Diagnostic de cyber-assurabilité : 29 preuves avant le questionnaire assureur
Ce diagnostic mesure ce qu'une TPE ou PME peut démontrer aujourd'hui. Il relie chaque mesure technique à une preuve exploitable dans un dossier d'assurance : configuration, journal, test, inventaire ou procédure datée.
Les cinq alertes critiques qui priment sur le score
- Pas de MFA sur la messagerie ou l'administration. Un total élevé ne compense pas un accès critique protégé par un seul facteur.
- Aucune sauvegarde isolée. Une copie synchronisée peut être chiffrée ou supprimée avec la production.
- Restauration jamais testée. Une sauvegarde déclarée « réussie » ne démontre ni son intégrité ni le délai réel de reprise.
- Système exposé non maintenu. Un équipement en fin de support ou une vulnérabilité critique ouverte crée une exposition directe.
- Incident ou compromission déjà connu. Il doit être analysé et déclaré selon le questionnaire et le contrat ; une note ne le fait pas disparaître.
Du contrôle à la preuve : la bibliothèque minimale
| Affirmation | Preuve faible | Preuve plus robuste |
|---|---|---|
| « La MFA est activée » | Déclaration orale. | Export des comptes et méthodes, exceptions expliquées, capture datée de la politique. |
| « Nous sauvegardons » | Facture d'un service cloud. | Politique, périmètre, rapport d'exécution et procès-verbal de restauration. |
| « Les mises à jour sont faites » | Option automatique supposée. | Inventaire, niveaux de correctifs, alertes et règle de délai selon la criticité. |
| « Nous avons un plan » | Document non testé. | Fiche réflexe hors ligne, exercice daté, écarts et responsables de correction. |
Trois profils et la décision qui change
Agence de 12 personnes, tout dans le cloud
Le score atteint 74 grâce à la MFA et aux postes gérés. Pourtant, aucun export ni plan de réversibilité ne couvre l'indisponibilité du fournisseur principal. La priorité n'est pas un nouveau logiciel : c'est la capacité à travailler et récupérer les données sans ce fournisseur.
PME industrielle avec prestataire informatique
Le questionnaire est rempli par le prestataire, mais la direction ne possède ni copie du plan, ni liste des comptes administrateurs, ni preuve de restauration. Le diagnostic sépare l'exécution déléguée de la responsabilité de contrôle : les preuves doivent rester accessibles à l'entreprise.
Cabinet réglementé avec données sensibles
Le socle technique est bon, mais l'exercice n'intègre ni la qualification d'une violation ni les contacts juridiques. La mesure prioritaire devient la chaîne de décision, car une restauration technique ne règle pas les obligations de notification.
Construction et limites de la pondération
Les identités, sauvegardes et capacités d'incident concentrent 60 points : elles conditionnent la prévention d'une compromission, la réduction de sa propagation et la reprise. La gouvernance, les correctifs et les dépendances représentent les 40 points restants. Cette répartition est une méthode éditoriale AssuroWeb, pas un modèle de tarification ni une grille d'un assureur.
Le diagnostic doit être refait après une migration, une acquisition, un changement d'infogérant, un incident ou au minimum lors de la revue annuelle d'assurance. Une version future pourra modifier les poids ; chaque évolution sera datée afin que deux résultats restent comparables.