire l'incorporation de la garantie sur le paiement des rançons dans les contrats d'assurance cyber », a salué la semaine dernière, lors d'une conférence de presse, la présidente de la fédération France Assureurs, Florence Lustman, se félicitant d'une telle clarification. La portée de cette disposition est à relativiser. Déposé à quelques semaines de l'élection présidentielle, le projet de loi n'est à ce stade pas à l'étude au Parlement et son avenir dépendra du résultat du scrutin. Par ailleurs, si la mesure était adoptée, elle ne changerait pas les habitudes. Elle « ne change rien sur le fond car les assureurs imposaient déjà un dépôt de plainte », explique Mickaël Robart, expert chez le courtier Diot-Siaci. « Mais elle montre que le risque cyber est plutôt traité par les assureurs de façon responsable. » Ceux-ci veulent croire qu'avec ce projet de loi, il n'y a plus d'insécurité juridique : les services de l'Etat ont tranché, notamment Bercy qui a lancé l'été dernier des travaux sur la cyberassurance. Autrement dit, ils n'iront pas dans le sens du patron de l'Agence nationale de la sécurité des systèmes d'information (ANSII) et de la vice-procureure en charge de la cybersécurité au parquet de Paris. Au printemps dernier, ces derniers avaient estimé que la prise en charge des rançons par l'assurance pouvait encourager la cybercriminalité.

Pas de changement chez AXA France

En octobre, un rapport parlementaire avait préconisé l'interdiction du paiement des rançons. Au contraire, en début d'année, des experts avaient mis en garde contre les effets d'une telle interdiction. Signe que le sujet est sensible, Generali France a décidé en début d'année de tourner le dos au paiement des rançons. Quant à AXA France, qui avait décidé de suspendre sa garantie rançon l'an dernier, il n'a pas changé de politique avec la loi LOPMI, indique un porte-parole. Solenn Poullennec. Avril 2022.

Tous les jours, GRACES.community sélectionne, gratuitement, pour vous le ou les articles importants pour votre prochaine veille réglementaire.

A propos de GRACES.community : pionner et leader des recrutements en Compliance, Ethiques, Gouvernance, Risques !

Proposer une offre de job : https://graces.community/recruteur/

Consulter les offres qui vous correspondent : https://app.graces.community/register/