Une police de cyberassurance couvre-t-elle automatiquement une attaque par ransomware ? Non, pas automatiquement. La grande majorité des polices contiennent des exclusions précises — négligence de correctifs de sécurité, absence de MFA, non-conformité aux obligations minimales déclarées à la souscription, « war exclusion » pour les attaques attribuées à un acteur étatique, et données non sauvegardées selon les pratiques standards — qui peuvent réduire ou carrément annuler l'indemnisation attendue par votre PME au moment où vous en avez le plus besoin.
Ce guide s'adresse aux dirigeants de PME québécoises qui possèdent déjà une police de cyberassurance, qui songent à en souscrire une, ou qui viennent de subir une attaque et cherchent à comprendre concrètement ce qui sera couvert. Nous couvrons en profondeur les exclusions les plus fréquentes des polices contre le ransomware, la question délicate de payer ou non la rançon exigée, les sanctions OFAC applicables même aux entreprises canadiennes, le rôle méconnu des négociateurs tiers spécialisés, un budget réaliste en dollars canadiens pour ces différents postes de dépense, ainsi que les ressources gouvernementales pertinentes — BDC, Investissement Québec et la CAI. Nos techniciens certifiés accompagnent régulièrement des PME québécoises en audit de sécurité informatique et en cybersécurité entreprise, incluant la préparation de dossier avant souscription et la réponse technique lors d'un sinistre déjà déclaré.
En pleine attaque en ce moment ?
Si votre PME subit une attaque active par ransomware au moment où vous lisez ces lignes, la priorité immédiate est d'isoler les systèmes touchés du réseau et de contacter votre courtier d'assurance avant toute autre action, notamment avant de payer quoi que ce soit. Consultez la checklist plus bas dans ce guide et notre article Ransomware : Que Faire ? Guide Complet 2026 pour la marche à suivre technique complète, ou composez directement le 1 (888) 711-9428.
Pourquoi la cyberassurance ransomware n'est pas un chèque en blanc
Beaucoup de dirigeants de PME souscrivent une cyberassurance avec l'idée simple qu'en cas d'attaque, l'assureur « s'occupe de tout ». La réalité contractuelle est nettement plus nuancée, et le décalage entre cette attente et les termes réels de la police se révèle souvent au pire moment possible — au milieu d'une crise, alors que les systèmes sont chiffrés et que chaque heure compte.
Le marché de la cyberassurance a considérablement durci ses conditions depuis 2021, après des années où les assureurs ont accumulé des pertes massives liées aux ransomwares. Concrètement, cela signifie trois choses pour votre PME au Québec : les primes ont augmenté, les questionnaires de souscription sont devenus beaucoup plus détaillés et techniques, et surtout, les exclusions contractuelles se sont multipliées et précisées. Un assureur qui, en 2019, indemnisait presque sans discuter une PME frappée par un ransomware, examine aujourd'hui minutieusement si les mesures de sécurité déclarées à la souscription étaient réellement en place au moment du sinistre.
Cette évolution n'est pas propre au Québec — elle touche l'ensemble du marché nord-américain — mais elle prend une saveur particulière ici, où la Loi 25 ajoute une couche d'obligations réglementaires spécifiques en matière de protection des renseignements personnels, distincte des clauses purement contractuelles de la police d'assurance. Une PME peut ainsi se retrouver face à deux processus parallèles après une attaque : celui de sa réclamation d'assurance, et celui de ses obligations légales envers la Commission d'accès à l'information (CAI) du Québec.
Ce qui est typiquement couvert vs typiquement exclu
Chaque police est différente et le libellé exact des clauses varie d'un assureur à l'autre — ce tableau présente les tendances générales observées sur le marché canadien de la cyberassurance en 2026, pas les termes garantis d'un contrat en particulier. La lecture attentive de votre propre police, idéalement avec l'aide d'un courtier spécialisé en cyber-risques, demeure indispensable.
| Poste | Typiquement couvert | Typiquement exclu ou limité |
|---|---|---|
| Frais de négociation et de paiement de rançon | Sous garantie « extorsion cybernétique », avec approbation préalable de l'assureur | Paiement effectué sans autorisation préalable ; entité destinataire sanctionnée (OFAC) |
| Restauration des systèmes et des données | Coûts de remise en service, restauration depuis sauvegardes conformes | Données jamais sauvegardées ou sauvegardes non testées / non fonctionnelles |
| Enquête judiciaire numérique (forensique) | Firme externe désignée ou approuvée par l'assureur | Firme choisie unilatéralement hors du panel de l'assureur, sans préavis |
| Interruption d'affaires | Perte de revenus pendant la période d'arrêt documentée | Délai de carence non atteint ; absence de plan de continuité déclaré à tort |
| Notification aux personnes concernées (Loi 25) | Frais d'envoi, service d'assistance, parfois surveillance de crédit | Amendes réglementaires elles-mêmes, souvent non assurables par la loi |
| Responsabilité civile envers des tiers | Réclamations de clients ou partenaires pour fuite de leurs données | Litiges liés à des ententes contractuelles antérieures non déclarées |
| Vulnérabilités connues non corrigées | Rarement couvert si la faille exploitée avait un correctif disponible depuis plus de 30-90 jours | Négligence de correctifs (« failure to patch »), clause quasi universelle en 2026 |
| Accès sans authentification multifacteur (MFA) | Rarement couvert si le MFA était déclaré actif mais ne l'était pas réellement | Absence de MFA sur accès distant, courriel ou comptes administrateurs |
| Attaque attribuée à un État ou un conflit armé | Presque jamais couvert (« war exclusion ») | Groupes de ransomware liés à un État-nation identifié par les autorités |
| Amendes et pénalités réglementaires | Rarement assurable selon la nature de l'infraction | Sanctions de la CAI, pénalités liées à une fausse déclaration à la souscription |
Le questionnaire de souscription n'est pas une formalité
La cause de refus de réclamation la plus fréquente et la plus évitable n'est pas une clause obscure du contrat — c'est un écart entre ce qui a été déclaré dans le questionnaire de souscription (MFA activé, sauvegardes testées, correctifs à jour) et la réalité constatée au moment du sinistre. Un assureur peut invoquer une fausse déclaration matérielle pour annuler la couverture au complet, pas seulement réduire l'indemnisation proportionnellement à l'écart constaté.
Les exclusions courantes en détail
La négligence en matière de correctifs et de mises à jour
La très grande majorité des attaques par ransomware qui touchent les PME exploitent des vulnérabilités déjà connues, documentées publiquement, et pour lesquelles un correctif existait depuis des semaines voire des mois avant l'attaque. Les assureurs le savent, et intègrent désormais dans leurs polices des clauses qui excluent ou réduisent la couverture lorsque l'entreprise n'a pas appliqué, dans un délai raisonnable, les correctifs de sécurité critiques disponibles pour ses systèmes d'exploitation, ses serveurs et ses logiciels exposés à Internet (pare-feu, serveurs VPN, systèmes de messagerie).
Ce délai raisonnable varie selon les polices, mais se situe généralement entre 30 et 90 jours après la publication du correctif pour les vulnérabilités critiques. Une PME qui laisse un serveur VPN non corrigé pendant six mois, puis se fait attaquer via précisément cette faille documentée, s'expose à un refus de couverture — l'assureur pouvant démontrer que le sinistre découle directement d'une négligence identifiable plutôt que d'un risque imprévisible.
L'absence d'authentification multifacteur (MFA)
Le MFA est devenu, en quelques années, une exigence quasi universelle des questionnaires de souscription en cyberassurance — au point où plusieurs assureurs refusent purement et simplement de couvrir une PME qui n'en dispose pas sur ses accès distants, sa messagerie et ses comptes à privilèges élevés. Le problème pour beaucoup de PME québécoises ne réside pas dans le refus de mettre en place le MFA, mais dans une couverture partielle non déclarée : le MFA activé sur le courriel principal mais pas sur l'accès VPN, ou activé pour les employés mais pas pour les comptes de service technique — des angles morts qui deviennent des motifs de contestation en cas de sinistre.
La non-conformité aux obligations minimales de sécurité
Au-delà du MFA, chaque police énumère généralement une liste de mesures minimales considérées comme des conditions de la couverture plutôt que de simples recommandations — pare-feu à jour, antivirus/EDR actif sur l'ensemble du parc, formation de sensibilisation du personnel, plan de réponse aux incidents documenté, sauvegardes hors ligne testées périodiquement. Le non-respect d'une seule de ces conditions, même mineure en apparence, peut constituer un motif de réduction ou de refus d'indemnisation si l'assureur établit un lien entre cette lacune et le sinistre survenu.
La « war exclusion » et les acteurs étatiques
Cette clause, historiquement conçue pour les conflits armés conventionnels, a pris une importance nouvelle en cyberassurance depuis que plusieurs assureurs majeurs l'ont invoquée pour refuser d'indemniser des attaques attribuées à des groupes liés à des services de renseignement étatiques. La difficulté pratique pour une PME touchée réside dans l'attribution elle-même : déterminer si un groupe de ransomware donné agit de façon purement criminelle et lucrative, ou opère avec un lien direct ou indirect avec un État, relève souvent d'agences de renseignement gouvernementales plutôt que de l'entreprise victime elle-même, qui se retrouve alors tributaire de rapports d'attribution externes pour faire valoir ou contester l'application de cette clause.
Les données non sauvegardées ou mal sauvegardées
Une police de cyberassurance couvre généralement les coûts de restauration à partir de sauvegardes existantes et fonctionnelles — elle ne recrée pas des données qui n'ont simplement jamais été sauvegardées. Pire encore pour une PME mal préparée : des sauvegardes qui existent mais qui étaient elles-mêmes connectées au réseau au moment de l'attaque (et donc également chiffrées par le ransomware), ou des sauvegardes jamais testées qui s'avèrent corrompues au moment de la restauration, produisent le même résultat qu'une absence totale de sauvegarde, avec en prime un motif supplémentaire de contestation par l'assureur si des pratiques de sauvegarde conformes avaient été déclarées à tort à la souscription. Notre guide Sauvegarde de Données : Guide Complet détaille la règle 3-2-1 et les pratiques de sauvegarde hors ligne qui répondent aux exigences des assureurs.
Votre PME répond-elle vraiment aux exigences de sa police ?
Nos techniciens certifiés IT Cares réalisent un audit de sécurité qui vérifie concrètement l'état de vos correctifs, de votre MFA et de vos sauvegardes — avant qu'un assureur ne le fasse à votre place, au pire moment, après un sinistre.
Payer ou non la rançon : une décision qui dépasse le simple calcul financier
La position des assureurs
Contrairement à une idée répandue, la plupart des assureurs ne poussent pas systématiquement vers le paiement de la rançon — leur objectif premier est de minimiser la perte totale, ce qui les amène parfois à privilégier une restauration complète à partir des sauvegardes plutôt qu'un paiement, lorsque cette option existe et coûte globalement moins cher. Lorsque le paiement demeure la voie la plus rapide ou la moins coûteuse pour limiter l'interruption d'affaires, l'assureur impose presque toujours un processus strict : autorisation préalable écrite, passage obligatoire par un négociateur tiers agréé par l'assureur, et vérification de sanctions avant tout transfert de fonds. Un dirigeant de PME qui paierait de sa propre initiative, sans suivre ce processus, prend un risque réel de voir sa réclamation refusée même si le paiement s'avérait par ailleurs justifié.
La position légale et éthique
Sur le plan légal, aucune loi fédérale canadienne n'interdit explicitement à une entreprise privée de payer une rançon à des cybercriminels — contrairement à certaines juridictions qui envisagent ou ont adopté des restrictions plus strictes pour le secteur public ou certains secteurs réglementés. Le débat éthique demeure néanmoins réel et documenté : chaque paiement de rançon, quel qu'en soit le montant, finance directement l'écosystème criminel qui perpètre ces attaques et peut contribuer à motiver de futures attaques, contre la même entreprise ou contre d'autres. C'est un facteur que de nombreux dirigeants de PME intègrent consciemment à leur décision, au-delà du seul calcul de coût immédiat.
Les sanctions OFAC : un risque légal souvent ignoré
C'est l'élément le plus méconnu et pourtant le plus critique de cette décision pour une PME québécoise. L'OFAC (Office of Foreign Assets Control), l'organisme américain qui administre les sanctions économiques des États-Unis, maintient une liste d'entités et d'individus sanctionnés — la liste SDN (Specially Designated Nationals) — qui inclut plusieurs groupes de ransomware identifiés et leurs opérateurs connus. Payer une rançon à une entité qui figure sur cette liste, même sans le savoir, peut exposer l'entreprise payeuse à des sanctions civiles sévères.
La portée de ces sanctions dépasse les frontières américaines dans la pratique : une PME québécoise qui transige en dollars américains, qui utilise une institution financière ayant des activités aux États-Unis, ou dont le paiement transite par une plateforme de cryptomonnaie soumise à la réglementation américaine, peut se retrouver exposée à ce risque même en opérant strictement depuis le Québec. C'est précisément pour cette raison que les assureurs et les négociateurs tiers effectuent systématiquement une vérification de sanctions (« sanctions screening ») avant tout paiement — une étape qu'une PME ne devrait jamais tenter de sauter ou de réaliser seule sans l'expertise appropriée.
Payer sans vérification n'est jamais une simple question d'argent
Un paiement effectué précipitamment, sans vérification de sanctions ni autorisation de l'assureur, expose potentiellement votre PME à deux problèmes distincts et cumulatifs : le refus de remboursement par l'assureur, et un risque légal réel si le destinataire s'avère être une entité sanctionnée. Ces deux risques justifient à eux seuls de toujours passer par un négociateur tiers qualifié plutôt que de traiter directement avec les attaquants.
Est-ce que payer garantit la récupération des données ?
Non. Une portion significative des entreprises qui paient une rançon reçoivent une clé de déchiffrement défectueuse, partiellement fonctionnelle, ou anormalement lente à appliquer sur de gros volumes de données — et une minorité de victimes ne reçoit tout simplement rien après paiement, les criminels ayant déjà obtenu ce qu'ils voulaient. C'est un facteur déterminant qui doit peser dans la décision : payer n'achète pas une garantie de résolution, seulement une probabilité, généralement estimée mais jamais certaine, d'obtenir un outil de déchiffrement fonctionnel.
Le rôle des négociateurs tiers spécialisés en ransomware
La négociation directe entre une PME et un groupe de cybercriminels est une pratique déconseillée par pratiquement tous les experts du domaine, pour des raisons qui vont bien au-delà du simple inconfort de la situation.
Pourquoi ne jamais négocier soi-même
Les groupes de ransomware professionnels négocient quotidiennement avec des dizaines voire des centaines de victimes — ils connaissent les tactiques de négociation, les seuils de douleur psychologique, et savent exploiter l'inexpérience d'un dirigeant de PME en état de panique. Un négociateur tiers spécialisé possède l'expérience répétée de ces échanges, une connaissance des tarifs habituellement pratiqués par groupe de ransomware identifié, et surtout une distance émotionnelle qui permet de négocier efficacement sans se laisser piéger par la pression temporelle exercée délibérément par les attaquants (comptes à rebours, menaces de publication de données).
Comment ils travaillent avec l'assureur
Dans le cadre d'un sinistre couvert par une police de cyberassurance, le négociateur tiers est généralement désigné directement par l'assureur, à partir d'un panel de firmes pré-approuvées, et rapporte formellement à l'assureur tout au long du processus. Ses tâches typiques incluent : vérifier l'identité du groupe criminel et effectuer le contrôle de sanctions OFAC avant toute discussion de paiement, engager la communication initiale avec les attaquants pour établir un canal de négociation, tenter de réduire le montant demandé (souvent avec des réductions significatives par rapport à la demande initiale), coordonner le paiement via une plateforme de cryptomonnaie conforme lorsque le paiement est autorisé, et valider techniquement que la clé de déchiffrement livrée fonctionne réellement avant que le dossier ne soit considéré comme résolu.
Coûts typiques d'un négociateur tiers
Les honoraires d'un négociateur tiers varient selon la firme, la complexité du dossier et le montant de la rançon en jeu, mais se situent généralement entre 5 000 $ et 25 000 $ CAD pour une négociation complète chez une PME, certaines firmes facturant plutôt un pourcentage du montant final négocié (souvent entre 10 % et 20 %) plutôt qu'un tarif fixe. Ces frais sont fréquemment couverts par la garantie cyberassurance elle-même, au même titre que les frais d'enquête forensique, ce qui rend d'autant plus important de vérifier cette couverture spécifique avant même la survenue d'un incident.
Le processus étape par étape
Une négociation typique suit généralement cette séquence : confirmation du sinistre et déclaration à l'assureur, désignation du négociateur tiers par l'assureur ou son courtier, prise de contact initiale avec les attaquants pour établir un dialogue et obtenir une preuve de déchiffrement partielle (« proof of decryption » sur un échantillon de fichiers), vérification de sanctions sur l'entité identifiée, négociation active du montant sur plusieurs échanges pouvant s'étaler sur quelques jours, décision finale de payer ou non en concertation avec l'assureur et la direction de l'entreprise, paiement via plateforme conforme si autorisé, puis validation technique de la clé de déchiffrement livrée avant fermeture du dossier.
Checklist : préserver votre couverture d'assurance après une attaque
Les actions posées dans les premières heures suivant la découverte d'un ransomware influencent directement l'issue d'une éventuelle réclamation d'assurance. Cette checklist résume les étapes qui protègent à la fois votre entreprise techniquement et votre droit à l'indemnisation contractuellement.
Checklist immédiate après une attaque par ransomware
- ☐ Isoler immédiatement les systèmes touchés du réseau (débrancher le câble réseau plutôt qu'éteindre l'appareil, pour préserver les preuves en mémoire)
- ☐ Ne jamais éteindre les appareils compromis avant qu'une équipe forensique n'ait pu les examiner, sauf risque de propagation active
- ☐ Contacter le courtier ou l'assureur cyber dans les meilleurs délais, généralement dans les 24 à 72 heures selon les termes de la police
- ☐ Ne jamais payer une rançon sans autorisation préalable écrite de l'assureur
- ☐ Ne jamais négocier directement avec les attaquants sans l'accompagnement d'un négociateur tiers désigné
- ☐ Photographier ou capturer les écrans affichant la demande de rançon avant toute manipulation
- ☐ Conserver tous les journaux systèmes (logs) disponibles, sans les purger ni les écraser par des sauvegardes automatiques
- ☐ Documenter l'heure exacte de découverte de l'incident et la chronologie des actions posées par la suite
- ☐ Vérifier l'état réel des sauvegardes hors ligne avant de présumer qu'elles sont intactes et exploitables
- ☐ Évaluer avec un conseiller juridique si l'incident déclenche une obligation de notification à la CAI en vertu de la Loi 25
- ☐ Ne pas communiquer publiquement sur l'incident avant d'avoir consulté l'assureur et un conseiller juridique
- ☐ Faire appel à une firme d'enquête forensique approuvée par l'assureur plutôt qu'un prestataire choisi unilatéralement
- ☐ Conserver tous les reçus et factures liés à la réponse à l'incident pour appuyer la réclamation
- ☐ Réinitialiser tous les mots de passe et révoquer les sessions actives une fois les systèmes assainis, avant toute remise en service
- ☐ Documenter les mesures correctives mises en place après l'incident, souvent exigées pour le renouvellement de la police
Études de cas : trois PME québécoises face à leur police de cyberassurance
Les scénarios suivants sont fictifs mais construits à partir de situations représentatives observées régulièrement chez des PME québécoises confrontées à un ransomware. Les noms d'entreprises sont inventés.
Cas 1 — Cabinet comptable de Sherbrooke, 22 employés
Un cabinet comptable de Sherbrooke subit une attaque par ransomware qui chiffre l'ensemble de ses serveurs de fichiers clients, incluant des déclarations fiscales et des dossiers de paie. Les attaquants exigent 180 000 $ CAD en cryptomonnaie. L'entreprise détenait une police de cyberassurance avec une limite de 500 000 $, incluant une garantie extorsion. Après enquête forensique, l'assureur confirme que le MFA était bien actif comme déclaré et que les correctifs étaient à jour, mais découvre que les sauvegardes automatiques, bien que présentes, étaient stockées sur un lecteur réseau resté connecté en permanence — donc également chiffré par l'attaque. Le négociateur tiers désigné par l'assureur parvient à réduire la demande à 95 000 $ CAD après vérification de sanctions OFAC (l'entité n'était pas sanctionnée). L'assureur autorise et couvre le paiement intégralement, en plus de 41 000 $ CAD en frais de négociation, enquête forensique et restauration. La leçon retenue par l'entreprise : la sauvegarde principale a été migrée vers une solution hors ligne (« air-gapped ») suite à l'incident.
Cas 2 — Manufacturier de Drummondville, 65 employés
Un manufacturier de pièces industrielles à Drummondville est frappé par un ransomware qui paralyse ses lignes de production automatisées pendant six jours. Les attaquants réclament 310 000 $ CAD. L'enquête de l'assureur révèle que l'entreprise avait déclaré à la souscription un correctif de sécurité critique appliqué sur son pare-feu périmétrique, alors que ce correctif, disponible depuis 140 jours, n'avait en réalité jamais été installé — c'est précisément cette vulnérabilité qui avait été exploitée pour l'intrusion initiale. L'assureur invoque la clause de négligence de correctifs et refuse la garantie extorsion ainsi que la garantie interruption d'affaires, ne couvrant qu'une portion limitée des frais d'enquête forensique, soit environ 18 000 $ CAD sur des pertes totales estimées à plus de 620 000 $ CAD incluant la rançon jamais payée, la perte de production et les coûts de reconstruction manuelle des systèmes. L'entreprise a dû financer la majorité de la reconstruction sur ses propres liquidités, un scénario qui illustre concrètement le coût réel d'un écart entre déclaration à la souscription et réalité opérationnelle.
Cas 3 — Clinique médicale privée de Trois-Rivières, 14 employés
Une clinique médicale privée de Trois-Rivières subit une attaque qui chiffre ses dossiers patients et exfiltre une partie des données avant chiffrement — un scénario de double extorsion de plus en plus fréquent. Les attaquants exigent 75 000 $ CAD et menacent de publier les données médicales exfiltrées. La clinique dispose d'une police avec une limite de 250 000 $ CAD. L'assureur autorise le paiement après négociation, la demande étant réduite à 52 000 $ CAD par le négociateur tiers, et couvre également 28 000 $ CAD en frais de notification aux patients concernés conformément à la Loi 25, incluant l'assistance d'un conseiller juridique et l'envoi des avis requis à la Commission d'accès à l'information. La clinique consulte la CAI directement pour confirmer l'étendue de ses obligations de notification, un incident impliquant des renseignements de santé étant traité avec une sensibilité particulière par le régulateur québécois. Coût total pour la clinique après indemnisation : environ 9 000 $ CAD en franchise et frais non couverts, un montant nettement inférieur à ce qu'aurait représenté une absence totale de couverture.
Budget : ce que coûtent réellement la cyberassurance et une attaque au Québec
Coût d'une police de cyberassurance selon la taille de la PME
| Taille de PME | Prime annuelle typique (CAD) | Limite de couverture courante |
|---|---|---|
| Micro-entreprise (1 à 9 employés) | 800 $ à 2 500 $ | 100 000 $ à 250 000 $ |
| Petite PME (10 à 49 employés) | 2 500 $ à 12 000 $ | 250 000 $ à 1 000 000 $ |
| PME moyenne (50 à 199 employés) | 10 000 $ à 35 000 $ | 1 000 000 $ à 3 000 000 $ |
| Secteur à haut risque (santé, finance, juridique) | Généralement 30 % à 80 % plus élevé que le secteur équivalent | Limites souvent plus élevées exigées par les partenaires contractuels |
Ces fourchettes varient significativement selon la présence ou l'absence de MFA, de sauvegardes hors ligne testées, d'un plan de réponse aux incidents documenté et de l'historique de sinistres de l'entreprise. Une PME qui présente un dossier de sécurité solide à la souscription obtient généralement des primes se situant dans la portion basse de sa fourchette, voire en dessous, alors qu'une entreprise avec des lacunes identifiées peut se voir imposer une prime dans la portion haute, une franchise plus élevée, ou carrément un refus de couverture par certains assureurs.
Coûts d'un négociateur tiers et de la réponse à incident
- Négociateur tiers spécialisé : généralement 5 000 $ à 25 000 $ CAD par dossier, ou 10 % à 20 % du montant final négocié
- Enquête forensique numérique : typiquement 8 000 $ à 40 000 $ CAD selon la complexité et le nombre de systèmes touchés
- Conseiller juridique spécialisé en incident (Loi 25 incluse) : souvent 3 000 $ à 15 000 $ CAD selon l'ampleur de la notification requise
- Notification aux personnes concernées : variable selon le volume, de quelques centaines à plusieurs dizaines de milliers de dollars pour un grand nombre de dossiers
Coûts de restauration post-ransomware
- Restauration à partir de sauvegardes fonctionnelles : généralement 5 000 $ à 30 000 $ CAD en main-d'œuvre technique, selon le volume de données et la complexité de l'infrastructure
- Reconstruction complète sans sauvegarde exploitable : peut atteindre 50 000 $ à plusieurs centaines de milliers de dollars CAD selon la taille de l'entreprise, en incluant la perte de productivité
- Interruption d'affaires non couverte : le coût le plus variable et souvent le plus élevé, calculé sur la base du revenu quotidien perdu multiplié par la durée de l'arrêt, qui s'étend fréquemment sur cinq à quinze jours pour une PME sans plan de continuité robuste
Le vrai comparatif n'est pas prime vs absence de prime
Le bon calcul pour une PME québécoise n'est pas de comparer le coût annuel d'une police à l'absence de dépense — c'est de comparer ce coût annuel prévisible à l'exposition financière totale d'un sinistre non couvert ou partiellement couvert, qui dépasse fréquemment plusieurs centaines de milliers de dollars une fois additionnés la rançon potentielle, la reconstruction, l'interruption d'affaires et les obligations de notification. Une prime de quelques milliers de dollars par année devient rapidement rentable face à ce niveau d'exposition.
Ressources gouvernementales et financement pour la cybersécurité des PME
La Banque de développement du Canada (BDC)
La BDC propose du financement destiné aux PME canadiennes souhaitant investir en technologies, incluant des projets de renforcement de la cybersécurité — pare-feu, solutions de sauvegarde, authentification multifacteur, formation du personnel — qui répondent directement aux exigences que les assureurs cyber imposent de plus en plus à la souscription. Pour une PME québécoise qui découvre, lors d'une demande de cyberassurance ou d'un audit de sécurité, qu'elle doit combler des lacunes techniques avant d'obtenir une couverture adéquate ou une prime raisonnable, le financement BDC constitue une avenue à explorer directement auprès d'un conseiller de l'institution, plutôt que de retarder ces investissements faute de liquidités immédiates.
Investissement Québec
Investissement Québec offre différents programmes d'accompagnement et de financement pour la modernisation technologique des PME québécoises, incluant dans certains cas des volets touchant la transformation numérique et la résilience opérationnelle des entreprises. Une PME qui prépare un dossier de renforcement de sa posture de cybersécurité — que ce soit en réponse à une exigence d'assureur ou de façon proactive — gagne à vérifier l'admissibilité de son projet auprès d'Investissement Québec, les critères et programmes disponibles évoluant régulièrement selon les priorités gouvernementales.
La Commission d'accès à l'information (CAI) du Québec
La CAI est l'organisme responsable de l'application de la Loi 25 au Québec, incluant les obligations de notification en cas d'incident de confidentialité touchant des renseignements personnels. En cas d'attaque par ransomware impliquant un chiffrement ou une exfiltration de données personnelles — ce qui couvre la vaste majorité des cas touchant des PME détenant des dossiers clients, employés ou patients — l'entreprise doit évaluer si l'incident présente un risque de préjudice sérieux, auquel cas une notification à la CAI et aux personnes concernées devient obligatoire, en plus de la tenue d'un registre des incidents de confidentialité, exigée même lorsque le seuil de notification externe n'est pas atteint. Ces obligations existent indépendamment de la couverture de cyberassurance en place et s'ajoutent au processus de réclamation, pas à sa place.
Deux processus distincts, deux échéanciers distincts
Beaucoup de dirigeants de PME confondent le processus de réclamation d'assurance et les obligations réglementaires de la Loi 25 — ce sont deux démarches parallèles avec leurs propres échéanciers et exigences. Consulter un conseiller juridique spécialisé, souvent couvert par la police de cyberassurance elle-même sous la garantie de gestion de crise, permet de coordonner les deux plutôt que de traiter l'un au détriment de l'autre.
Choisir et lire sa police : ce qu'il faut vérifier avant la prochaine attaque
Le meilleur moment pour comprendre ce que couvre réellement une police de cyberassurance n'est jamais pendant un sinistre — c'est avant la souscription ou au moment du renouvellement annuel, alors qu'il reste possible de négocier les termes, de combler les lacunes de sécurité identifiées, ou de changer d'assureur si les conditions offertes ne conviennent pas à la réalité opérationnelle de la PME.
Questions à poser à son courtier avant de signer
- La garantie extorsion cybernétique est-elle incluse par défaut, ou s'agit-il d'un avenant optionnel séparé ?
- Quel est le délai maximal exigé pour déclarer un incident sans compromettre la couverture ?
- Un négociateur tiers est-il désigné automatiquement, ou l'entreprise doit-elle en trouver un elle-même ?
- Quelles mesures de sécurité précises sont-elles considérées comme des conditions de la couverture plutôt que de simples déclarations informatives ?
- La police couvre-t-elle les frais liés aux obligations de la Loi 25, incluant la notification à la CAI ?
- Existe-t-il une clause de « war exclusion », et comment l'attribution d'une attaque à un acteur étatique est-elle déterminée dans le cadre du contrat ?
Faire vérifier sa posture de sécurité avant la souscription
Un audit de sécurité informatique réalisé avant de remplir un questionnaire de souscription permet d'identifier les écarts entre la réalité technique de l'entreprise et ce qui sera déclaré à l'assureur — évitant ainsi le scénario le plus dommageable, celui d'une fausse déclaration involontaire découverte seulement au moment d'un sinistre. Cet audit sert aussi de base concrète pour prioriser les correctifs les plus susceptibles d'améliorer à la fois la sécurité réelle de l'entreprise et les conditions offertes par les assureurs, MFA et sauvegardes hors ligne arrivant généralement en tête des priorités les plus rentables pour ce double objectif.
Faire évaluer votre posture de sécurité avant votre prochaine souscription ou renouvellement
IT Cares accompagne les PME québécoises en audit de sécurité informatique et en réponse à incident, incluant la vérification concrète des mesures exigées par les assureurs cyber — MFA, correctifs, sauvegardes hors ligne, plan de réponse aux incidents. Nos techniciens certifiés interviennent à distance ou directement sur place partout au Québec.
Questions fréquentes — Ransomware et cyberassurance
Pas automatiquement. La majorité des polices de cyberassurance offrent une garantie « extorsion cybernétique » qui peut couvrir le paiement d'une rançon, mais cette garantie est presque toujours soumise à conditions : approbation préalable de l'assureur avant tout paiement, passage obligatoire par un négociateur agréé par l'assureur, vérification que le destinataire du paiement ne figure pas sur une liste de sanctions, et respect strict des mesures de sécurité minimales exigées dans le questionnaire de souscription. Un paiement effectué sans suivre ce processus risque de ne pas être remboursé.
Les exclusions les plus fréquentes touchent la négligence en matière de correctifs de sécurité (patchs non appliqués sur des vulnérabilités connues), l'absence d'authentification multifacteur (MFA) sur les accès à distance et les comptes administrateurs, la non-conformité aux obligations minimales de sécurité déclarées lors de la souscription, la « war exclusion » qui exclut les attaques attribuées à un acteur étatique ou à un conflit armé, et les pertes liées à des données qui n'étaient pas sauvegardées conformément aux pratiques standards de l'industrie.
Payer une rançon n'est pas explicitement interdit par une loi fédérale canadienne dédiée, mais le geste comporte un risque légal réel si le destinataire du paiement se trouve sur une liste de sanctions économiques, notamment la liste SDN (Specially Designated Nationals) tenue par l'OFAC américain, dont la portée touche aussi les entreprises canadiennes qui transigent en dollars américains ou avec des institutions financières américaines. Un paiement à une entité sanctionnée peut entraîner des pénalités sévères, indépendamment de l'intention de l'entreprise victime.
Un négociateur tiers est une firme spécialisée, généralement désignée ou approuvée par l'assureur, qui prend en charge les communications avec les cybercriminels lors d'une attaque par ransomware. Son rôle inclut la vérification de l'identité du groupe criminel, l'évaluation des sanctions applicables, la négociation à la baisse du montant demandé, la coordination du paiement le cas échéant via une plateforme de cryptomonnaie conforme, et la validation que la clé de déchiffrement livrée fonctionne réellement avant la fermeture du dossier.
L'absence de MFA (authentification multifacteur) sur les accès à distance, la messagerie ou les comptes à privilèges élevés est l'une des causes de refus de réclamation les plus fréquentes en cyberassurance actuellement. Si le questionnaire de souscription affirmait que le MFA était en place et qu'il ne l'était pas réellement au moment du sinistre, l'assureur peut invoquer une fausse déclaration pour refuser totalement la couverture, pas seulement réduire l'indemnisation.
Pour une PME québécoise typique de 10 à 50 employés, une prime annuelle se situe généralement entre 2 500 $ et 12 000 $ CAD selon le secteur d'activité, le chiffre d'affaires, les mesures de sécurité en place et les limites de couverture choisies. Les entreprises manipulant des données sensibles (santé, finance, juridique) ou n'ayant pas de MFA ni de sauvegardes hors ligne paient généralement des primes significativement plus élevées, lorsque l'assureur accepte même de les couvrir.
Oui. La Loi 25 sur la protection des renseignements personnels au Québec oblige toute entreprise victime d'un incident de confidentialité présentant un risque de préjudice sérieux à en aviser la Commission d'accès à l'information (CAI) du Québec ainsi que les personnes concernées, et à tenir un registre des incidents même lorsque le seuil de notification n'est pas atteint. Un ransomware qui chiffre ou exfiltre des données personnelles déclenche généralement ces obligations, indépendamment de la couverture de cyberassurance en place.
Non, rien ne le garantit. Une portion significative des entreprises qui paient une rançon reçoivent une clé de déchiffrement défectueuse, incomplète ou inutilisable, et une minorité ne reçoit tout simplement aucune clé après paiement. C'est précisément pour cette raison que les assureurs et les négociateurs tiers exigent des tests de validation avant de considérer le paiement comme ayant résolu l'incident, et pourquoi des sauvegardes hors ligne fonctionnelles demeurent la meilleure protection, indépendamment de toute décision de payer ou non.
Commentaires (3)
On a découvert la clause de négligence de correctifs de la pire façon possible — pas en subissant une attaque, mais en la lisant en détail après avoir failli renouveler notre police sans vérifier nos délais de correctifs. Ça nous a poussés à revoir toute notre gestion des mises à jour.
Je ne savais pas du tout que les sanctions OFAC pouvaient toucher une entreprise québécoise qui ne fait pas affaire directement aux États-Unis. La section sur les négociateurs tiers explique bien pourquoi il ne faut jamais essayer de négocier soi-même.
L'étude de cas du manufacturier de Drummondville m'a fait vérifier immédiatement nos propres correctifs de pare-feu. On avait un écart similaire entre ce qui était censé être appliqué et la réalité. Merci pour l'avertissement.
Laisser un commentaire