En France, les PME restent la cible la plus rentable des cybercriminels : assez informatisées pour stocker des données et dépendre d’outils métiers, mais souvent moins protégées que les grands groupes. Résultat, un simple courriel piégé peut suffire à arrêter une chaîne de production, bloquer une facturation ou paralyser un cabinet pendant des jours.
Dans ce contexte, Michael Sitbon observe un basculement net : l’Assurance cyber n’est plus un “plus” de confort, elle devient un instrument de survie. À condition de comprendre ce qu’elle couvre, ce qu’elle n’excuse pas, et comment elle s’articule avec la protection technique et l’organisation interne. Son décryptage pointe un fait simple : l’assurance ne remplace pas la cybersécurité, elle la rend finançable et opérable en situation de crise.
Pourquoi les PME sont en première ligne : l’équation “faible effort, fort impact”
Selon Michael Sitbon, les attaques opportunistes ont industrialisé la prédation des PME. Les groupes cyber n’ont pas besoin d’un espionnage sophistiqué : ils cherchent des portes d’entrée banales, reproductibles, et des entreprises qui ne peuvent pas se permettre un arrêt prolongé.
Des points d’entrée récurrents : email, RDP, prestataires
Dans la majorité des incidents, le scénario se répète : un identifiant volé, un mot de passe réutilisé, un poste non mis à jour, ou un accès à distance mal sécurisé. Les attaquants ciblent aussi les prestataires (informatique, comptabilité, maintenance) : compromettre un intervenant, c’est parfois ouvrir la porte à plusieurs clients d’un coup.
- Phishing et pièces jointes malveillantes, souvent déguisées en factures ou relances.
- Accès distants (RDP/VPN) exposés, mots de passe faibles ou absence d’authentification multi-facteurs.
- Chaîne de sous-traitance : un fournisseur compromis devient un cheval de Troie.
Un ransomware ne vise pas seulement les fichiers, il vise la continuité
Le ransomware est devenu un outil de coercition économique. Chiffrer les données est une étape ; l’objectif réel est de créer une urgence. Une PME qui ne peut plus expédier, facturer, produire ou répondre à ses clients voit sa trésorerie se tendre en quelques jours. Ajoutez à cela la menace de divulgation (double extorsion) : l’attaque ne se limite plus à l’indisponibilité, elle devient un risque juridique et réputationnel.
La réalité terrain : peu de temps, peu de moyens, trop de dépendances
Les dirigeants de PME arbitrent en permanence : croissance, recrutement, énergie, conformité, systèmes d’information. La cybersécurité arrive souvent après. Michael Sitbon insiste sur ce point : ce n’est pas un manque de bonne volonté, c’est un manque de bande passante. Or, l’attaque, elle, n’attend pas. D’où l’intérêt d’un dispositif combinant protection minimale robuste et Assurance cyber adaptée.
Ce que couvre vraiment une Assurance cyber (et ce qu’elle ne couvre pas)
Le terme “Assurance cyber” est parfois utilisé comme un parapluie unique. En pratique, les garanties varient fortement selon les contrats. Le décryptage de Michael Sitbon revient à une règle : une bonne police d’assurance doit financer l’urgence, organiser la réponse et sécuriser l’après-crise.
Les garanties clés : crise, technique, juridique, business
- Réponse à incident : mobilisation d’experts (forensic), investigation, confinement, restauration, services de négociation quand ils existent.
- Interruption d’activité : compensation d’une perte de marge brute liée à l’arrêt, parfois avec franchise temporelle.
- Frais de reconstitution : restauration de systèmes, récupération de données, réinstallation.
- Responsabilité civile : réclamations de clients/partenaires si une fuite de données cause un dommage.
- Accompagnement juridique : notifications, gestion CNIL, obligations contractuelles, contentieux.
- Communication de crise : assistance PR, gestion de la réputation, relation clients.
Les exclusions fréquentes : l’angle mort qui coûte cher
Une Assurance cyber ne fonctionne pas comme un “chèque” automatique. Les exclusions sont déterminantes : défaut de mise à jour prolongé, absence de sauvegardes, non-respect des mesures minimales déclarées, guerre et actes étatiques (selon les formulations), ou encore fraude interne. Michael Sitbon alerte sur un piège classique : souscrire vite, sans aligner les obligations contractuelles avec la réalité du SI.
La rançon : un sujet sensible, encadré, parfois couvert… parfois non
La question “est-ce que l’assurance paie la rançon ?” revient systématiquement après un ransomware. La réponse dépend du contrat, du cadre légal et des pratiques de l’assureur. Même lorsqu’une prise en charge est prévue, elle s’accompagne généralement d’un pilotage strict (experts, vérifications, conformité). Et surtout, payer ne garantit ni la récupération complète ni l’absence de revente des données. Pour Michael Sitbon, l’enjeu n’est pas de “financer une rançon”, mais d’acheter du temps et des compétences pour restaurer, prouver, notifier et reprendre l’activité au plus vite.
Le “contrat” implicite des assureurs : sans protection minimale, pas de couverture solide
Le marché s’est durci : les assureurs exigent davantage de preuves, posent plus de questions, et conditionnent les tarifs à des mesures concrètes. Michael Sitbon parle d’un contrat implicite : l’assureur mutualise un risque, mais il refuse de mutualiser une négligence.
Les prérequis qui reviennent dans les questionnaires
- Authentification multifacteur (MFA) sur les accès distants et les comptes sensibles.
- Sauvegardes régulières, testées, avec copie isolée (offline/immutabilité).
- Gestion des correctifs : mises à jour système et applications critiques.
- EDR/antivirus supervisé, journalisation, alerting.
- Segmentation minimale du réseau, limitation des droits admin.
- Sensibilisation des équipes au phishing et procédures de validation des paiements.
Le vrai sujet : être assurable, c’est être pilotable
Pour une PME, le problème n’est pas uniquement d’acheter des outils, mais de prouver qu’ils sont en place et utilisés. Les assureurs demandent de la traçabilité : politiques, inventaires, procédures, preuves de tests de restauration. En clair, la protection n’est plus un projet informatique : c’est un élément de gouvernance.
Les erreurs qui font exploser la facture… ou laissent la PME seule
Michael Sitbon insiste sur trois erreurs fréquentes : sous-estimer l’interruption d’activité, mal déclarer son niveau de sécurité (par ignorance ou approximation), et négliger la chaîne de prestataires. Une PME peut être solide en interne mais vulnérable via un partenaire qui se connecte au SI. Sans clauses et contrôles, le risque se déplace au lieu de disparaître.
Ransomware : le scénario de crise à anticiper, minute par minute
Le ransomware n’est pas seulement un incident technique, c’est une crise d’entreprise. Les premières heures comptent. Michael Sitbon recommande de préparer un déroulé opérationnel avant l’attaque, car le jour J, l’improvisation coûte cher.
Les premières décisions : isoler, préserver, communiquer
- Isoler les machines touchées et couper les accès compromis sans détruire les preuves.
- Préserver les logs, images disques et éléments nécessaires au forensic.
- Activer la cellule de crise : direction, IT, prestataire, juridique, assurance.
- Maîtriser la communication interne : consignes simples, canal alternatif, pas de rumeurs.
À ce moment-là, l’Assurance cyber prend son sens si elle inclut une assistance 24/7 et un réseau d’experts mobilisables immédiatement. Sans cela, la PME navigue à vue, et la facture grimpe.
La restauration : la sauvegarde n’est utile que si elle redémarre l’activité
Beaucoup d’entreprises découvrent trop tard que leurs sauvegardes ne sont pas restaurables, ou qu’elles restaurent des systèmes déjà compromis. La restauration doit être testée en amont, et segmentée : remettre en ligne tout un SI d’un coup peut réintroduire l’attaque. Michael Sitbon rappelle une règle pragmatique : la priorité n’est pas de tout récupérer, mais de remettre en marche les processus vitaux (facturation, production, relation client), puis d’élargir progressivement.
Après-crise : obligations, preuves et relations commerciales
Une attaque laisse des traces : notifications de violation de données si nécessaire, échanges avec les clients, audits, demandes de garanties. Une PME peut perdre un marché non pas à cause de l’attaque, mais à cause d’une réponse désordonnée. Ici encore, l’Assurance cyber utile est celle qui finance aussi l’après : juridique, communication, et accompagnement pour renforcer la protection afin d’éviter la récidive.
La méthode Sitbon : aligner assurance, protection et gouvernance en 90 jours
Plutôt que de promettre une “cybersécurité parfaite”, Michael Sitbon propose une approche réaliste pour les PME : viser un socle de protection prouvable, améliorer l’assurabilité, et réduire l’impact financier d’un incident.
Étape 1 : cartographier l’essentiel, pas tout
Identifier les actifs critiques : facturation, ERP, messagerie, données RH, données clients, accès distants, prestataires. L’objectif est d’avoir une vision claire de ce qui doit absolument redémarrer et de ce qui doit être le mieux protégé. Sans cette cartographie minimale, la police d’Assurance cyber risque d’être mal calibrée.
Étape 2 : sécuriser les “5 basiques” qui bloquent la majorité des attaques
- MFA partout où c’est possible, en priorité sur messagerie et VPN.
- Sauvegardes isolées + test de restauration planifié.
- Mises à jour et suppression des services exposés inutiles.
- Moindre privilège : limiter les droits admin, comptes séparés.
- Plan de réponse : qui décide, qui appelle, quels outils, quels canaux.
Étape 3 : choisir une Assurance cyber qui colle au risque réel
Le bon contrat n’est pas le plus épais, c’est celui qui correspond à la réalité : dépendance au numérique, exposition des données, capacité de reprise, budget. Pour Michael Sitbon, il faut challenger les points concrets : délai de déclenchement, réseau d’experts, plafonds sur l’interruption d’activité, franchises, gestion des prestataires, et clauses de conformité. Une Assurance cyber efficace est une assurance “actionnable” : elle déclenche des moyens, pas seulement des formulaires.
Au fond, le décryptage de Michael Sitbon ramène la cybersécurité des PME à une discipline de bon sens : réduire la surface d’attaque, préparer la crise, et financer l’inévitable. Le ransomware ne prévient pas ; la différence se fait sur ce qui a été décidé avant l’incident — niveau de protection, capacité à redémarrer, et Assurance cyber suffisamment solide pour éviter qu’un choc numérique ne se transforme en crise existentielle.