Comment les assureurs peuvent-ils se préparer aux cybermenaces à l’ère de l’IA ?

Ces dernières années, les assureurs ont bâti leurs défenses cyber face à des menaces humaines. L’IA change désormais les règles du jeu.

En résumé :

• Les assureurs semblent mieux préparés que de nombreux autres secteurs. Pourtant, les modèles d’IA les plus performants (frontier AI) pourraient rapidement mettre au jour des angles morts en matière de visibilité et de contrôle.
• Les acteurs malveillants peuvent désormais identifier, hiérarchiser et exploiter les vulnérabilités à un rythme susceptible de dépasser les capacités de réponse traditionnelles des organisations.
• Pour les assureurs, l’écart croissant entre la vitesse des attaques et celle de la réaction des organisations est en passe de devenir un enjeu majeur de résilience.

Depuis des années, la cybersécurité dans le secteur de l’assurance repose sur un rythme prévisible : détecter, évaluer et réagir avant qu’une attaque n’ait un impact significatif sur les opérations. Ce modèle est aujourd’hui mis à rude épreuve.

L’émergence de modèles d’IA de pointe (frontier AI), capables de raisonnements avancés, d’analyser du code à grande échelle et de détecter automatiquement des vulnérabilités, transforme à la fois la rapidité et l’accessibilité des cyberattaques.

Des tâches qui nécessitaient autrefois des connaissances très spécialisées peuvent désormais être réalisées plus rapidement et à grande échelle. De récents tests menés dans le secteur montrent que ces modèles peuvent aider à identifier les vulnérabilités au sein d’environnements complexes et faciliter l’élaboration de chemins d’attaque potentiels, en quasi temps réel.

Il ne s’agit pas d’un scénario futur : cette évolution est déjà en cours et nécessite de s’adapter de manière proactive.

La question n’est donc plus de savoir si ces capacités auront un impact sur le secteur de l’assurance, mais à quelle vitesse les organisations pourront adapter leurs modèles de résilience à l’évolution du paysage des menaces.

Les cadres traditionnels de cybersécurité reposent sur l’idée que l’on dispose de temps : du temps pour détecter les anomalies, enquêter et réagir. Dans un contexte marqué par l’IA de pointe, cette hypothèse est considérablement remise en question.

Cet enjeu est d’autant plus important que les assureurs évoluent dans des environnements fortement interconnectés : systèmes de gestion des contrats, plateformes de gestion des sinistres, portails destinés aux courtiers, interfaces de programmation d’applications (API) partenaires et capacités croissantes reposant sur l’IA.

Par conséquent, l’exposition aux risques ne se limite pas aux systèmes centraux : elle s’étend à l’ensemble de l’écosystème de l’entreprise.

Les assureurs face à l’évolution des cybermenaces

L’étude EY « Global Cybersecurity Leadership Insights » apporte un éclairage essentiel sur cet enjeu. Fondée sur une enquête mondiale menée auprès de responsables de la cybersécurité, elle révèle que 36 % des actifs des organisations se situent dans une « zone de vulnérabilité », caractérisée par une visibilité insuffisante et une couverture de sécurité limitée.

À première vue, les assureurs semblent relativement bien positionnés. Seuls 18 % de leurs actifs se trouvent dans cette « zone de vulnérabilité », un niveau nettement inférieur à la moyenne observée tous secteurs confondus (36 %). Cette situation reflète la maturité des cadres réglementaires ainsi que des investissements soutenus dans la gestion des risques et les dispositifs de contrôle.

Cependant, cet avantage relatif ne doit pas masquer des faiblesses structurelles que l’IA de pointe pourrait rapidement exposer :

1. La visibilité demeure incomplète sur des actifs critiques

Moins de la moitié des organisations du secteur de l’assurance déclarent disposer d’une visibilité complète sur l’ensemble de leur patrimoine numérique. Dans un environnement où l’IA de pointe est capable d’identifier et d’exploiter à grande échelle des dépendances jusque-là invisibles, ces angles morts constituent un risque majeur.

2. Des lacunes de contrôle apparaissent sur les systèmes alimentés par l’IA

Les solutions d’IA en contact direct avec les clients représentent un point d’exposition croissant. Seuls 29 % des assureurs déclarent disposer d’une visibilité complète sur leurs assistants d’IA dédiés au service client, et à peine 13 % indiquent avoir mis en place un dispositif de cybersécurité pleinement opérationnel pour ces systèmes.

Cet enjeu est particulièrement critique, car ces systèmes se situent souvent à l’interface entre les données sensibles, les interactions avec les clients et la prise de décision automatisée.

3. Le rythme des évolutions dépasse celui des cycles de contrôle

Plus d’un quart des assureurs indiquent que leurs API, leurs environnements de stockage cloud et leurs bases de données managées évoluent au moins une fois par mois, voire plus fréquemment. Cette cadence impose une adaptation continue des dispositifs de sécurité.

Dans un contexte où les modèles d’IA les plus avancés sont capables d’identifier et d’exploiter rapidement les vulnérabilités, ce décalage creuse un écart permanent entre l’évolution des environnements technologiques et la capacité des organisations à adapter leurs mécanismes de contrôle.

L’étude met également en évidence un changement de paradigme : la résilience ne peut plus se limiter à la reprise après incident. Elle repose désormais sur une évaluation continue des expositions, de leur accumulation et de la rapidité avec laquelle elles peuvent être réduites.

Pour les assureurs, cette approche s’inscrit pleinement dans les attentes réglementaires en matière de résilience opérationnelle, notamment en ce qui concerne la protection des services critiques, et souligne la nécessité de se concentrer sur le « minimum viable enterprise » : les capacités essentielles qui doivent rester opérationnelles en situation de crise.

La réglementation fait de la résilience un impératif stratégique

Cette évolution vers une approche centrée sur le « minimum viable enterprise » est également renforcée par les évolutions réglementaires. En Europe, le Digital Operational Resilience Act (DORA) s’applique désormais à l’ensemble du secteur financier et fixe des attentes plus explicites pour les assureurs : la résilience numérique ne peut plus être considérée comme un sujet relevant principalement des équipes de cybersécurité. Elle doit être pilotée comme un risque à l’échelle de l’entreprise, en renforçant les liens entre les fonctions technologiques, les opérations, la gestion des risques et la continuité d’activité.

DORA s’articule autour de cinq domaines particulièrement pertinents dans un environnement de menaces alimenté par l’IA : la gestion des risques liés aux technologies de l’information et de la communication (TIC), la notification des incidents, les tests de résilience, la gestion des risques liés aux tiers et le partage d’informations sur les cybermenaces.

Cela implique d’aller au-delà des politiques et de la conception des dispositifs de contrôle. Les assureurs doivent être en mesure de démontrer que leur résilience fonctionne concrètement, en particulier pour les fonctions importantes et critiques, c’est-à-dire les services et processus les plus essentiels pour les clients comme pour le marché.

Cette démarche repose d’abord sur une vision plus précise des actifs critiques, des services métiers essentiels et des dépendances technologiques. Fournisseurs de services cloud, plateformes, courtiers et prestataires externalisés jouent tous un rôle dans la fourniture des services d’assurance. Si un maillon de cette chaîne venait à défaillir, les conséquences pourraient rapidement se propager aux opérations, à l’accès des clients aux services et au respect des obligations réglementaires.

DORA clarifie également les responsabilités en matière de gouvernance. La résilience numérique devient une priorité pour les conseils d’administration, et non plus seulement un enjeu technique ou de conformité. Cet aspect revêt une importance particulière dans un contexte d’IA avancée, où les attaquants peuvent agir plus rapidement et exploiter des faiblesses liées à une gouvernance insuffisante, à un manque de supervision des fournisseurs ou à des tests inadéquats des scénarios de crise réalistes.

Pour les assureurs, DORA constitue ainsi un véritable accélérateur. Le règlement transforme les ambitions en matière de résilience en obligations concrètes et pousse les organisations à industrialiser des capacités jusqu’ici souvent déployées de façon hétérogène. Dans un environnement de menaces évoluant à la vitesse des machines, la conformité ne constitue plus l’objectif final. Elle devient le socle d’un modèle de résilience plus adaptatif, centré sur les services qui doivent impérativement rester disponibles en situation de crise.

De l’exposition à une résilience conçue et maîtrisée : renforcer la cyber résilience à l’ère de l’IA 

Se préparer aux menaces portées par l’IA de pointe exige bien davantage qu’un simple renforcement des défenses. Cela suppose de repenser en profondeur les fondements mêmes des dispositifs de cybersécurité.

Trois priorités se dégagent pour les dirigeants du secteur de l’assurance :

1. Obtenir une visibilité continue sur l’ensemble de l’écosystème étendu

Les inventaires d’actifs traditionnels et les évaluations périodiques ne suffisent plus. Les assureurs doivent disposer d’une visibilité en temps réel sur leurs applications, leurs flux de données, leurs identités numériques et leurs dépendances vis-à-vis des tiers.

À défaut, la surface d’attaque réelle, et par conséquent le niveau de risque effectif, demeurent largement inconnus.

2. Prioriser les risques en fonction de leur impact sur les activités critiques

Toutes les vulnérabilités ne présentent pas le même niveau de risque. L’enjeu n’est pas seulement leur existence, mais leur capacité à être combinées et à affecter des services critiques tels que la gestion des sinistres, la souscription ou l’accès des clients aux services.

Cette approche implique de dépasser les indicateurs purement techniques de gravité pour adopter une analyse de l’exposition fondée sur les enjeux métiers, centrée sur l’exploitabilité des vulnérabilités et leurs conséquences opérationnelles potentielles.

3. Accélérer la réponse grâce à une automatisation maîtrisée 

À mesure que les délais d’attaque se réduisent, les processus manuels deviennent un facteur limitant. L’automatisation, encadrée par des politiques et des mécanismes de gouvernance clairement définis, est essentielle pour réduire les temps de réaction.

Cette automatisation peut notamment couvrir :

• La priorisation automatisée des vulnérabilités ;
• Le déploiement rapide des correctifs et des mises à jour de configuration ;
• La gestion dynamique des droits d’accès (par exemple via des privilèges accordés « juste à temps ») ;
• Le confinement en temps réel des activités suspectes.

L’automatisation ne remplace pas le contrôle. Elle permet au contraire de l’appliquer à la vitesse nécessaire dans un environnement où les menaces évoluent désormais à l’échelle de la machine.

Préparer le secteur de l’assurance aux cybermenaces de demain

L’IA de pointe (frontier AI) n’est plus une perspective lointaine. Elle marque un point de bascule dont les premiers effets sont déjà perceptibles.

Le secteur de l’assurance dispose de nombreux atouts : une gestion des risques mature, un cadre réglementaire structurant et une solide expérience en matière de résilience opérationnelle. Toutefois, ces acquis doivent désormais évoluer pour faire face à des menaces dont le rythme dépasse les cycles traditionnels de décision, de contrôle et d’adaptation.

Les organisations les mieux préparées seront celles qui agiront avant que ces nouvelles capacités ne se généralisent. Trois transitions apparaissent essentielles :

• Passer d’une logique de protection statique à une résilience dynamique ;
• Remplacer les mécanismes de réponse réactive par une capacité d’action en temps réel ;
• Évoluer d’une visibilité partielle vers une gestion continue de l’exposition aux risques.

Dans un secteur fondé sur la confiance, la capacité à maintenir des opérations sécurisées et des services essentiels disponibles, même en période de forte perturbation, ne relève plus uniquement d’un enjeu technologique. Elle constitue désormais un impératif stratégique.

En savoir plus