Les 16 termes essentiels à connaître pour parler cybersécurité et assurance cyber comme un expert, expliqués sans jargon pour les dirigeants de PME et TPE françaises.
Logiciel malveillant qui chiffre vos données et exige une rançon pour les déchiffrer.
Le ransomware (ou rançongiciel) est une menace majeure pour les PME françaises. Il pénètre via un email piégé, une faille non corrigée ou un accès distant compromis, puis chiffre fichiers et serveurs. Les attaquants exigent une rançon en cryptomonnaie. Le coût pour l'entreprise combine l'arrêt d'activité, la reconstruction du système d'information et les frais d'investigation.
Email ou SMS frauduleux usurpant une identité de confiance pour voler des identifiants.
Technique d'ingénierie sociale visant à inciter une victime à cliquer sur un lien ou à transmettre des informations sensibles (mot de passe, RIB). C'est l'un des principaux vecteurs d'intrusion initiale. Variantes : spear phishing (ciblé), smishing (SMS), vishing (voix).
Email frauduleux usurpant un dirigeant pour ordonner un virement urgent.
Le Business Email Compromise (BEC) consiste à se faire passer pour un dirigeant, un fournisseur ou un avocat afin d'obtenir un virement bancaire vers un compte frauduleux. Ce type de fraude est généralement couvert par les contrats cyber PME, selon les conditions du contrat.
Sécurité supplémentaire combinant mot de passe + code temporaire ou clé physique.
L'authentification multifacteur (Multi-Factor Authentication) ajoute une vérification (code SMS, application, clé YubiKey) au mot de passe. Elle réduit fortement le risque de compromission de compte par vol de mot de passe.
Antivirus de nouvelle génération basé sur l'analyse comportementale.
Endpoint Detection and Response : surveille en continu les postes et serveurs pour détecter les comportements suspects (chiffrement massif, escalade de privilèges) au-delà des signatures classiques. Indispensable face aux ransomwares modernes.
3 copies des données, sur 2 supports différents, dont 1 hors-ligne.
Règle de référence pour résister à un ransomware : 3 copies, 2 supports (disque + cloud par exemple), 1 hors-ligne ou immutable (déconnectée du réseau).
Règlement européen sur la protection des données personnelles.
Le Règlement Général sur la Protection des Données impose à toute organisation traitant des données personnelles européennes des obligations strictes (consentement, registre, sécurité). En cas de violation : notification à la CNIL dans les 72 heures (art. 33 du Règlement (UE) 2016/679) et sanctions prévues à l'art. 83, pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
Directive (UE) 2022/2555 imposant des obligations cyber renforcées ; sa transposition en droit français n'est pas achevée à ce jour.
Network and Information Security 2 : directive (UE) 2022/2555, adoptée le 14 décembre 2022, qui remplace NIS1 et élargit le périmètre des secteurs concernés (énergie, santé, agroalimentaire, fournisseurs numériques, etc.). Obligations : analyse de risques, gestion des incidents, notification, implication des dirigeants. Sanctions prévues à l'art. 34 : jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial pour les entités essentielles, 7 M€ ou 1,4 % pour les entités importantes. Le délai de transposition était fixé au 17 octobre 2024 ; la transposition en droit français n'est pas achevée à ce jour, la Commission européenne ayant saisi la Cour de justice de l'Union européenne contre la France le 8 juillet 2026. NIS2 ne rend pas l'assurance cyber obligatoire.
Règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier, applicable depuis le 17 janvier 2025.
Digital Operational Resilience Act : règlement (UE) 2022/2554, applicable depuis le 17 janvier 2025. Il ne concerne que le secteur financier et ses prestataires TIC critiques, et s'applique aux entités financières (banques, assureurs, fintechs, courtiers). Impose la gestion des risques TIC, des tests de résilience, la gestion des prestataires critiques et la notification d'incidents majeurs. Il ne rend pas l'assurance cyber obligatoire.
Modèle de sécurité où aucune connexion n'est implicitement de confiance.
Approche "never trust, always verify" : chaque accès (utilisateur, machine, application) est vérifié dynamiquement, indépendamment du réseau d'origine. Bloque le déplacement latéral d'un attaquant qui aurait pénétré le périmètre.
Outils numériques utilisés par les salariés sans validation de la DSI.
Le Shadow IT (Dropbox personnel, ChatGPT, WhatsApp pro) crée des fuites de données invisibles et non assurables.
Attaque par rebond via un fournisseur ou un logiciel tiers compromis.
L'attaquant compromet un prestataire (logiciel, MSP, mise à jour) pour atteindre ses clients. Cas emblématiques : SolarWinds, Kaseya, MOVEit. Couverte par les bonnes assurances cyber via la garantie "prestataire".
Investigation technique post-incident pour comprendre une cyberattaque.
Analyse approfondie menée par des experts pour identifier l'origine, le mode opératoire et l'étendue d'une compromission. Ces frais d'investigation sont généralement pris en charge par l'assurance cyber, selon les conditions du contrat.
Manque à gagner causé par un arrêt d'activité suite à une cyberattaque.
Garantie clé d'un contrat cyber : indemnise la marge brute non réalisée pendant l'arrêt informatique, plus les frais supplémentaires d'exploitation. Le délai de carence est un point à comparer entre contrats.
Agence française de cybersécurité, autorité nationale en matière de sécurité des SI.
L'Agence Nationale de la Sécurité des Systèmes d'Information édite référentiels (PSSI, PSSI-E), labels (SecNumCloud) et accompagne les opérateurs critiques. Les notifications NIS2 lui sont adressées.
Autorité française de protection des données personnelles.
Commission Nationale de l'Informatique et des Libertés : reçoit les notifications de violation de données dans les 72 heures (art. 33 du Règlement (UE) 2016/679), contrôle la conformité RGPD et prononce les sanctions prévues à l'art. 83, pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
Obtenez votre devis assurance cyber personnalisé, sans engagement.
Demander un devis gratuit →