Questionnaire assurance cyber : 25 points à préparer
Le questionnaire cyber n'est pas une formalité commerciale. Il décrit l'état du risque au moment de la souscription. Une réponse imprécise peut produire un devis inutilisable ou créer une difficulté lors d'un sinistre.
1. Périmètre, activité et dépendances
- Quel est le chiffre d'affaires et quelle part dépend directement du numérique ?
- Combien d'utilisateurs, de sites, de postes, de serveurs et d'environnements cloud sont concernés ?
- Quels services doivent absolument fonctionner pour facturer, produire ou servir les clients ?
- Quelles catégories de données personnelles ou confidentielles sont traitées ?
- Quels prestataires hébergent, administrent ou sauvegardent les systèmes ?
La réponse doit distinguer l'environnement interne, les services cloud, les filiales et les équipements industriels ou connectés. Une dépendance critique peut exister même si l'entreprise ne possède aucun serveur.
2. Identités, mots de passe et accès sensibles
- Un identifiant nominatif est-il attribué à chaque utilisateur ?
- Le MFA protège-t-il la messagerie, les accès distants, les administrateurs et les applications critiques ?
- Les comptes administrateurs sont-ils séparés des comptes utilisés au quotidien ?
- Les droits sont-ils retirés rapidement lors d'un départ ou changement de poste ?
- Les connexions externes et actions sensibles sont-elles journalisées et surveillées ?
Ne répondez pas « MFA activé » si seuls certains utilisateurs sont protégés. Précisez le périmètre, la technologie et les exceptions. La CNIL recommande notamment de privilégier le MFA lorsque la connexion est accessible depuis l'extérieur.
3. Protection des postes, serveurs et applications
- Quel outil protège les postes et serveurs, et qui traite les alertes ?
- Comment les correctifs critiques sont-ils identifiés, testés et déployés ?
- Les systèmes en fin de support sont-ils inventoriés et isolés ?
- Les services exposés sur internet font-ils l'objet d'un inventaire et d'analyses régulières ?
- Les courriels, téléchargements et macros sont-ils filtrés ou encadrés ?
Une licence installée ne prouve pas que les alertes sont surveillées. Décrivez la personne responsable, les délais de traitement et les rapports disponibles. Si le prestataire gère ces mesures, demandez-lui une confirmation écrite.
4. Sauvegardes, restauration et continuité
- Quelles données et applications sont sauvegardées ?
- À quelle fréquence et pendant combien de temps les versions sont-elles conservées ?
- Une copie est-elle isolée, hors ligne ou protégée contre la modification ?
- Quand le dernier test de restauration complet a-t-il réussi ?
- Existe-t-il un ordre documenté de reprise des services critiques ?
Une sauvegarde synchronisée en permanence peut être chiffrée ou supprimée en même temps que la production. Cybermalveillance.gouv.fr recommande de conserver des copies adaptées au risque et l'ANSSI met en avant les sauvegardes hors ligne des données et applications critiques.
| Réponse trop vague | Réponse vérifiable |
|---|---|
| « Nous faisons des sauvegardes. » | Outil, périmètre, fréquence, rétention, isolation et dernier test réussi. |
| « Tous les comptes ont le MFA. » | Applications couvertes, utilisateurs concernés, exceptions et méthode. |
| « Notre prestataire s'en charge. » | Prestataire nommé, contrat, responsabilités, rapport et contact d'urgence. |
| « Les mises à jour sont automatiques. » | Périmètre, délai cible, exceptions et suivi des échecs. |
5. Incidents, fraude et gouvernance
- Un incident, une fraude, une perte de données ou une demande de rançon a-t-il déjà eu lieu ?
- Existe-t-il une procédure d'alerte accessible à tous les salariés ?
- Qui peut décider d'isoler un système, contacter l'assureur ou déclencher le plan de crise ?
- Les virements et changements de RIB font-ils l'objet d'une validation indépendante ?
- Un exercice de crise ou test du plan a-t-il été réalisé récemment ?
Déclarez les incidents et circonstances connues selon les questions posées, même s'ils n'ont provoqué aucune perte finale. Ajoutez les mesures correctives : changement de prestataire, MFA, segmentation, sauvegardes isolées, nouvelle procédure de paiement ou formation.
Les preuves à conserver avec le questionnaire
- Version datée de l'inventaire des équipements et services.
- Capture ou export de la couverture MFA, sans secret ni code.
- Rapport du dernier test de restauration.
- Politique de correctifs et état des systèmes obsolètes.
- Contrats des prestataires critiques et responsabilités associées.
- Plan de continuité et compte rendu d'exercice.
- Registre des incidents et actions correctives.
- Questionnaire final validé par les responsables compétents.
Règle de prudence : ne cochez jamais une mesure prévue mais pas encore déployée comme si elle était active. Indiquez le plan, la date cible et demandez comment l'assureur souhaite traiter cette situation.