Socio-économie & Nouvelles technologies

Cybersécurité & Résilience numérique

Finance, Investissement & Gestion des risques

Assurance & Gestion des risques

Menaces cyber & Cybercriminalité

Sécurité de l'information & des réseaux

Joint Research Initiative

France

Cyber assurance : vers une meilleure évaluation du coût des cyber risques

Qui dit nouvelles opportunités dit aussi nouveaux défis. L'économie digitale est en train de transformer de manière radicale notre façon de vivre, de travailler et de communiquer. Ces outils technologiques nous sont devenus indispensables. Cette relation de dépendance nous expose à des risques jusqu’alors inconnus, allant du simple bug à l'hacktivisme et au cyberterrorisme, et dont l’impact peut être catastrophique : vol, corruption ou cryptage de données, interruption des activités, atteintes à la réputation, dommages matériels, etc. "Les compagnies d’assurances sont censées jouer un rôle crucial de protection financière. Cependant, la manière dont sont évaluées les les risques cybernétiques actuellement, que ce soit à l’échelle de l’individu, de l’entreprise, ou d'une administration, est largement inadaptée, car ces risques sont nouveaux et très évolutifs", rapporte Olivier Lopez, professeur à l’Université de la Sorbonne (Paris, France) et directeur du département actuariel (discipline qui applique des méthodes mathématiques et statistiques en vue d’évaluer les risques dans le domaine de l’assurance, de la finance, etc.). Pour remédier à cette situation, lui et le Pr. Caroline Hillairet, en charge du programme de sciences actuarielles à l’ENSAE-ParisTech, se sont lancés dans un projet de recherche ambitieux, en partenariat avec les équipes opérationnelles de gestion des risques d’AXA. L'objectif, tel que le présente le Pr. Lopez, est d'examiner les coûts financiers des risques cybernétiques de manière adéquate. Plus précisément, le but est d'évaluer les conséquences des cyberattaques du point de vue des compagnies d'assurance afin de poser les bases de solutions appropriées. Cette initiative de recherche conjointe entre dans le cadre d’un grand projet en cours chez AXA, le “cyber projet”, dont le but est de repenser la stratégie du groupe dans ce domaine.

L'utilisation de techniques statistiques avancées : pour surmonter les défis inhérents aux cyber-assurances
“Ces comportements ontété identifiés, et à peu près modélisés d'un point de vue économique. Cependant, la question de savoir comment estimer et calibrer les paramètres de tels modèles n'a pas encore été correctement traitée jusqu'à présent”, précise le Pr. Lopez. C'est là qu’intervient l’équipe académique, constituée de mathématiciens, d’experts en mégadonnées et d'économétriciens. Afin de bien refléter les spécificités de ce marché dans des modèles fidèles à la réalité et de compenser le manque et la troncation des informations disponibles, les scientifiquesvont devoirinnover, en utilisant et en combinant des techniques statistiques avancées. L'équipe utilisera notamment des outils issus de la théorie des'processus ponctuels', qui permet la saisie d'événements interdépendants et est donc adaptée à la modélisation des cyberattaques, leurs contrecoups et leur éventuelle contagion. Ils vont également se servir de la théorie des 'valeurs extrêmes’, une branche des sciences statistiques portant, comme le suggère son nom, sur les déviations extrêmes par rapport aux scénarios principaux. L'objectif de la recherche est double : modéliser les risques cybernétiques actuels, mais également les prévoir dans le futur. “En interaction avec la partie modélisation du projet, nous cherchons à construire des outils numériques permettant de simuler l'évolution du risque. L'objectif est de déterminer les scénarios possibles afin de déterminer le montant requis pour couvrir les garanties (nouvelles comme anciennes), et anticiper leurs tendances”, expliquent les chercheurs principaux, insistant sur le fait qu'une "proche collaboration avec les praticiens d'AXA va permettre auxdéveloppements académiquesdu projet d’être non seulement efficaces, mais également compatibles avec la réalité du terrain".

Selon un rapport publié par l'Organisation de coopération et de développement économiques (OCDE) à la suite de sa conférence sur le marché de la cyber assurance en 2018 : “un nombre de défis empêche l'expansion de la couverture des (cyber-) assurances, dont la faible sensibilisation aux risques, le manque de données sur les cyber incidents, la nature changeante des menaces cybernétiques et le potentiel en pertes accumulées”. En traitant trois des quatre obstacles identifiés ici, l'approche adoptée par cette initiative de recherche conjointe répond adéquatement à un défi contemporain crucial et sans précédent. En aidant les assureurs à développer de meilleures méthodes de modélisation de ces risques hautement complexes, les résultats contribueront non seulement à booster un secteur hautement prometteur pour les assurances, mais permettront également, et surtout, de réduire la gravité des violations cybernétiques, et leur impact potentiellement catastrophique.

To adequately price a risk – or in other words, to set the premium (the amount to be paid for a contract of insurance) – insurers must accurately quantify the risks to which their clients are exposed. In the case of cybersecurity, this process is exceptionally complicated. Cyber risks arise in a complex ecosystem of interlinked vulnerabilities, security threats, and potential associated impacts. "One of the biggest challenges confronting the cybersecurity domain is the lack of historical data", explains prof. Olivier Lopez. Indeed, conventional premium generation employs modeling techniques that incorporate data from past events. When it comes to cyber threats, the resource is scarce. As the phenomena is quite new, it has only become recently mandatory for breached entities to disclose information about their cybersecurity breaches. Previously, companies were reluctant to disclose breaches due to potential reputational damage. Another specific challenge of cybersecurity is the behavior of the policy holders themselves, who might be tempted to retain information from the insurance, or change behavior once the contract is signed. "For instance, one of the reverse effects of cyber insurance is the fact that enterprises may perform an economical optimization. Since insurance contracts offer a form of protection against potential losses, one may fear that the companies reduce their efforts to fully develop the physical strategies required to prevent the claims (such as installing or updating security softwares). Another difficulty stands in the fact that a company may be easily able to hide from the insurer some weaknesses in its network, due to its complexity and opacity".

Using advanced statistical techniques to overcome the inherent challenges of cyber insurance

"These types of behaviors have been identified, and roughly modeled from an economical point of view. However, the question of how to estimate and calibrate the parameters of such models has not been properly addressed until now", prof. Lopez specifies. This is where the academic team of mathematicians, data scientists and econometricians comes in. To capture the specificities of this market into models that are reflective of reality, and compensate for the scarcity and truncation of the information available, they aim to innovate by using and combining advanced statistical techniques. The team will notably combine tools coming from 'Hawkes processes' theory - because it can capture inter-dependent events, and is therefore adapted to cyber attacks and their potential aftershocks and contagion - and from 'Extreme value theory', a branch of statistics dealing with, as its name may suggest, extreme deviations from central scenarios. The research objective is twofold: to model present cyber risks, but also to project them in the future. "In interaction with the modeling part of the project, we aim to build numerical tools to simulate the evolution of the risk. The idea is to determine scenarios in order to evaluate the amount of reserves required to cover the guarantees (new ones and old ones), and to anticipate their trends", the lead investigators explain, insisting that "close collaboration with practitioners from AXA will ensure the academic developments of the project are efficient and consistent with an operational vision and cartography of the cyber-risk that only a worldwide insurance company can provide".

According to a report published by the Organization for Economic Cooperation and Development (OECD) following their 2018 conference on the cyber insurance market: "A number of challenges impede the extension of (cyber) insurance coverage, including low risk awareness, lack of data on cyber incidents, the changing nature of cyber threats and the potential for accumulated losses". By addressing three out of the four obstacles identified, the present JRI’s research approach holds great promise towards improving cyber risk management and reducing the eventuality of significant economic losses. In helping insurers develop better, more accurate, modeling methods for these highly complex and unprecedented risks, the outputs will not only contribute to a huge growth opportunity for the insurance sector, but also, and above all, enable the mitigation of cyber breaches, and their potentially devastating impact.