34:55Cet enregistrement n'est pas encore disponible.
Utiliser des frameworks de cybersécurité modernes pour mieux saisir la cyber-assurance
Télécharger les ressourcesCatégories
À propos de cette session
Vétéran de la cybersécurité depuis près de vingt ans, cofondateur d'une des premières équipes de NorthSec et aujourd'hui cofondateur et chef de produit d'Inscora, une plateforme de cyberassurance clé en main pour les MSSP, il explique comment faire correspondre les questionnaires de cyberassurance aux cadres de sécurité modernes. Il présente la Cyber Defense Matrix (CDM) de Sounil Yu, qui croise les fonctions du NIST CSF avec cinq catégories d'actifs et une colonne de gouvernance, ainsi que la distinction entre contrôles préventifs et réactifs. Il décrit la collecte de centaines de questionnaires d'assureurs de formats variés, l'usage de LLM pour extraire et normaliser les questions, puis leur étiquetage selon la CDM. Les résultats montrent que les assureurs privilégient fortement la prévention, avec une emphase marquée sur les contrôles liés aux données et aux utilisateurs, tandis que la détection, la réponse, la sécurité applicative et la gestion des vulnérabilités sont relativement négligées, et que la couverture varie beaucoup d'un assureur à l'autre. La comparaison avec les techniques MITRE ATT&CK révèle un alignement partiel mais un écart net sur les menaces applicatives. Il présente un outil web gratuit issu de cette analyse et termine sur les contrôles éliminatoires et l'importance d'un courtier compétent.
La cyber-assurance connaît une croissance exponentielle depuis quelques années, stimulée notamment par l'épidémie de ransomware, mais aussi par les exigences croissantes des partenaires commerciaux, des investisseurs, des régulateurs et des principes fondamentaux de bonne gestion. Bien que la cyber-assurance existe depuis plus de 20 ans, elle ne cesse d’évoluer afin de s’adapter à l'incertitude du risque cyber. Cette évolution constante est reflétée dans les stratégies divergentes adoptées par les différents assureurs: de longs questionnaires d’évaluation, des scans de périmètre, voire même la collecte de données à l'intérieur des réseaux corporatifs. Cependant, un fossé important existe toujours entre les contrôles exigés par les assureurs et ce que les équipes de sécurité considèrent réellement efficace pour leur protection, constituant un obstacle majeur à l’élaboration d’une stratégie unifiée de cyber résilience. Réconcilier ces deux mondes n’est pas évident, mais cette présentation propose une approche novatrice pour y parvenir: en utilisant des frameworks modernes comme la Cyber Defense Matrix (CDM), combinée à des analyses basées sur des LLMs, nous pouvons filtrer efficacement le bruit et mieux identifier les contrôles nécessaires pour répondre aux exigences changeantes des assureurs. Lors de cette présentation, nous introduirons la CDM, expliquerons quelques cas d’usage typiques, puis nous examinerons comment celle-ci peut être exploitée (avec l’aide des LLM) pour catégoriser à grande échelle les milliers de questions présentes dans les formulaires d’assurance, et mieux corréler nos contrôles aux attentes des assureurs. Une application open-source en ligne sera également présentée afin d’aider les participants à s’approprier cette démarche et à construire leurs propres cas d’usage après l’événement.
À retenir
- Utiliser les questions des formulaires d'assurance comme indicateur indirect des priorités réelles de l'assureur : un contrôle répété dans 50 questions pèse lourd dans son modèle, même sans voir sa méthode actuarielle.
- Cartographier ses propres contrôles sur la Cyber Defense Matrix (fonctions NIST CSF x appareils/réseau/applications/données/utilisateurs, plus la gouvernance) avant de magasiner une police, pour comparer ce que l'assureur demande à ce qu'on possède réellement.
- S'attendre à ce que la sécurité applicative, le SBOM et la gestion des vulnérabilités dans le code soient sous-couverts par la plupart des formulaires; un questionnaire complet ne garantit pas une évaluation adéquate de la couche applicative.
- Considérer certains contrôles comme éliminatoires en souscription, comme le MFA sur les courriels exposés ou l'absence de RDP accessible, puisque leur absence peut bloquer la couverture même dans un marché favorable.
- Passer par un courtier spécialisé en cyberassurance plutôt que de magasiner seul; les polices varient en exclusions, sous-limites et définitions des « systèmes critiques » d'une façon difficile à comparer sans expertise.
Conférenciers
Pierre-David Oriol
Pierre-David Oriol est Chief Product Officer chez Inscora, une entreprise qui aide les courtiers en cyber-assurance à mieux évaluer le risque cyber des entreprises et à renforcer leur offre en cybersécurité. Précédemment, il était responsable… Lire la suiteRéduire
Pierre-David Oriol est Chief Product Officer chez Inscora, une entreprise qui aide les courtiers en cyber-assurance à mieux évaluer le risque cyber des entreprises et à renforcer leur offre en cybersécurité. Précédemment, il était responsable produit chez Secureworks (maintenant Sophos), spécialisé dans l'interprétation holistique du risque à travers les vulnérabilités, les menaces et le renseignement cyber. Fort de plus de 15 ans d'expérience en cybersécurité et d’une solide expertise technique en développement logiciel, systèmes de paiement et cryptographie, Pierre-David a géré la direction de plusieurs produits de cybersécurité utilisés par des milliers d'organisations à travers le monde et co-publié des brevets destinés à prioriser dynamiquement le risque cyber à grande échelle. Il est également cofondateur de Northsec, la plus grande compétition de cybersécurité au monde, et continue aujourd'hui à œuvrer au croisement des produits, de la cybersécurité et de l'assurance.
