Cyberassurance pour PME au Québec : réussir le questionnaire

Il y a cinq ans, souscrire une assurance cyberrisques au Canada se réglait par un appel et une signature. Aujourd'hui, la demande arrive avec un questionnaire de sécurité qui ressemble à un audit, et une seule mauvaise réponse peut entraîner un refus, une exclusion dans les petits caractères ou une prime qui fait grimacer. La cyberassurance pour les PME au Québec est devenue si exigeante que bien des entreprises découvrent, en plein renouvellement, qu'elles ne peuvent pas honnêtement répondre oui à la moitié des questions.

Ce que peu de courtiers expliquent : les contrôles exigés par les assureurs correspondent presque un pour un à Microsoft 365 Business Premium, une licence que beaucoup de PME paient déjà. Ce guide passe en revue les six questions des questionnaires types et montre comment Defender for Business, Intune, l'accès conditionnel et Dropsuite y répondent. L'objectif est simple : réussir le questionnaire honnêtement, avec des preuves derrière chaque case cochée.

Points clés à retenir

• Les assureurs exigent MFA, EDR, sauvegardes hors site, correctifs réguliers, plan de réponse aux incidents et comptes administrateurs distincts.
• Répondre oui à un contrôle à moitié déployé peut annuler votre couverture au moment d'une réclamation.
• Microsoft 365 Business Premium et Dropsuite répondent à la plupart des questions sans nouvel achat.
• Selon nos observations sur le terrain, les refus viennent surtout des lacunes MFA et des sauvegardes non testées.
• Conservez vos preuves : exportations de politiques et rapports accélèrent la souscription et protègent vos réclamations.

Pourquoi la cyberassurance des PME au Québec est devenue si exigeante

Les assureurs ont passé les années 2019-2021 à payer des réclamations de rançongiciels qui dépassaient largement les primes perçues. La correction était prévisible : ils souscrivent maintenant le cyberrisque comme le risque d'incendie. Pas de gicleurs, pas de police. Le questionnaire, c'est leur inspection des gicleurs.

Les entreprises québécoises portent une couche de risque supplémentaire. La Loi 25 rend la notification des incidents obligatoire et prévoit de vraies sanctions, ce qui augmente le coût de chaque incident qu'un assureur pourrait devoir couvrir. Selon nos observations sur le terrain, des questionnaires de deux pages en 2021 en font maintenant dix ou plus, et les soumissions arrivent souvent conditionnelles à des contrôles précis déjà en place.

Chaque contrôle du questionnaire est un contrôle que vous voudriez de toute façon; l'assureur vient de vous remettre la liste de priorités gratuitement.

Les six contrôles présents sur tous les questionnaires de cyberassurance

La formulation varie d'un assureur à l'autre, mais le fond reste le même. Pour chaque contrôle : ce que les assureurs demandent, pourquoi, et comment la pile Microsoft y répond.

La MFA partout, pas seulement quelque part

Ce que les assureurs demandent : si l'authentification multifacteur protège le courriel, l'accès à distance, les comptes administrateurs et tout système contenant des données sensibles. Cette exigence arrive habituellement à la question un, et « partiellement déployée » compte comme un non.

Pourquoi : les identifiants compromis restent la porte d'entrée la plus fréquente dans les réclamations que les assureurs paient réellement.

Comment la pile y répond : l'accès conditionnel d'Entra ID impose la MFA à chaque utilisateur sur chaque application infonuagique et bloque les protocoles d'authentification héritée qui la contournent. Pour un point de départ éprouvé, notre base d'accès conditionnel gratuite couvre exactement les politiques que les souscripteurs s'attendent à voir.

Un EDR sur chaque poste

Ce que les assureurs demandent : si vous utilisez une solution de détection et réponse aux points de terminaison (EDR) sur tous les postes et serveurs, parfois décrite comme un « antivirus de nouvelle génération ».

Pourquoi : l'EDR fait souvent la différence entre une tentative de rançongiciel et une réclamation de rançongiciel.

Comment la pile y répond : Defender for Business, inclus dans Business Premium, offre un EDR complet avec investigation automatisée. Déployé par Intune, il couvre chaque appareil inscrit, et le portail produit le rapport de couverture qui le prouve. Ajoutez quelqu'un qui traite réellement les alertes; c'est le cœur de notre service de cybersécurité géré.

Des sauvegardes hors site et immuables

Ce que les assureurs demandent : si une copie est conservée hors site ou hors ligne, si un attaquant avec des droits d'administration pourrait les modifier, et à quand remonte votre dernier test de restauration.

Pourquoi : les groupes de rançongiciels s'attaquent d'abord aux sauvegardes. L'assureur veut qu'un chemin de récupération propre existe, pour que la réclamation reste une facture de restauration plutôt qu'une négociation de rançon.

Comment la pile y répond : Dropsuite sauvegarde Exchange, OneDrive, SharePoint et Teams vers un stockage indépendant hors de votre tenant, avec une rétention qu'un compte compromis ne peut pas raccourcir. Nous avons comparé les options dans Sauvegarde Microsoft 365 vs Dropsuite. Pour les serveurs et les fichiers, ajoutez une copie hors site avec notre service de sauvegarde et relève. Faites ensuite un test de restauration chaque trimestre et conservez le billet : c'est votre preuve.

Une cadence de correctifs démontrable

Ce que les assureurs demandent : à quelle vitesse vous appliquez les mises à jour de sécurité critiques, souvent selon une fenêtre précise de 14 ou 30 jours.

Pourquoi : une bonne part des réclamations commence par un système exposé à Internet dont le correctif était disponible depuis des semaines.

Comment la pile y répond : les anneaux de mise à jour d'Intune poussent les mises à jour Windows selon un calendrier défini, avec des échéances et des périodes de grâce qui rendent la cadence exécutoire plutôt que théorique. Les rapports de conformité montrent l'état du parc, exactement la pièce à joindre au questionnaire.

Un plan de réponse aux incidents écrit

Ce que les assureurs demandent : si un plan documenté existe, qui fait partie de l'équipe de réponse et si vous l'avez déjà mis à l'épreuve.

Pourquoi : un incident contenu en quelques heures coûte beaucoup moins cher à l'assureur qu'un incident découvert après des semaines.

Comment la pile y répond : ce contrôle relève du papier et de la pratique, pas des licences. Nommez le responsable interne, votre fournisseur TI, votre courtier et la ligne d'urgence de l'assureur, et indiquez où se trouvent les procédures techniques. Faites un exercice sur table par année, même 90 minutes, et notez la date : voilà ce qui transforme « nous avons un plan » en un oui défendable.

Des comptes administrateurs distincts

Ce que les assureurs demandent : si les administrateurs utilisent des comptes dédiés pour les tâches privilégiées, distincts de l'identité qui lit les courriels toute la journée.

Pourquoi : quand le compte de messagerie est aussi administrateur général, un seul clic d'hameçonnage livre le tenant au complet.

Comment la pile y répond : Entra ID rend la séparation peu coûteuse. Créez des comptes administrateurs dédiés sans boîte aux lettres, protégez-les avec une MFA résistante à l'hameçonnage et limitez leurs connexions par l'accès conditionnel. Attribuez des rôles précis : personne ne devrait détenir le rôle d'administrateur général pour des tâches courantes.

Comment réussir le questionnaire de cyberassurance honnêtement

La tentation est réelle : tout cocher oui et corriger plus tard. Résistez. Une fausse déclaration sur la demande est l'un des moyens les plus sûrs de perdre une réclamation, et les assureurs vérifient l'état réel des contrôles après un incident.

Une séquence qui fonctionne mieux :

1. Remplissez un brouillon honnêtement et marquez chaque non ou réponse partielle.
2. Priorisez. Les lacunes MFA et sauvegardes coulent plus de demandes que tout le reste.
3. Comblez les écarts avant de soumettre. La plupart des contrôles Microsoft 365 se déploient en jours ou en semaines.
4. Recueillez vos preuves : exportations de politiques d'accès conditionnel, rapports de couverture Defender, paramètres de rétention Dropsuite, billets de tests de restauration.
5. Soumettez avec des dates et des détails.

Les souscripteurs réagissent bien à la précision. « MFA imposée à tout le tenant par l'accès conditionnel depuis mars 2026, authentification héritée bloquée » se lit très différemment d'une simple case cochée.

Refus de couverture ou hausse de prime? Lisez le questionnaire comme une feuille de route

Un refus ressemble à un verdict. Traitez-le plutôt comme une liste d'écarts avec une échéance. Selon nos observations sur le terrain, la plupart des refus tiennent à une courte liste d'éléments corrigeables, et les entreprises qui comblent leurs lacunes MFA, EDR et sauvegardes obtiennent généralement une couverture à la demande suivante.

La même logique vaut pour les renouvellements douloureux. Avant d'accepter une prime plus élevée ou une police amputée, faites cartographier votre tenant Microsoft 365 contre le questionnaire. Plusieurs non sont peut-être à une configuration près de devenir des oui, sur des licences que vous possédez déjà. Garder ces contrôles en marche toute l'année, c'est l'argument discret des TI gérées : le renouvellement suivant devient un après-midi de rapports.

FAQ

La MFA est-elle obligatoire pour obtenir une cyberassurance?

En pratique, oui. Presque tous les assureurs qui offrent une assurance cyberrisques au Canada exigent maintenant l'authentification multifacteur sur le courriel, l'accès à distance et les comptes administrateurs avant de remettre une soumission. Quelques-uns accepteront sans elle, mais avec des exclusions pour rançongiciels ou une prime nettement plus élevée.

Defender for Business compte-t-il comme un EDR pour les assureurs?

En général, oui. Defender for Business est un vrai produit de détection et réponse aux points de terminaison et il satisfait la question EDR des questionnaires standards. L'antivirus Windows de base, seul, ne suffit habituellement pas. Ce qui compte pour l'assureur, c'est que l'EDR couvre chaque poste et que quelqu'un traite les alertes.

Que se passe-t-il si je réponds mal au questionnaire de cyberassurance?

Si l'inexactitude est importante, l'assureur peut refuser la réclamation ou annuler la police, même si l'erreur était de bonne foi. Les assureurs vérifient l'état réel des contrôles après un incident. Répondez avec exactitude, indiquez les éléments en cours avec des dates cibles et avisez votre courtier quand les contrôles changent.

Ai-je besoin de sauvegardes immuables pour ma cyberassurance?

De plus en plus de questionnaires exigent des sauvegardes qu'un attaquant ne peut ni chiffrer ni supprimer, c'est-à-dire des copies hors site avec rétention imposée et identifiants distincts. Les sauvegardes conservées dans le même tenant ou sur le même réseau ne se qualifient souvent pas. Une sauvegarde infonuagique indépendante avec rétention fixe répond proprement à la question.

Le questionnaire arrivera à votre prochain renouvellement, prêt ou non, et chaque contrôle rend votre entreprise plus difficile à attaquer. Pour savoir à quelles questions vous pouvez déjà répondre oui, notre évaluation TI cartographie votre tenant Microsoft 365 contre la liste type des assureurs et vous remet la liste des écarts.