Marché des cyber-CAT-bonds
Les obligations liées aux cybercatastrophes permettent aux assureurs et aux réassureurs de transférer une partie de leur exposition aux risques cyber les plus extrêmes de leur propre bilan vers les marchés financiers. Un assureur vend une obligation à des investisseurs ; si un événement cyber suffisamment grave pour déclencher le seuil de l’obligation se produit, les investisseurs perdent tout ou partie de leur capital, et cet argent sert à couvrir les sinistres. Si cet événement ne se produit pas, les investisseurs perçoivent un coupon intéressant en contrepartie du risque pris. Il s’agit du même mécanisme de base qui existe depuis des décennies pour les ouragans et les tremblements de terre, et qui est désormais adapté à un risque qui ne se comporte pas comme un phénomène météorologique.
C’est cette adaptation qui est la partie la plus difficile. Un ouragan s’appuie sur un siècle de données météorologiques. Le risque cybernétique est récent, ses corrélations ne sont pas évidentes, et il évolue chaque fois qu’un nouveau logiciel largement utilisé présente une vulnérabilité critique. Une seule faille chez un fournisseur de cloud, sur un appareil VPN ou dans un logiciel de comptabilité peut entraîner simultanément des pertes pour des milliers d’assurés sans lien entre eux — le genre d’événement systémique, du type « tout le monde est touché le même mardi », que les structures de obligations catastrophes sont censées transférer, mais qu’il est véritablement difficile de modéliser avec certitude.
À qui s'adresse ce document ?
Je ne structure ni ne vends d’obligations catastrophes — ce sont les banques d’investissement, les réassureurs spécialisés et les cabinets de modélisation qui élaborent les courbes de pertes. Mon rôle se situe en amont : il s’agit d’une véritable évaluation technique du risque cyber au niveau des systèmes réels, de l’exposition réelle et de la maturité réelle des contrôles, plutôt que d’une auto-évaluation basée sur des enquêtes. Les assureurs, les réassureurs et les modélisateurs de risques qui élaborent ou valident des modèles de catastrophes cybernétiques ont besoin de données reflétant la manière dont les organisations sont réellement exposées : le risque de concentration lié aux fournisseurs communs et aux dépendances vis-à-vis du cloud, la rapidité avec laquelle une catégorie donnée de vulnérabilité est effectivement exploitée dans la nature, et les écarts entre la posture de sécurité déclarée et la réalité. Il s’agit là d’une connaissance du domaine issue d’un travail d’évaluation mené directement sur le terrain, et non de la simple lecture d’un rapport rédigé par un tiers à ce sujet.
Comment j’aborderais la question
Si vous développez ou soumettez à des tests de résistance un modèle, une définition de déclencheur ou une vue de souscription qui repose sur la compréhension de l’exposition cybernétique réelle et de la dynamique des incidents, je peux collaborer avec vos équipes actuarielles et de modélisation en tant qu’expert technique au sein du groupe — en examinant les hypothèses relatives à la propagation des attaques, à la concentration des fournisseurs et à l’efficacité des contrôles à la lumière de ce qui se produit réellement lors d’incidents, et en signalant les cas où les données d’entrée d’un modèle sont plus optimistes que ne le justifie le paysage des menaces. Il s’agit généralement d’une mission de conseil ponctuelle, plutôt que d’un mandat continu, dont le périmètre est strictement défini en fonction de la question à laquelle vous cherchez à répondre.
Si vous travaillez dans le secteur du transfert de risques et que vous souhaitez obtenir un deuxième avis, fondé sur des bases techniques, concernant la manière dont un risque cyber est caractérisé, Contactez-moi et expliquez-moi sur quoi vous travaillez.