Les assureurs posent une courte liste de questions : chaque personne utilise-t-elle une deuxième étape pour se connecter, les sauvegardes sont-elles hors d’atteinte et testées, existe-t-il un plan écrit pour le jour où quelque chose est verrouillé, et qui détient les droits d’administrateur. Répondez avec des preuves, et écrivez « non » quand la réponse est non. Un oui optimiste est la réponse qui vous coûte la réclamation.
Derrière la formulation se cachent quelques contrôles qui décident si une réclamation se produit un jour. Est-ce qu’un mot de passe volé fait entrer quelqu’un, ou est-ce qu’une deuxième étape l’arrête? Si des fichiers sont chiffrés, existe-t-il une sauvegarde que l’attaquant ne pouvait pas atteindre, et quelqu’un s’en est-il servi pour restaurer? Les ordinateurs sont-ils à jour, et est-ce que quelque chose les surveille? Qui détient des droits d’administrateur, et combien de ces comptes existent? Y a-t-il un plan écrit nommant qui fait quoi le mauvais jour, et le sauriez-vous en quelques heures plutôt qu’en quelques semaines?
L’assureur chiffre la probabilité de payer. Chaque question correspond à une façon dont des entreprises de votre taille perdent réellement de l’argent.
Pour chaque oui, sachez où se trouve la preuve avant de cocher. Un rapport montrant que la deuxième étape de connexion est active sur chaque compte, y compris celui du propriétaire et tout compte utilisé par un logiciel. La date et le résultat du dernier test de restauration, avec le fichier revenu. Une liste écrite des personnes qui détiennent des droits d’administrateur. Un rapport de mises à jour montrant ce qui est à jour et ce qui est en retard. Un plan d’incident d’une page avec des noms et des numéros de téléphone.
Gardez les preuves avec le formulaire rempli. S’il y a un jour une réclamation, les questions sont reposées par quelqu’un de beaucoup moins détendu sur les réponses.
La deuxième étape de connexion est active pour le personnel et inactive pour le propriétaire, ou pour la boîte partagée, ou pour le compte qui fait rouler un logiciel la nuit. Les sauvegardes vivent dans le même compte que les données, alors un seul mot de passe volé atteint les deux. Personne ne peut dire qui détient les droits d’administrateur. Le plan existe dans une seule tête. L’accès à distance est ouvert à tout Internet parce que c’était plus rapide ainsi pendant un mois chargé.
Chacun de ces écarts se corrige en un avant-midi. Les découvrir parce que l’assureur a posé la question, c’est la version bon marché de la découverte.
Un oui que vous ne pouvez pas prouver est une fausse déclaration, et c’est la phrase sur laquelle une réclamation se fait refuser. Les assureurs voient des formulaires honnêtes tous les jours, et « pas encore, en place d’ici la fin du mois prochain » est une réponse qu’ils savent chiffrer.
Traitez aussi le questionnaire comme une liste de travaux. Quelqu’un dont le métier est de chiffrer le risque vient de vous remettre des priorités classées pour votre propre entreprise, sans frais.
Nous passons le formulaire avec vous et nous y répondons à partir de preuves, que nous rassemblons au fur et à mesure. Quand la réponse honnête est non, nous écrivons non et nous mettons une date à côté. Nous ne détenons aucune certification en sécurité et le formulaire le dit exactement, parce qu’une réclamation est un mauvais endroit pour découvrir qu’un fournisseur a été optimiste en votre nom.
Vous gardez une liste écrite des protections réellement en place, en mots simples et avec notre nom dessus, ce qui est aussi ce que votre ordre professionnel ou votre responsable de la vie privée demandera.
Quand un propriétaire nous transmet le questionnaire de son assureur, voici la séquence.
Cela fait partie de l’audit d’infrastructure gratuit, et le résultat écrit est à vous, que vous nous engagiez ensuite ou non.
Laissez votre nom et votre numéro. Une personne vous rappelle le jour même, habituellement en moins d’une heure, et parcourt les questions de l’assureur avec vous, une à la fois.