Dossier cyber-assurance
Réponses déduites des diagnostics, de la configuration Microsoft 365 et des tests du plan de reprise. Un « Oui » repose sur une réponse datée de moins de 12 mois ou sur un constat récent. Les sources qui se contredisent, une réponse trop ancienne ou l'absence de donnée donnent « À confirmer avant envoi ».
24 questions : 3 « Oui », 2 « Partiellement », 8 « Non », 11 à confirmer.
Des réponses sont à confirmer : le document le dira et ne se présentera pas comme prêt à signer.
Contrat de cyber-assurance
À copier du contrat. La fiche réflexe du client en tire l'assureur à prévenir, son numéro d'assistance et le délai de déclaration. Le numéro de contrat ne figure que sur la version dirigeant. Effacer l'assureur supprime le contrat.
Identité et accès
- À confirmer avant envoiCA01. L'authentification à plusieurs facteurs est-elle exigée sur la messagerie et les accès à distance ?(les sources se contredisent)
- Diagnostic N1, question Q03 : Non, le 21/10/2026
- Google Workspace, question GWS01 : Partiel, le 21/10/2026
- NonCA02. L'authentification à plusieurs facteurs protège-t-elle tous les comptes administrateurs ?
- Diagnostic N1, question Q03 : Non, le 21/10/2026
- NonCA03. Les comptes administrateurs sont-ils nominatifs et distincts des comptes de tous les jours ?
- Diagnostic N1, question Q23 : Non, le 21/10/2026
- Google Workspace, question GWS03 : Non, le 21/10/2026
- OuiCA04. Les droits d'accès sont-ils revus régulièrement et les comptes des personnes parties désactivés rapidement ?
- Diagnostic N1, question Q04 : Oui, le 21/10/2026
- OuiCA05. Un gestionnaire de mots de passe est-il utilisé pour les accès partagés ?
- Diagnostic N1, question Q24 : Oui, le 21/10/2026
- À confirmer avant envoiCA06. L'authentification ancienne de la messagerie (sans second facteur) est-elle bloquée ?(rien de renseigné)
- Aucune donnée enregistrée.
Postes et systèmes
- À confirmer avant envoiCA07. Un antivirus ou EDR récent est-il déployé et supervisé sur tous les postes et serveurs ?(rien de renseigné)
- Aucune donnée enregistrée.
- À confirmer avant envoiCA08. Le chiffrement du disque est-il activé sur tous les postes ?(rien de renseigné)
- Aucune donnée enregistrée.
- À confirmer avant envoiCA09. Les correctifs de sécurité sont-ils appliqués dans un délai défini et suivis ?(rien de renseigné)
- Aucune donnée enregistrée.
- À confirmer avant envoiCA10. Les logiciels et équipements en fin de support sont-ils identifiés, avec un plan de migration ou des mesures compensatoires ?(rien de renseigné)
- Aucune donnée enregistrée.
- À confirmer avant envoiCA11. Le parc informatique est-il inventorié et tenu à jour ?(rien de renseigné)
- Aucune donnée enregistrée.
- PartiellementCA12. Les postes et mobiles sont-ils gérés par un outil central avec effacement à distance ?
- Google Workspace, question GWS13 : Partiel, le 21/10/2026
Sauvegardes et reprise
- PartiellementCA13. Les sauvegardes sont-elles séparées du système principal, dont une copie hors ligne ou hors site ?
- Diagnostic N1, question Q07 : Partiel, le 21/10/2026
- NonCA14. Une restauration a-t-elle été testée avec succès dans les 12 derniers mois ?
- Diagnostic N1, question Q25 : Non, le 21/10/2026
- À confirmer avant envoiCA15. Un plan de reprise d'activité formalisé couvre-t-il le rançongiciel ?(rien de renseigné)
- Aucune donnée enregistrée.
- À confirmer avant envoiCA16. Un exercice de crise cyber ou de continuité a-t-il été réalisé dans les 12 derniers mois ?(rien de renseigné)
- Aucune donnée enregistrée.
Incident et traçabilité
- OuiCA17. Une procédure d'incident cyber et de violation de données existe-t-elle, avec décision, escalade et notification ?
- Diagnostic N1, question Q09 : Oui, le 21/10/2026
- NonCA18. Les journaux utiles sont-ils conservés et servent-ils à détecter les anomalies ?
- Diagnostic N1, question Q06 : Non, le 21/10/2026
Messagerie
- À confirmer avant envoiCA19. La messagerie est-elle protégée contre l'usurpation d'identité, l'hameçonnage et les pièces jointes malveillantes ?(rien de renseigné)
- Aucune donnée enregistrée.
Sensibilisation
- NonCA20. Un programme de sensibilisation à la cybersécurité existe-t-il, au moins une fois par an ?
- Diagnostic N1, question Q16 : Non, le 21/10/2026
- À confirmer avant envoiCA21. Des campagnes d'hameçonnage simulé sont-elles menées et analysées ?(rien de renseigné)
- Aucune donnée enregistrée.
Prestataires et gouvernance
- NonCA22. La liste des prestataires informatiques, de leurs accès et de leurs responsabilités est-elle tenue à jour ?
- Diagnostic N1, question Q15 : Non, le 21/10/2026
- NonCA23. Les contrats des prestataires couvrent-ils la sécurité, la notification d'incident et la réversibilité ?
- Diagnostic N1, question Q13 : Non, le 21/10/2026
- NonCA24. Un responsable des sujets informatiques et de cybersécurité est-il clairement identifié ?
- Diagnostic N1, question Q01 : Non, le 21/10/2026
Questionnaire de référence de monDSI, vérifié le 14/10/2026. Ce n'est pas le questionnaire d'un assureur : aucune grille d'assureur n'est livrée à ce jour. Le dirigeant relit et signe.