Le rançongiciel est devenu le sinistre le plus fréquent, selon 70 % des 60 plus grands assureurs cyber au monde. Toutefois, à l’échelle d’un sinistre individuel, les réclamations pour interruption des activités s’avèrent plus coûteuses que celles liées à l’intervention en cas d’incident. 

Ces constats figurent dans une étude menée par AM Best, qui révèle que la majorité des montants assurés couvrent des entreprises générant moins de 10 millions de dollars américains (M$ US) de revenus annuels.

L’enquête, menée auprès des principaux assureurs cyber – représentant environ 8 milliards de dollars américains (G$ US) de primes, soit environ la moitié des primes cyber mondiales estimées — révèle que ces entreprises de petite taille présentent le plus grand niveau d’exposition en matière de limites de couverture. En moyenne, les montants assurés les plus élevés par police concernent les entreprises dont les revenus annuels atteignent 1 G$ US. 

Rançongiciels et atteintes aux données 

La majorité des réclamations payées concernent la réponse aux incidents, précise AM Best. « Cela peut inclure des sinistres de première partie, comme une attaque par rançongiciel, ou de tierce partie, comme une atteinte aux données », peut-on lire dans le rapport Cyber Insurance Survey Highlights Systemic Risk, Particularly on SMEs. « Ces données suggèrent que les sinistres cyber présentent un effet retard, puisque les réserves dépassent le milliard de dollars américains pour ces réclamations. » 

AM Best aborde également la question de la modélisation des risques : sur les 41 assureurs ayant répondu à l’enquête, 30 utilisent la modélisation des catastrophes, 10 se fient uniquement à des modèles probabilistes, 5 utilisent uniquement des modèles déterministes et 15 emploient une combinaison des deux. « La modélisation des catastrophes appliquée aux cyberévénements en est encore à ses débuts », note AM Best. 

Un risque systémique 

Le fait que 80 % des polices cyber soient détenues par de petites entreprises met en évidence le risque systémique de ce marché. « Si plusieurs de ces entreprises utilisent un même service infonuagique ou un autre service commun, une seule panne ou une seule cyberattaque pourrait affecter plusieurs polices en même temps », soulignent les auteurs du rapport. 

De manière plus détaillée, les entreprises générant moins de 10 M$ US de revenus annuels détiennent 73,1 % de toutes les polices (plus de 1,4 million de contrats), représentant 52,7 % des montants assurés. Celles dont les revenus se situent entre 10 M$ US et 250 M$ US détiennent 16,1 % des polices, pour 26,2 % des montants assurés. Enfin, les entreprises ayant des revenus annuels entre 250 M$ US et 1 G$ US, ainsi que celles dépassant 1 G$ US, détiennent chacune 1,7 % des polices, représentant respectivement 5,2 % et 7,9 % des montants assurés.