Un questionnaire d'assurance cyber n'est pas un audit technique : c'est un ensemble de déclarations qui deviennent contractuelles. La difficulté n'est pas de répondre « oui, nous avons une MFA », mais de pouvoir décrire, plus tard et sous contrainte, le périmètre exact de cette MFA à la date de souscription. Les pratiques varient d'un assureur, d'un courtier et d'une année à l'autre : rien de ce qui suit ne constitue une exigence universelle, et seuls votre questionnaire et vos conditions particulières font foi.
Ce que le questionnaire cherche à établir
Trois éléments reviennent le plus souvent, quelle que soit la forme du document.
Le premier est l'étendue réelle de la protection sur les chemins qui comptent : accès distant, messagerie, outils d'administration, sauvegardes. L'intérêt porte moins sur le nombre d'utilisateurs couverts que sur l'existence d'un chemin non couvert, puisque c'est lui qui produit le sinistre.
Le deuxième est la maîtrise des accès à privilèges, y compris ceux des prestataires : comptes nominatifs, séparation entre usage courant et usage d'administration, inventaire tenu à jour.
Le troisième, moins visible, est votre capacité à documenter ce que vous déclarez. Une réponse étayée par un inventaire daté et un export de configuration n'a pas le même statut qu'une réponse donnée de mémoire, même si la case cochée est la même.
Les questions types et ce qu'elles vérifient réellement
| Question fréquemment posée | Ce qu'elle cherche à savoir | Ce qui rend la réponse difficile à tenir |
|---|---|---|
| Une MFA protège-t-elle tous les accès distants ? | s'il subsiste un accès sans second facteur | les mots « tous les » : un ancien portail ou un accès prestataire suffisent à rendre la réponse inexacte |
| La messagerie est-elle protégée par une MFA ? | l'exposition du canal de fraude le plus utilisé | les clients anciens qui n'acceptent pas de second facteur et restent parfois autorisés |
| Les comptes à privilèges sont-ils nominatifs ? | l'imputabilité des actions d'administration | les comptes partagés d'exploitation, souvent hors du périmètre annoncé |
| L'accès aux sauvegardes est-il séparé et protégé ? | la capacité à restaurer après une compromission | les consoles de sauvegarde administrées avec les mêmes identifiants que le domaine |
| Quelles exceptions à la politique sont en vigueur ? | l'écart entre la politique écrite et la réalité | les dérogations accordées verbalement, sans registre |
| Comment un accès est-il réinitialisé après une perte de facteur ? | le chemin le plus faible du dispositif | un parcours support fondé sur quelques informations personnelles, rarement écrit |
| Les prestataires accèdent-ils à vos systèmes, et comment ? | la surface d'accès de tiers | des accès ouverts pour un projet et jamais refermés |
| Les journaux d'authentification sont-ils conservés ? | la possibilité d'enquêter | une durée de conservation plus courte que le délai de découverte d'une intrusion |
La question la plus piégeuse est celle des exceptions : c'est la seule à laquelle la réponse honnête n'est jamais « aucune ». Répondre « aucune » sans registre consultable expose à une contradiction ultérieure ; répondre « trois dérogations, propriétaires identifiés, échéances fixées » est moins flatteur et bien plus défendable.
Déclarer une MFA n'est pas prouver son périmètre
Une déclaration est une affirmation sur un périmètre. Une preuve est un document daté qui permet à un tiers de reconstituer ce périmètre sans vous croire sur parole. L'écart entre les deux se creuse de lui-même : les configurations évoluent, les exceptions s'accumulent, les projets ouvrent des accès temporaires.
Le dossier de preuve minimal tient en six pièces, toutes tirées de vos outils existants.
- Inventaire des applications et des chemins d'accès, avec le mécanisme d'authentification effectif de chacun, daté et signé par un responsable nommé.
- Export de configuration de votre fournisseur d'identité : politiques appliquées, populations ciblées, conditions d'exclusion.
- Liste des exclusions et dérogations, avec justification, propriétaire et date de réexamen.
- État des protocoles anciens encore autorisés, en particulier sur la messagerie, et décision associée.
- Description du parcours de récupération, y compris la procédure du support et les preuves qu'il exige.
- Échantillon de journaux montrant, pour une opération sensible réelle, quel facteur a été présenté et à quel moment.
La sixième pièce est la plus souvent absente et la plus utile après un incident. Beaucoup de dispositifs journalisent une ouverture de session sans conserver de trace de la preuve associée à l'opération. Un attaquant qui exploite une session valide apparaît alors comme un utilisateur légitime, et la distinction devient impossible à établir des mois plus tard.
Ce qui devient difficile à documenter après un sinistre
Après un sinistre, on ne documente plus : on tente de retrouver. Quatre difficultés reviennent, et toutes se préparent avant.
La première est la durée de conservation des journaux : une intrusion se découvre parfois longtemps après son début, et la période utile a alors disparu.
La deuxième est l'état de la configuration à la date des faits. Les outils montrent la configuration actuelle, rarement celle d'il y a huit mois. Sans instantané archivé, établir qu'une mesure déclarée était bien active au moment du sinistre devient un exercice de témoignages.
La troisième est le lien entre une opération contestée et la preuve qui l'a autorisée. Quand un virement frauduleux a été validé au sein d'une session ouverte légitimement, l'assureur et l'enquête interne posent la même question : qu'est-ce qui établit que cette opération précise a été approuvée par une personne, et non rejouée par un tiers ?
La quatrième est le statut de l'utilisateur. Une personne légitime manipulée par téléphone laisse les mêmes traces qu'une personne agissant librement. Les journaux techniques ne tranchent pas cette zone grise, et c'est là que les discussions de prise en charge s'allongent : établir une intention humaine consciente au moment de l'opération relève d'un autre type de preuve que celle produite par un facteur de possession.
Ce qu'il faut faire avant le renouvellement, et ce que l'assurance ne fait pas
Six semaines suffisent, à condition que la personne qui devra tenir les réponses conduise elle-même ces étapes.
- Reprise du questionnaire de l'année précédente, réponse par réponse, chacune adossée à une pièce.
- Revue des exceptions : fermeture de celles qui n'ont plus d'objet, échéance pour les autres.
- Vérification des journaux : durée de conservation réelle et contenu effectivement enregistré.
- Test d'un parcours de récupération, avec consignation de ce que le support a demandé.
- Archivage d'un instantané de configuration daté, conservé avec le questionnaire signé.
- Validation par le responsable capable de prouver chaque réponse, avant signature.
Reste une limite qu'aucune préparation ne lève. L'assurance transfère une partie du coût financier, pas le risque opérationnel : elle ne restaure pas un système, ne rappelle pas les clients et ne reconstitue pas une chaîne de preuve absente. Une déclaration imprécise faite de bonne foi produit, elle, une discussion contractuelle au moment où l'entreprise a besoin de trésorerie et d'attention. La réponse nuancée et documentée reste donc préférable au « oui » large, même si elle donne l'impression d'un dossier moins solide à la souscription.
FAQ
Un assureur exige-t-il une technologie d'authentification particulière ?
Les pratiques varient, et un questionnaire porte généralement sur des fonctions — second facteur sur les accès distants, protection des comptes à privilèges — plutôt que sur un produit. Le NIST SP 800-63B peut en revanche être cité en interne : il classe l'OTP par SMS ou par voix comme un usage déconseillé, ce qui documente une décision d'évolution.
Faut-il déclarer une couverture partielle ?
Déclarez le périmètre réel avec ses limites plutôt qu'une couverture générale. Une réponse partielle et précise se défend devant un expert ; une réponse générale contredite par la configuration constatée après un sinistre ouvre une discussion sur la déclaration elle-même.
Qui doit remplir le questionnaire ?
La personne qui pourra prouver les réponses, avec une relecture par la direction qui les signe. Un questionnaire rempli par une direction sans vérification technique, ou par une équipe technique sans lecture juridique, produit dans les deux cas des réponses fragiles.
Aller plus loin : pilier : authentification cognitive · ce que NIS2, DORA et le CRA exigent de l'authentification · vol de session et token theft · estimer le coût d'une violation liée aux identifiants