Cyberassurance et télétravail : risques spécifiques à couvrir

Ma cyberassurance PME couvre-t-elle un incident survenu en télétravail ? Pas nécessairement. Beaucoup de polices de cyberassurance conçues pour les PME couvrent les incidents survenus dans le cadre normal des activités de l'entreprise, mais contiennent des clauses conditionnelles ou des exclusions précises pour le télétravail : réseau WiFi personnel non sécurisé, appareil personnel non fourni par l'entreprise (BYOD), absence de VPN d'entreprise, absence d'authentification à deux facteurs (MFA) sur les connexions à distance, ou partage du poste de travail avec d'autres membres du foyer. Une réclamation peut être partiellement ou totalement refusée si l'enquête de l'assureur démontre que l'incident est survenu dans l'une de ces conditions non couvertes.

Le télétravail et le mode hybride sont devenus la norme dans une large proportion des PME québécoises depuis plusieurs années, mais les polices de cyberassurance n'ont pas toutes évolué au même rythme que les pratiques de travail. Ce guide détaille les angles morts spécifiques que le télétravail crée pour la couverture d'assurance, les exigences que les assureurs imposent de plus en plus à la souscription, et les mesures concrètes qui permettent d'éviter un refus de réclamation. Il complète notre guide complet sur la cyberassurance PME au Québec et notre guide de cybersécurité pour le télétravail, et s'appuie sur les mêmes principes que nos audits de sécurité informatique menés auprès de PME clientes.

Pourquoi le télétravail change la donne pour la cyberassurance

Une police de cyberassurance repose implicitement sur un ensemble d'hypothèses concernant l'environnement dans lequel travaillent les employés : un réseau d'entreprise géré et surveillé, des appareils fournis et configurés par le service informatique, un périmètre physique contrôlé (bureaux, caméras, contrôle d'accès), et des connexions passant par des systèmes que l'entreprise contrôle de bout en bout. Le télétravail brise chacune de ces hypothèses, une à la fois, sans que la police d'assurance souscrite avant la généralisation du travail à distance ait nécessairement été ajustée en conséquence.

Le périmètre de sécurité de l'entreprise ne se limite plus à ses murs

Lorsqu'un employé travaille depuis son domicile, l'entreprise perd une grande partie du contrôle direct qu'elle exerce normalement sur l'environnement technique : elle ne choisit pas le routeur WiFi, ne contrôle pas qui d'autre utilise le même réseau, et ne peut pas garantir que l'appareil utilisé reçoit les mêmes mises à jour de sécurité qu'un poste géré au bureau. Les assureurs le savent, et plusieurs ont ajusté leurs contrats en conséquence — non pas en excluant purement et simplement le télétravail, mais en le soumettant à des conditions précises qui, si elles ne sont pas respectées, peuvent justifier un refus ou une réduction d'indemnisation.

Concrètement, cela signifie qu'une PME peut détenir une police de cyberassurance en règle, payer ses primes fidèlement, et pourtant voir une réclamation refusée ou réduite parce que l'incident est survenu dans des conditions de télétravail que la police excluait ou conditionnait — sans que personne dans l'entreprise n'ait pris le temps de vérifier ce détail avant que l'incident ne survienne. C'est précisément ce que ce guide vise à prévenir.

Les six angles morts du télétravail à vérifier dans votre police

Voici les six situations les plus fréquemment concernées par des clauses conditionnelles ou des exclusions dans les polices de cyberassurance PME, avec les questions précises à poser à votre courtier ou à votre assureur pour chacune.

1. Le réseau WiFi personnel ou domestique non sécurisé

Le réseau WiFi domestique d'un employé n'a généralement pas le même niveau de sécurité qu'un réseau d'entreprise : mot de passe par défaut jamais changé, routeur au micrologiciel obsolète, chiffrement faible (ou absent sur les réseaux invités mal configurés), et souvent partagé avec plusieurs appareils personnels non liés au travail (consoles de jeu, objets connectés, appareils des enfants) qui élargissent la surface d'attaque. Certaines polices exigent qu'une connexion vers les systèmes de l'entreprise passe systématiquement par un VPN d'entreprise chiffré pour être couverte, peu importe la qualité perçue du réseau domestique ; d'autres excluent explicitement les incidents où il est démontré que le réseau utilisé présentait des failles de sécurité de base (chiffrement WEP obsolète, mot de passe par défaut, absence de pare-feu).

2. Le BYOD — l'utilisation d'un appareil personnel pour le travail

Le BYOD (Bring Your Own Device) désigne l'utilisation d'un ordinateur, d'un téléphone ou d'une tablette personnelle pour effectuer des tâches professionnelles. C'est l'un des angles morts les plus fréquents et les plus coûteux : de nombreuses polices excluent explicitement les incidents survenus sur un appareil qui n'est ni fourni ni géré par l'entreprise, tout simplement parce que l'assureur ne peut vérifier ni l'état des mises à jour de sécurité, ni la présence d'un antivirus à jour, ni le chiffrement du disque, ni les logiciels installés sur un appareil hors du contrôle de l'entreprise. Un employé qui traite des courriels professionnels ou accède à des systèmes d'entreprise depuis son ordinateur personnel, sans cadre BYOD formel, expose potentiellement l'entreprise à une réclamation non couverte.

3. Le VPN personnel grand public plutôt que le VPN d'entreprise

Certains employés, soucieux de bien faire, installent de leur propre initiative un service VPN grand public (souvent gratuit ou à faible coût) pour chiffrer leur connexion Internet personnelle. Le problème : ce type de VPN chiffre la connexion vers Internet en général, mais ne s'intègre pas à l'infrastructure de l'entreprise, n'offre pas la même journalisation des accès, et ne respecte généralement pas les exigences précises que certaines polices imposent quant au VPN utilisé pour accéder aux systèmes de l'entreprise. Un VPN personnel non approuvé n'est tout simplement pas équivalent, aux yeux d'un assureur, à un VPN d'entreprise géré et configuré par le service informatique.

4. L'absence de MFA sur les connexions à distance

L'authentification multifacteur (MFA), aussi appelée authentification à deux facteurs, est devenue en quelques années l'une des mesures les plus efficaces et les plus attendues par les assureurs. La clause d'exclusion liée à l'absence de MFA sur les connexions à distance est aujourd'hui l'une des plus fréquentes dans les polices de cyberassurance PME de 2026 : un incident où l'accès a été compromis par vol ou devinette de mot de passe, sans que le MFA n'ait bloqué la connexion parce qu'il n'était simplement pas activé, peut voir son indemnisation refusée ou considérablement réduite.

5. Le partage du poste de travail avec d'autres membres du foyer

Un ordinateur professionnel partagé avec un conjoint, des enfants ou des colocataires — même occasionnellement, pour consulter un courriel personnel ou faire un devoir scolaire — introduit un risque que l'employé lui-même ne maîtrise pas : téléchargement d'un logiciel non approuvé, navigation vers des sites à risque, ou simple clic malencontreux sur un lien douteux par une personne qui n'a jamais reçu de formation en cybersécurité. Certains assureurs considèrent ce type d'usage comme une négligence dans la protection d'un appareil professionnel, particulièrement si aucune politique de télétravail n'interdit clairement cette pratique.

6. La sécurité physique à domicile

La sécurité informatique ne se limite pas au numérique : un écran d'ordinateur visible depuis une fenêtre donnant sur la rue, des documents sensibles laissés sur une table de cuisine, un appel professionnel confidentiel pris dans un café bondé, ou un ordinateur portable laissé déverrouillé pendant une sortie rapide représentent des risques réels de sécurité physique, souvent absents des formations centrées uniquement sur le volet technique. Bien que moins fréquemment citée explicitement dans les clauses d'exclusion que le MFA ou le BYOD, la sécurité physique à domicile fait de plus en plus partie des questionnaires de souscription détaillés.

Tableau comparatif : couverture typique par risque télétravail

Ce tableau résume, de façon générale et non contractuelle, comment les risques télétravail les plus fréquents sont habituellement traités par les polices de cyberassurance PME au Québec en 2026. Chaque police étant différente, il demeure essentiel de vérifier les clauses exactes de votre propre contrat avec votre courtier.

Ce tableau illustre un principe central de ce guide : la plupart des polices ne refusent pas le télétravail en tant que tel, elles le conditionnent à des mesures de sécurité précises. Une PME qui met ces mesures en place avant qu'un incident ne survienne réduit à la fois son risque réel et son risque de réclamation refusée.

Ce que les assureurs exigent désormais à la souscription pour les équipes en télétravail

Au-delà des clauses touchant les réclamations, un nombre croissant d'assureurs pose désormais des questions précises sur le télétravail directement dans le questionnaire de souscription ou de renouvellement, distinctes des questions générales sur la sécurité informatique. Voici les quatre exigences les plus fréquemment observées.

Trois études de cas : quand le télétravail détermine l'issue d'une réclamation

Cabinet comptable à Laval : réclamation partiellement refusée pour appareil non couvert

Un cabinet de comptabilité de Laval employant 9 personnes a subi une compromission de compte courriel ayant mené à une tentative de fraude par virement. L'employé concerné travaillait ce jour-là depuis son ordinateur personnel, faute d'avoir reçu un portable de l'entreprise, une pratique tolérée de façon informelle depuis plusieurs mois sans cadre BYOD formel. Au moment du traitement de la réclamation de près de 38 000 $ CAD couvrant les frais d'enquête, la remédiation et une partie des pertes, l'assureur a invoqué la clause d'exclusion visant les appareils non gérés par l'entreprise pour refuser environ 60 % du montant réclamé, seule la portion touchant les systèmes cloud de l'entreprise proprement dits ayant été honorée. Le cabinet a depuis fourni des ordinateurs portables gérés à l'ensemble de son équipe et mis en place une politique BYOD stricte.

Firme de services professionnels à Repentigny : réclamation honorée grâce à la preuve de VPN et MFA

Une firme de services-conseils de Repentigny, comptant 14 employés, a été touchée par un rançongiciel introduit via une connexion à distance compromise, entraînant le chiffrement d'une partie de ses dossiers clients et une interruption d'activité de trois jours. Contrairement au cas précédent, l'entreprise avait déployé un VPN d'entreprise obligatoire et le MFA sur l'ensemble de ses comptes critiques plusieurs mois auparavant, dans le cadre d'un renforcement de sa posture de sécurité effectué avec l'aide d'un partenaire informatique externe. L'enquête post-incident, menée par l'expert mandaté par l'assureur, a confirmé que ces mesures étaient bel et bien actives au moment de l'incident et que la compromission provenait d'une faille distincte, non couverte par les clauses d'exclusion liées au télétravail. La réclamation de près de 62 000 $ CAD, couvrant la restauration des systèmes, l'enquête technique et une partie des pertes d'exploitation, a été honorée intégralement, un délai de traitement que l'entreprise attribue directement à la documentation claire de ses mesures de sécurité.

PME manufacturière à Alma : prime réduite après formalisation de la politique de télétravail

Une PME manufacturière d'Alma, comptant une équipe administrative de 6 personnes travaillant en mode hybride, a vu sa prime de cyberassurance augmenter significativement lors du renouvellement de sa police, l'assureur ayant identifié l'absence de politique de télétravail formelle et le recours généralisé au BYOD sans encadrement comme des facteurs de risque accrus. Plutôt que d'accepter la hausse, l'entreprise a investi environ 4 200 $ CAD dans la rédaction d'une politique de télétravail, le déploiement d'une solution MDM sur l'ensemble des appareils utilisés pour le travail et l'activation du MFA sur tous les comptes critiques. Lors du renouvellement suivant, l'assureur a reconnu ces mesures et a réduit la prime annuelle d'environ 18 %, un gain qui a largement dépassé l'investissement initial sur une période de deux ans, sans compter la réduction du risque réel pour l'entreprise.

Checklist à imprimer / partager avec votre équipe

Cette checklist résume les points à vérifier avant votre prochaine souscription ou renouvellement de cyberassurance, et qu'il vaut mieux corriger dès maintenant que de découvrir lors d'une réclamation.

Budget & prix au Québec pour renforcer sa posture télétravail (2026)

Les fourchettes suivantes sont des estimations générales du marché québécois pour 2026, à titre indicatif seulement — elles varient selon la taille de l'équipe, le nombre d'appareils et le fournisseur retenu. Seule la mention « dès 119,99 $ pour un audit initial » correspond à un prix réel d'IT Cares.

Dans la grande majorité des cas observés par nos techniciens, l'investissement combiné pour formaliser une politique de télétravail, déployer un VPN d'entreprise, activer le MFA partout et mettre en place un MDM reste nettement inférieur au coût d'une seule réclamation refusée ou réduite — sans même tenir compte des économies de prime que plusieurs PME obtiennent une fois ces mesures documentées auprès de leur assureur.

Ressources gouvernementales pour appuyer votre démarche

Plusieurs organismes publics peuvent appuyer une PME québécoise dans le financement ou l'encadrement réglementaire des mesures de sécurité liées au télétravail :

• Banque de développement du Canada (BDC) — La BDC propose des prêts et des services-conseils technologiques qui peuvent servir à financer le déploiement d'un VPN d'entreprise, d'une solution MDM ou d'autres mesures de cybersécurité pour une PME en croissance.
• Commission d'accès à l'information du Québec (CAI) — La CAI est l'organisme qui applique la Loi 25 sur la protection des renseignements personnels au Québec. Dans un contexte de télétravail où des données accessibles hors des locaux de l'entreprise (dossiers clients, renseignements personnels d'employés) circulent sur des réseaux et des appareils moins contrôlés, une PME doit rester consciente de ses obligations de protection de ces renseignements, peu importe où le travail est effectué.
• Investissement Québec — Investissement Québec accompagne et finance la transformation numérique des PME québécoises, ce qui peut inclure des projets de modernisation de l'infrastructure de sécurité liés au télétravail.

Ces ressources restent générales et évoluent avec le temps ; il est recommandé de consulter directement chaque organisme pour connaître les programmes actifs applicables à votre situation précise.

Comment aborder la conversation avec votre courtier ou votre assureur

Avant votre prochain renouvellement, voici les questions précises à poser à votre courtier ou à votre assureur pour clarifier votre couverture réelle en contexte de télétravail :

• La police exige-t-elle explicitement un VPN d'entreprise pour tout accès à distance, ou un VPN personnel est-il toléré ?
• Les incidents survenus sur un appareil personnel (BYOD) sont-ils couverts, exclus, ou couverts sous condition d'un cadre MDM ?
• L'absence de MFA sur une connexion à distance constitue-t-elle une clause d'exclusion complète, ou une réduction proportionnelle de l'indemnisation ?
• Une politique de télétravail écrite est-elle exigée à la souscription, et doit-elle être fournie à l'assureur ?
• Quelles preuves documentaires l'assureur exigera-t-il en cas de réclamation pour démontrer que ces mesures étaient bien en place ?

Obtenir des réponses claires à ces questions avant un incident, plutôt qu'après, reste la meilleure façon d'éviter la mauvaise surprise d'une réclamation refusée ou réduite pour un motif technique évitable.

Questions fréquentes — Cyberassurance et télétravail