Risque quantique : exposition aux risques cyber et aux risques liés à la responsabilité civile des dirigeants

Pourquoi chaque organisation doit-elle réexaminer ses stratégies en matière de chiffrement, de gouvernance, d'
s et d'assurance avant l'arrivée de la révolution quantique ?

Télécharger cet article sous forme de livre blanc

L'informatique quantique n'est pas simplement une nouvelle tendance dans le domaine du cyberespace. Elle représente une menace potentielle pour les fondements cryptographiques qui permettent aux entreprises de sécuriser leurs données, d'authentifier leurs utilisateurs, de signer des logiciels, de traiter des transactions et de faire confiance à des systèmes tiers.

Le risque n’est pas que toutes les entreprises soient confrontées dès demain à une attaque quantique. Le risque est que des données chiffrées puissent être volées aujourd’hui et déchiffrées plus tard, alors que la migration vers une cryptographie résistante à l’informatique quantique prendra des années. PLUS considère que le risque quantique va au-delà d’une simple question technologique ; il s’agit également d’un enjeu lié au bilan, à la gouvernance et à la responsabilité civile pour les assureurs cyber, les assureurs de la responsabilité civile des dirigeants, les conseils d’administration et les gestionnaires de risques.

Cette question revêt aujourd'hui une importance particulière, car ces normes ne relèvent plus du domaine théorique. Le NIST a finalisé ses premières normes principales en matière de cryptographie post-quantique, notamment la norme FIPS 203 relative à l'établissement des clés, la norme FIPS 204 relative aux signatures numériques et la norme FIPS 205, qui vient compléter le référentiel en matière de signatures numériques.

Du risque lié au chiffrement au risque d'entreprise

Le risque quantique désigne la possibilité que les futurs ordinateurs quantiques soient capables de contourner les algorithmes de chiffrement à clé publique couramment utilisés pour protéger les données, les communications réseau, les mises à jour logicielles, les systèmes d'identification et les signatures numériques.

1. Collecter aujourd’hui, décrypter plus tard :
Les cybercriminels volent aujourd’hui des données cryptées dans l’espoir de pouvoir les décrypter lorsque les capacités quantiques auront atteint leur maturité. Cela est particulièrement préoccupant pour les informations présentant une valeur à long terme, notamment les dossiers médicaux, les données biométriques, les secrets d’affaires, les communications gouvernementales, les informations financières et la propriété intellectuelle.

2. Échec cryptographique futur :
Une fois que l'informatique quantique aura atteint un niveau de performance suffisant, les systèmes de chiffrement et de signature couramment utilisés pourraient devenir peu fiables. Cela pourrait affecter les VPN, les protocoles TLS/SSL, les signatures numériques, les systèmes d'identité, les outils d'authentification, les actifs basés sur la blockchain et d'autres infrastructures reposant sur la confiance.

La lacune en matière de couverture cyber : une violation aujourd'hui, une demande d'indemnisation demain

La plupart des polices d'assurance cyber n'ont pas été rédigées en tenant compte d'un décryptage quantique. Un sinistre lié à la technologie quantique pourrait soulever des questions délicates en matière de couverture :

• Quelle est la période couverte par la police d'assurance : l'année où les données ont été volées, celle où elles ont été déchiffrées ou celle où la déclaration de sinistre a été déposée ?
• Le décryptage quantique est-il un échec en matière de sécurité, un échec cryptographique, une vulnérabilité systémique ou autre chose ?
• Le vol de données cryptées entraîne-t-il des obligations de notification si ces données ne sont pas encore lisibles ?
• Les exclusions liées au risque systémique, aux infrastructures, à la guerre ou aux acteurs soutenus par un État pourraient-elles devenir pertinentes ?
• La couverture « interruption d'activité dépendante » s'applique-t-elle si la défaillance survient au sein de l'environnement d'un fournisseur essentiel ?

Recommandation du courtier : Vérifiez dès maintenant les clauses relatives à la cybercriminalité, en particulier les définitions des notions suivantes : défaillance de sécurité, incident lié à la confidentialité, interruption d'activité induite, défaillance du système, restauration des données, couverture réglementaire, exclusions et conditions de notification.

Risque lié à la responsabilité civile des dirigeants : quand l'inaction donne lieu à une réclamation au titre de la responsabilité civile des dirigeants

Les conseils d'administration n'ont pas besoin de devenir des cryptographes. Ils doivent toutefois superviser les risques cybernétiques et technologiques significatifs et démontrer que la direction dispose d'un processus fiable pour identifier ces risques, les hiérarchiser, prévoir les budgets nécessaires et gérer la transition.

Les allégations potentielles relevant de la responsabilité civile des dirigeants et administrateurs pourraient notamment inclure :

• Manque de suivi de l'état de préparation en matière de cybersécurité ;
• Investissements insuffisants dans la migration post-quantique ;
• Présentation trompeuse de la politique de sécurité des données de l'entreprise ;
• l'incapacité à identifier les risques liés aux principaux fournisseurs ou aux cibles d'acquisition ; et
• Manque de transparence concernant la gestion et la gouvernance des risques cybernétiques.

Pour les sociétés cotées, cela recoupe également les contrôles relatifs à la communication d'informations sur la cybersécurité. La déclaration des incidents significatifs, la publication annuelle d'informations sur la gestion des risques liés à la cybersécurité et les rapports du conseil d'administration sur la gouvernance soulignent tous l'importance de documenter la manière dont les risques cyberémergents sont signalés à la hiérarchie et traités.

Les assureurs y prêtent attention

Les assureurs spécialisés dans la cyberassurance et la responsabilité civile des dirigeants ne s'attendent peut-être pas à ce que la migration soit achevée dès aujourd'hui, mais ils exigeront de plus en plus la mise en place d'un processus clair. Les entreprises doivent être prêtes à répondre à des questions concrètes :

• Avez-vous recensé tous les domaines dans lesquels la cryptographie est utilisée ?
• Quelles données resteraient confidentielles si elles étaient déchiffrées dans cinq, dix ou vingt ans ?
• Les fournisseurs clés ont-ils présenté des feuilles de route en matière de cryptographie post-quantique ?
• Le risque quantique est-il pris en compte dans le registre des risques informatiques ?
• Le conseil d'administration ou le comité des risques a-t-il été informé ?
• La planification de la migration est-elle alignée sur les cycles de renouvellement informatique et les prévisions budgétaires ?

En l'absence de ces contrôles, les organisations risquent de se voir confrontées à des questions de souscription plus strictes, à une couverture plus restreinte, à des plafonds réduits ou à des conditions moins avantageuses. À l'inverse, un processus de préparation documenté peut contribuer à faire valoir l'organisation comme un risque mieux géré.

Mesures pratiques de préparation

Un plan de préparation à la technologie quantique ne doit pas nécessairement commencer par une refonte technologique complète. Il doit d'abord porter sur la visibilité, l'appropriation et la documentation.

1. Inventaire cryptographique : identifierles domaines dans lesquels l'organisation utilise le chiffrement à clé publique, les protocoles TLS/SSL, les VPN, les certificats, les signatures numériques, les systèmes d'identité, les API, la signature de code, les services cloud, les modules de sécurité matériels et les systèmes embarqués.

2. Examen de la durée de vie des données : donnez la priorité aux données qui pourraient encore causer un préjudice si elles venaient à être divulguées dans plusieurs années, notamment les informations médicales, les données biométriques, les secrets d'affaires, les codes sources, les documents financiers, les dossiers relatifs aux fusions-acquisitions et les données sensibles sur les clients.

3. Analyse de la feuille de route des fournisseurs : demandez aux fournisseurs clés s'ils prennent en charge la cryptographie post-quantique, s'ils ont établi un calendrier de migration et si leurs produits sont « crypto-agiles ».

4. Actualités relatives aux contrats et aux marchés publics : intégrer dans les nouveaux contrats technologiques les dispositions relatives à la préparation à l'ère post-quantique, à l'agilité cryptographique, aux obligations en matière de mises à jour de sécurité, à la notification des incidents et aux exigences concernant la feuille de route des fournisseurs.

5. Rapports destinés au conseil d'administration : ajouter le risque quantique au registre des risques cybernétiques et fournir des mises à jour périodiques au conseil d'administration ou au comité des risques.

6. Adaptation des assurances : passer en revue les polices d'assurance cyber et les polices d'assurance responsabilité civile des dirigeants (D&O) afin de comprendre comment la couverture peut s'appliquer en cas de vol de données chiffrées, de préjudice différé, de défaillance d'un fournisseur, de plaintes pour divulgation d'informations, d'enquêtes réglementaires et d'allégations liées aux valeurs mobilières.

Recommandation du courtier : Commencez par les actifs et les relations qui comptent le plus : les données sensibles à longue durée de vie, les systèmes exposés à l'extérieur, l'infrastructure d'identité, les fournisseurs de services cloud et les prestataires qui gèrent le chiffrement, l'authentification ou les signatures numériques.

Le risque futur pesant sur les obligations actuelles en matière de gouvernance

Les entreprises les mieux préparées face au risque quantique ne seront pas nécessairement celles qui effectueront la migration en premier. Ce seront celles qui sauront faire la preuve d'une démarche mûrement réfléchie.

Cela implique de savoir où la cryptographie est mise en œuvre, d’identifier les données présentant un caractère sensible à long terme, d’impliquer les fournisseurs, de documenter le contrôle exercé par le conseil d’administration et d’adapter la couverture d’assurance à la manière dont le risque pourrait effectivement se concrétiser.

À emporter

Le risque quantique n'est pas de la science-fiction. Il s'agit d'un enjeu émergent en matière de cybersécurité, de contrats et de gouvernance, qui a déjà des implications pour la souscription, la surveillance par le conseil d'administration, la gestion des fournisseurs et les contrôles de communication d'informations.

La question n'est plus de savoir si l'exposition aux risques quantiques existe. La question est de savoir si votre organisation est en mesure de démontrer qu'elle a identifié ce risque, attribué les responsabilités et commencé à mettre en place une stratégie crédible de migration et d'assurance.

N'hésitez pas à nous contacter si vous avez besoin d'aide pour évaluer votre programme de cyberassurance et d'assurance responsabilité civile des dirigeants face aux nouveaux risques quantiques.

Télécharger cet article sous forme de livre blanc

---