« Je n’ai pas monté Stoïk pour enrichir des criminels » | Itw exclusive de Jules Veyrat, CEO de Stoïk

Emilie Autin
Rédigé par Emilie Autin
23 septembre 2022 - 6 minutes

Bercy a tranché à la rentrée. Le ministère ouvre officiellement la porte à l’indemnisation des cyber-rançons. Cette décision a ranimé un débat chaud dans le milieu de l’assurance : faut-il payer ou non les fameuses rançons ? Les partisans du pour et du contre s’affrontent par médias interposés, sur LinkedIn ou dans les conseils de direction.

Alors que certains acteurs assument et militent même pour le remboursement des rançons, d’autres font le choix inverse. Chez Stoïk, la position est claire : ne pas payer les rançons. Le CEO de la jeune cyber insurtech, Jules Veyrat, nous a confié ses positions sur le sujet. Entretien avec un dirigeant qui souhaite accompagner la cybersécurité vers une nouvelle ère.

Bonjour Jules ! Pour commencer, peux-tu revenir sur la genèse de Stoïk ?

Jules Veyrat : Nous avons créé Stoïk il y a 18 mois avec mes trois associés. À titre personnel, je n’avais jamais fait ni de cyber, ni d’assurance. Je suis sorti d’HEC, puis j’ai travaillé à Philosophie Magazine. J’étais en contact avec des TPE et des PME, où j’ai fait un constat étonnant. Il y a un décalage énorme entre le niveau de risque pour ces petites entreprises, qui en cas de cyberattaque peuvent cesser d’exister, et leur niveau de protection face à ce risque, qui est faible voire nul.

Il y avait donc un réel manque sur ce marché. Les patrons me le disaient : je sais que ça peut m’arriver, mais je n’ai pas les compétences pour me protéger. Nous avons donc lancé Stoïk. Nous associons une couverture d’assurance pour les cyberattaques, avec des outils de sécurité interne gratuits pour nos assurés.

Les pirates cherchent une opportunité pour attaquer !

Selon toi, où en est-on dans la prise de conscience du problème cyber ?

Il y a un double problème : l’offre et la demande. Pour la demande, la conscience du risque est croissante, mais insuffisante. Beaucoup de dirigeants de TPE-PME se disent encore, quel criminel va s’intéresser à mon entreprise ? Ce qu’ils ne savent pas, ou ne comprennent pas, c’est que les attaques sont majoritairement opportunistes. L’attaquant ne s’intéresse pas à ce que fait l’entreprise, ils cherchent une opportunité pour attaquer.

Pour l’offre, les assureurs ont perdu de l’argent en faisant du risque cyber ces dernières années. C’est un risque nouveau, volatile et sur lequel on manque de données. Par exemple, en 2020, les assurances ont beaucoup plus dédommagé qu’elles n’ont collecté de primes. Les critères pour souscrire une assurance cyber deviennent donc de plus en plus compliqués à atteindre.

Comment fait-on pour analyser le risque cyber aujourd’hui alors qu’on n’a peu ou pas de data ?

L’assurance repose sur trois piliers : la sélection des risques, la quantification des risques et la prévention des risques. Personne n’a aujourd’hui la solution miracle pour la quantification des risques cyber. Personne n’a assez de recul pour dire que telle entreprise, avec tel profil de sécurité, doit payer tel prix pour être rentable.

Mais on peut jouer sur les deux autres critères. Pour la sélection des risques, on peut utiliser des critères pas seulement déclaratifs, mais aussi et surtout techniques. Par exemple, on peut auditer l’entreprise avant de l’assurer. Ensuite, sur la prévention des risques, c’est là le véritable rôle de l’assureur pour moi. Sa vocation est d’aider le client, de sensibiliser ses collaborateurs. C’est un tiers de confiance, qui a un rôle majeur pour protéger et renforcer notre tissu économique.

Vous venez de réaliser deux levées coup sur coup, avec la participation notable du monument Andreesen Horowitz. Est-ce que vous sentez une appétence particulière sur le sujet cyber de la part des investisseurs ?

Oui, et pour deux bonnes raisons. D’abord, il y a des acteurs américains qui ont compris le modèle cyber, dont Stoïk s’est inspiré. Ces entreprises cartonnent, pas en termes de nombre de clients, mais car leur taux de sinistralité est plus faible que le reste du marché. Déjà, cette réussite intéresse les investisseurs.

Il y a une opportunité énorme en Europe. Le marché reste entièrement à conquérir, et il y a la possibilité de faire les choses bien. Les investisseurs veulent donc investir dans les entreprises qui ont repéré ce marché.

Peut-on parler d’emballement autour de ce sujet cyberassurance ?

« Dire : ‘on va payer la rançon’, ce n’est pas du tout le bon message ! »

Quelles peuvent être les conséquences d’une cyberattaque pour une petite entreprise ?

En cas d’attaque cyber, c’est un véritable désastre pour les entreprises. Par exemple, Clestra (entreprise alsacienne de cloisons, 400 salariés) a dû se mettre en redressement judiciaire en août après une cyberattaque. Avoir une assurance cyber, ça aurait pu les sauver. Encore plus, si son assureur l’avait aidé à améliorer sa sécurité. Et c’est un désastre que de belles PME françaises, qui existent parfois depuis des années, doivent arrêter d’exister.

Le gros sujet du moment, c’est bien le paiement des rançons. L’autorisation du paiement semble ouvrir une porte et des opportunités, notamment pour les insurtechs, mais tu t’es positionné dans le camp du contre. Peux-tu nous synthétiser ton avis sur la question ?

« Faire de la prévention comme personne ne le fait sur le marché »

Certains assureurs semblent frileux au sujet des ransomwares. On a vu AXA ou Generali se désengager sur le sujet. Les contrats d’assurance cyber ne risquent-ils pas de devenir rapidement des coquilles vides ?

Attention, couvrir la rançon et couvrir les ransomwares, ce n’est pas la même chose. Chez Stoïk, nous couvrons les ransomwwares, comme les pertes d’exploitation et la remise en route du système. Pour autant, on ne paye pas la rançon. Il y a des entreprises qui limitent l’événement ransomware, qui peuvent abaisser leur niveau de couverture. Je ne connais aucune entreprise, pour l’instant, qui exclut formellement le ransomware de ses garanties.

On a récemment vu l’arrivée de Dattak sur votre créneau, avec un positionnement similaire au vôtre. Leur position sur les rançons est pourtant très différent. Quel est ton regard sur ces autres jeunes pousses qui s’attaquent au cyber ?

C’est super positif ! Et il y en aura beaucoup d’autres ! On fait des émules et j’en suis ravi. Sur le paiement des rançons, nous n’avons pas le même positionnement mais je comprends leur point de vue.

Au fond, il n’y a qu’un pourcent des entreprises qui sont couvertes sur ce genre de risques. Et on ne peut pas tout couvrir avec Stoïk ! Le but c’est de passer le message, et d’évangéliser un maximum. Ça ne me pose pas de problème que d’autres entreprises arrivent sur ce marché… tant que nous restons premier !

De notre côté, on veut faire de la prévention comme personne ne le fait sur le marché. Mais payer la rançon pour offrir un filet de sécurité, ce n’est pas le message que je veux envoyer, ni à nos clients, ni aux courtiers avec lesquels on travaille.

Quelle est la bonne solution, s’il en existe une, pour se protéger face aux risques cyber ?

La jeune Stoïk s’engage donc formellement à ne pas payer les rançons. On suivra avec intérêt les différents positionnements des acteurs, et notamment des insurtechs, dans les mois à venir. Un immense marché se dessine autour de ce risque qui explose sans être correctement adressé. Le marché français de l’assurance cyber a en effet atteint 219 millions d’euros en 2021, soit seulement 0,35% du chiffre d’affaires de biens et responsabilités des assureurs. Pour celui qui craquera le code, c’est clairement l’assurance d’un succès de taille derrière la porte !

Aucun commentaire sur cet article. Soyez le premier !

Laissez votre commentaire