La directrice d'un cabinet comptable de Laval, 25 employés, reçoit le questionnaire de renouvellement de son assurance cyber. Question 7 : « L'authentification multifacteur est-elle exigée pour tous les accès à distance ? » Elle coche « oui » : tout le monde utilise une application d'authentification pour le courriel.
Sauf que le technicien externe se branche encore au serveur par un vieux bureau à distance protégé par un simple mot de passe. Le jour où un rançongiciel passera par là, cette case cochée pourrait devenir le centre de la discussion avec l'assureur.
Le questionnaire d'assurance cyber n'est pas une formalité administrative. C'est une déclaration sur laquelle l'assureur fonde sa décision, et c'est aussi la meilleure liste de vérification gratuite que vous recevrez cette année.
En bref
- Les assureurs posent presque toujours les mêmes questions : MFA, EDR, sauvegardes hors ligne ou immuables, correctifs, formation, plan de réponse aux incidents.
- Une réponse inexacte peut avoir des conséquences graves sur la couverture : en droit québécois, la déclaration du risque est encadrée par le Code civil.
- Vérifiez chaque réponse dans les consoles et les rapports, pas de mémoire, et corrigez les écarts rapides avant de signer.
- Gardez vos réponses vraies toute l'année : un nouvel outil ou un nouveau fournisseur peut changer la réalité.
Pourquoi les questionnaires sont devenus si exigeants
Il y a quelques années, l'assurance cyber se souscrivait presque sans questions. Les réclamations liées aux rançongiciels ont changé la donne : les assureurs veulent maintenant savoir précisément si les contrôles qui bloquent ces attaques sont en place.
Les montants en jeu expliquent cette prudence. Selon des données de l'industrie citées par Insurance Business Canada (octobre 2025), les coûts moyens atteignent 330 000 $ pour un rançongiciel, 220 000 $ pour une fuite de données et 118 000 $ pour une fraude au virement. Pourtant, selon une étude de Coalition publiée en 2025, 77 % des petites entreprises canadiennes se croient trop petites pour être ciblées.
Au-delà de la technique, les assureurs s'intéressent aussi à votre profil : nombre d'employés, types de clients, nature et volume des renseignements que vous conservez. Moins vous gardez de données inutiles, moins votre exposition est grande.
Les contrôles que les assureurs demandent presque toujours
Le libellé change d'un assureur à l'autre, mais les thèmes reviennent. Voici les principaux, avec le piège que l'on rencontre le plus souvent dans les PME.
| Contrôle | Ce que l'assureur veut savoir | Le piège fréquent |
|---|---|---|
| Authentification multifacteur | Courriel, accès à distance, comptes administrateurs, console de sauvegarde | Un VPN, un bureau à distance ou un compte de service oublié |
| EDR (détection et réponse sur les terminaux) | Présent sur tous les postes et serveurs, et surveillé | Antivirus classique seulement, ou alertes que personne ne lit |
| Sauvegardes hors ligne ou immuables | Séparées du réseau principal, testées régulièrement | Une copie sur un NAS accessible avec le même compte administrateur |
| Gestion des correctifs | Délai d'application des correctifs critiques, systèmes en fin de vie | Le vieux serveur « qui fait rouler le logiciel comptable » |
| Formation des employés | Fréquence, simulations d'hameçonnage | Une seule formation, à l'embauche |
| Plan de réponse aux incidents | Écrit, à jour, testé | Un document jamais ouvert depuis sa rédaction |
| Sécurité du courriel et des paiements | Filtrage, procédure de validation des virements | Aucun rappel téléphonique avant de modifier des coordonnées bancaires |
| Comptes privilégiés | Comptes d'administration séparés et peu nombreux | Tous les employés administrateurs de leur poste |
Si une ligne vous fait hésiter, c'est bon signe : vous avez trouvé votre priorité. Pour la MFA, notre guide pour choisir une authentification multifacteur explique pourquoi le SMS ne suffit plus. Pour les sauvegardes, la règle 3-2-1-1-0 répond directement à la question de l'assureur sur les copies hors ligne ou immuables.
Certaines questions prennent les dirigeants par surprise. L'assureur peut demander si une personne est responsable de la protection des renseignements personnels ou de la sécurité de l'information, comment vous encadrez les fournisseurs TI qui ont un accès à distance, ou si vous pourriez continuer à servir vos clients avec des systèmes en panne pendant plusieurs jours. Aucune de ces questions n'exige un gros budget, mais chacune demande une réponse claire, honnête, et une personne responsable dans l'entreprise.
Répondre honnêtement : ce que dit le Code civil du Québec
Au Québec, le Code civil (art. 2408 et suivants) oblige le preneur d'assurance à déclarer les circonstances connues qui peuvent influencer de façon importante l'appréciation du risque par l'assureur. Les fausses déclarations et les réticences peuvent permettre à l'assureur de demander la nullité du contrat. En l'absence de mauvaise foi, l'indemnité peut aussi être réduite.
En pratique, trois règles simples :
- Un « oui partiel » est un « non ». Si la MFA couvre 95 % des accès, répondez non, et expliquez dans les commentaires ce qui reste et quand ce sera corrigé.
- Ne répondez jamais à la place de votre fournisseur TI. S'il gère vos serveurs, faites-lui valider chaque réponse technique, par écrit.
- Conservez une copie signée. Le questionnaire fait souvent partie intégrante du contrat.
Les conséquences exactes d'une erreur dépendent des faits et du libellé de votre police : validez avec votre courtier ou votre conseiller juridique avant de signer si une question vous semble ambiguë.
Une méthode en cinq étapes
- Demandez le questionnaire tôt. Plusieurs semaines avant le renouvellement, pas la veille.
- Réunissez les bonnes personnes. La direction, la personne responsable des TI et, s'il y a lieu, votre fournisseur de services gérés.
- Vérifiez chaque réponse à la source. Ouvrez la console de MFA, le tableau de bord de l'EDR, le rapport de sauvegarde. La mémoire est optimiste.
- Corrigez les gains rapides avant de signer. Activer la MFA sur un accès oublié ou isoler une copie de sauvegarde prend souvent moins de temps qu'une négociation avec l'assureur.
- Documentez. Joignez des commentaires clairs aux réponses négatives, avec un échéancier réaliste.
Si l'écart est trop grand pour être comblé avant l'échéance, notre service de remédiation et de durcissement peut prioriser les correctifs qui pèsent le plus dans le questionnaire.
Checklist : les preuves à rassembler
- Rapport de la console MFA montrant les utilisateurs inscrits et les exceptions.
- Liste des accès à distance (VPN, bureau à distance, outils de télémaintenance) et leur protection.
- Rapport de l'EDR : nombre d'appareils couverts et date de la dernière alerte traitée.
- Journal du dernier test de restauration de sauvegarde, avec la date.
- Rapport de correctifs et liste des systèmes en fin de vie.
- Registre des formations et résultats de la dernière simulation d'hameçonnage.
- Plan de réponse aux incidents, avec la date de la dernière révision.
- Procédure écrite de validation des virements et des changements de coordonnées bancaires.
Après la signature : garder vos réponses vraies
Le questionnaire décrit votre situation à une date donnée. Or une PME change : un nouvel outil de télémaintenance, un nouveau fournisseur TI, un employé qui installe un logiciel de partage de fichiers.
Prenez l'habitude de relire vos réponses chaque trimestre, ou dès qu'un changement important touche vos accès, vos sauvegardes ou votre fournisseur TI. Si un contrôle déclaré n'est plus en place, corrigez-le rapidement et parlez-en à votre courtier.
Enfin, l'assurance ne remplace pas vos obligations légales. Si un incident touche des renseignements personnels et présente un risque de préjudice sérieux, la Loi 25 vous oblige à aviser la Commission d'accès à l'information et les personnes concernées, que vous soyez assuré ou non.
Questions fréquentes
L'assurance cyber paie-t-elle la rançon en cas de rançongiciel ?+
Cela dépend du libellé de la police. Certaines couvrent l'extorsion, souvent sous conditions et avec l'accord préalable de l'assureur; d'autres l'excluent ou la limitent. Payer ne garantit pas la récupération des données. Demandez à votre courtier de vous montrer la clause exacte.
Mon assurance responsabilité civile couvre-t-elle déjà les cyberattaques ?+
Rarement de façon complète. Au Canada, la couverture cyber est le plus souvent offerte dans une police distincte, parfois ajustée par avenant. Vérifiez avec votre courtier ce que votre police actuelle exclut, notamment la fraude par virement et les frais de notification.
Un audit de cybersécurité peut-il améliorer nos conditions d'assurance ?+
Les assureurs demandent souvent la date du dernier audit et si ses recommandations ont été appliquées. Un audit récent, suivi d'un plan de correction, permet de répondre au questionnaire de façon précise et documentée. Une bonne gestion des risques peut aider à obtenir de meilleures conditions, mais chaque assureur fixe ses propres critères.
En cas d'incident, faut-il appeler l'assureur ou le technicien en premier ?+
Lisez votre police avant qu'un incident survienne. Plusieurs polices exigent un avis rapide à l'assureur et prévoient une ligne d'urgence ou une liste de fournisseurs approuvés en réponse aux incidents; engager un autre fournisseur sans accord peut limiter le remboursement. Inscrivez ces coordonnées dans votre plan de réponse.
Sources
- 1.Pensez cybersécurité (Bureau d'assurance du Canada) : votre petite entreprise a-t-elle besoin d'une cyberassurance ?
- 2.Code civil du Québec, art. 2408 à 2411 (déclaration du risque)
- 3.Canadian Underwriter : pourquoi les assureurs cyber exigent la MFA
- 4.Insurance Business Canada : AI-powered attacks push cyber risks higher for Canada's SMEs (oct. 2025)
- 5.Canadian Underwriter : les petites entreprises canadiennes sous-estiment le risque cyber (Coalition)