La police d’assurance pour un actif capital IPv4 détourné

Résumé

L’assurance cyber peut prendre en charge certaines pertes causées par un détournement de routage, notamment les frais d’investigation, les coûts supplémentaires et la perte d’exploitation, mais seulement si l’événement correspond aux définitions de la police concernant le système informatique, la défaillance de sécurité, l’interruption et la perte couverte. Le mot « cyber » sur les conditions particulières n’assure pas toute défaillance impliquant Internet.
Un événement de routage, une erreur de registre et un litige sur les droits de ressources numériques sont des périls distincts. Le premier modifie l’accessibilité propagée; le deuxième modifie ou désactive l’enregistrement faisant autorité et les services associés; le troisième conteste le droit entre les parties. Ils nécessitent respectivement des preuves BGP, des preuves de registre et des preuves transactionnelles ou juridiques.
Les formulations standard révèlent une lacune de couverture. Les clauses de perte d’exploitation exigent souvent l’indisponibilité d’un système informatique assuré ou couvert, causée directement par des événements listés et durant au-delà d’un délai de carence. Un système de routage mondial ou un service RIR peut ne pas entrer facilement dans le système propre du souscripteur ou la définition d’un fournisseur nommé.
Restaurer la valeur de marché d’un bloc IPv4 n’est pas la même chose que restaurer des données. Certaines polices types excluent expressément la valeur économique ou de marché des données des coûts de récupération. Un routage propre et un enregistrement de registre corrigé peuvent rétablir les opérations tout en laissant une décote permanente, une facture juridique ou une vente perdue hors de la couverture cyber ordinaire.
L’assurance des ressources numériques devrait donc être modulaire: un avenant pour interruption de routage, un avenant pour intégrité de registre ou service dépendant, et, si le marché le souhaite, une couverture de défense de droits ou de valeur convenue souscrite séparément. Les regrouper sous un terme vague de « détournement IP » invite les litiges sur la cause et la réparation.
Les réclamations doivent préserver des preuves synchronisées avant la convergence du réseau: observations des collecteurs de routes, état des ROA, journaux des routeurs et des fournisseurs amont, tickets de registre, historique de compte authentifié, modifications RDAP, contrats, succession d’entreprise, enregistrements de flux de trésorerie et un calcul de perte contrefactuel. Aucune capture d’écran unique ne prouve à la fois le détournement et la propriété.
L’approche de la Société des ressources numériques peut rendre le risque assurable en lui fournissant un inventaire défini, une norme de contrôle et un protocole de preuve. Elle ne peut garantir la couverture, créer un titre de propriété ou fournir une fréquence de perte mondiale. Une meilleure gouvernance réduit l’incertitude; ce sont la formulation de la police, les conditions particulières, les avenants et la loi applicable qui décident de la réclamation.

La question n’est pas de savoir si les adresses ont été volées

Le langage du vol est irrésistible. Le trafic destiné à un bloc d’adresses semble être redirigé vers un réseau non autorisé. Les clients ne peuvent atteindre le service légitime. La surveillance qualifie l’événement de détournement. Les dirigeants demandent si un actif en capital a été volé et si l’assureur cyber paiera.

La première réponse est que l’événement peut être grave sans être un transfert de la position d’enregistrement sous-jacente. BGP distribue des annonces sur la manière d’atteindre les préfixes. Une origine fausse ou erronée peut attirer certaines routes alors que l’enregistrement RIR reste inchangé et que le détenteur légitime conserve le contrôle du compte. Lorsque la fausse annonce est retirée et que les filtres convergent, le trafic peut revenir sans transfert de registre.

La deuxième réponse est qu’une compromission de registre peut être grave sans ressembler à un détournement de routage classique. Un attaquant peut modifier les contacts, obtenir l’accès au compte, changer une autorisation d’origine de route ou lancer un processus de transfert non autorisé. Les routeurs du détenteur peuvent continuer à annoncer normalement pendant un certain temps. L’événement décisif se produit dans la couche d’autorité et de service plutôt que dans le premier chemin observé.

La troisième réponse est qu’un litige de droits peut n’impliquer aucune intrusion informatique. Un vendeur et un acheteur peuvent être en désaccord sur la clôture; des affiliés peuvent contester quelle société contrôle un bloc historique; un créancier peut faire valoir une sûreté; un registre peut mettre une demande en attente parce que le statut est contesté. Le réseau peut rester joignable alors que l’actif économique devient illiquide.

L’assurance répond à des causes définies et à des pertes définies, pas à la force émotionnelle de « volé ». Une police peut couvrir les revenus perdus lorsqu’un système couvert est indisponible après une défaillance de sécurité. Elle peut couvrir les frais de réponse à incident. Elle peut exclure la responsabilité contractuelle, les litiges de propriété intellectuelle, les dommages matériels ou la valeur de marché des données. Elle peut exiger un fournisseur dépendant nommé. Elle peut appliquer un délai de carence plus long que la phase la plus visible d’un événement de routage.

La question productive est donc: quelle surface de contrôle a échoué, quel événement a causé l’échec, quel intérêt assuré a été lésé, quelle perte mesurable a suivi, et quelle clause d’assurance et exclusion la régissent? À moins que la police ne soit rédigée autour de ces questions, le détenteur ne découvre sa couverture réelle qu’au cours d’une réclamation contestée.

Trois périls se cachent derrière un titre alarmant

Un assureur devrait commencer par diviser le scénario en trois catégories de périls.

Le risque d’intégrité de routageest le risque que des informations de routage non autorisées, accidentelles ou contraires aux politiques modifient la façon dont d’autres réseaux atteignent le préfixe assuré. Le mécanisme peut être une origine fausse, une annonce plus spécifique, une fuite de route ou une autre manipulation. Le dommage immédiat est le détournement du trafic, le déni de service, le risque d’interception, la latence, l’instabilité ou la dégradation. Les preuves se trouvent dans les mises à jour BGP, les collecteurs de routes, les routeurs, les enregistrements des fournisseurs amont et l’état de la sécurité du routage.

Le risque d’intégrité de registreest le risque que la position administrative faisant autorité ou les services associés à une ressource numérique soient modifiés, désactivés ou rendus inaccessibles sans autorisation appropriée, ou modifiés incorrectement par une institution autorisée. Le mécanisme peut être une compromission de compte, une documentation frauduleuse, une erreur humaine, un processus d’authentification défaillant, un transfert erroné, une association d’organisation incorrecte, ou une perturbation de l’administration RPKI et du DNS inverse. Les preuves se trouvent dans les journaux de compte authentifiés, les tickets, les documents signés, les enregistrements de registre, les horodatages de service et l’historique des identifiants.

Le risque de droits et de transactionest le risque que des parties contestent qui peut utiliser, contrôler, mettre en gage ou transférer la position reconnue. Le mécanisme peut être des documents d’acquisition défectueux, une succession d’entreprise, une rupture de contrat, une insolvabilité, des sûretés concurrentes, des sanctions ou un historique patrimonial non résolu. Les preuves se trouvent dans les contrats, les factures, les autorisations du conseil, les documents d’entreprise, les ordonnances judiciaires, les accords de registre et le processus de transfert. Un journal réseau peut montrer l’utilisation mais ne peut trancher tous les droits légaux.

Les trois peuvent interagir. Un attaquant peut compromettre un compte de registre, créer ou supprimer une autorisation de routage puis annoncer le préfixe. Un vendeur peut continuer à router après une vente contestée. Un détenteur peut qualifier une fuite amont accidentelle de détournement pendant qu’un assureur vérifie si un système assuré a subi une défaillance de sécurité. L’interaction n’efface pas la distinction.

Il est utile d’ajouter une quatrième catégorie:le risque de réputation et de dépendance. Un détournement peut entraîner l’attribution de pourriels, de fraudes ou de trafic abusif aux adresses. Même après la correction du routage, les listes de blocage, les systèmes de fraude, la géolocalisation et les listes blanches des clients peuvent rester erronés. Le détenteur conserve le bloc mais perd une partie de son acceptation productive. C’est souvent la traîne longue de l’événement, et elle peut ne pas correspondre à la période de restauration de la police.

Chaque péril a un remède différent. Les incidents de routage exigent le retrait, le filtrage, l’autorisation correcte et la propagation. Les incidents de registre exigent le confinement du compte, la correction authentifiée et la restauration du service. Les litiges de droits exigent un accord, une décision de justice ou un transfert reconnu. Les dommages de réputation exigent une remédiation par des tiers. Payer pour un remède ne peut être présumé guérir les autres.

Un détournement de route est un événement de disponibilité avec des conséquences de sécurité

La publication spéciale NIST 1800-14définit un détournement de préfixe de route comme un système autonome qui émet accidentellement ou malicieusement une mise à jour BGP pour un préfixe qu’il n’est pas autorisé à émettre. Le NIST identifie des conséquences incluant le déni de service, les détours de trafic indésirables, les erreurs de livraison et une dégradation significative des performances. C’est un point de départ solide pour l’assurance car il décrit un événement et un préjudice sans prétendre que le titre de registre a changé.

BGP est distribué. Le détenteur ne possède ni n’exploite chaque routeur qui reçoit une annonce. Chaque réseau applique sa propre sélection de chemin et sa politique. Une route non autorisée plus spécifique peut attirer du trafic depuis de nombreux endroits; une fausse origine de longueur égale peut en affecter un ensemble différent. Le filtrage et la validation d’origine de route ne sont pas uniformes. L’événement peut donc être partiel et géographiquement irrégulier.

La partialité complique la perte d’exploitation. Un site web peut rester disponible pour l’emplacement de surveillance du souscripteur tandis que les clients derrière les réseaux affectés échouent. Une API peut accepter certains appels et en bloquer d’autres. Un service de paiement peut continuer à capacité réduite. Une police exigeant une indisponibilité « totale » pourrait produire un argument différent de celle couvrant l’interruption partielle, le ralentissement ou la dégradation.

La durée est également glissante. La route hostile peut être visible pendant vingt minutes, tandis que les caches, les sessions, le DNS, les contrôles de fraude et la confiance des clients mettent plus de temps à se normaliser. Un délai de carence peut éliminer le court événement de routage même si les coûts de réponse et les pertes en aval continuent. Inversement, une police qui commence la période d’indemnisation à la découverte peut avoir besoin d’une méthode claire pour les pertes qui ont commencé avant que le détenteur n’ait vu l’anomalie.

La causalité de sécurité n’est pas automatique. Une origine non autorisée peut résulter d’une action malveillante, d’une mauvaise configuration accidentelle, d’une autorisation client périmée ou d’une relation commerciale contestée. Une police limitée aux actes malveillants peut les traiter différemment. Une extension plus large pour défaillance du système ou erreur humaine peut aider, mais seulement si le système et l’acteur pertinents correspondent à sa définition.

RPKI améliore les preuves et la défense mais ne rend pas la route auto-exécutoire. Une ROA exprime quel AS d’origine est autorisé pour les préfixes couverts selon laRFC 9582. Les réseaux utilisant la validation d’origine de route peuvent classer les annonces conflictuelles, mais la politique de routage locale détermine l’effet. Une ROA valide est une preuve de l’autorisation d’origine; ce n’est pas une preuve de perte d’exploitation, d’identité de l’attaquant, de perte de valeur de marché ou de propriété légale.

Pour l’assurance, un détournement de route devrait être rédigé comme un péril mesurable d’intégrité et de disponibilité. Le traiter comme un vol du numéro lui-même crée une charge de preuve que les preuves de routage ne peuvent satisfaire.

La police cyber ordinaire commence par le système assuré

Les polices types publiques ne nous disent pas ce que chaque acheteur a acheté. Elles montrent le problème de rédaction.

Laformulation actuelle Cyber Select d’Allianz UKfournit une couverture de perte d’exploitation pour les pertes résultant directement de l’indisponibilité totale ou partielle du système informatique de l’entreprise, causée par un événement défini et dépassant un délai de carence. Son événement de base pour la perte d’exploitation est une cyberattaque dans les systèmes sous le contrôle opérationnel direct de l’assuré; des extensions traitent l’erreur humaine et la défaillance technique dans ces systèmes.

Le spécimenCyber Enterprise Risk Management Version 2.2 de Chubb Australiedéfinit un incident de perte d’exploitation par l’incapacité d’accéder, la perturbation ou le trouble d’un système informatique couvert ou partagé causé directement par des événements listés, y compris les actes malveillants, l’utilisation non autorisée, l’erreur humaine, la défaillance de sécurité réseau et l’erreur de programmation. Sa définition de système couvert inclut les systèmes détenus, loués ou exploités par l’assuré et les systèmes exploités uniquement à son profit par un fournisseur contractuel.

Laformulation Cyber Protection de RSAlie également la perte d’exploitation cyber à l’indisponibilité du système informatique de l’assuré et offre une interruption contingente pour les fournisseurs nommés ou non nommés lorsqu’elle est souscrite. Elle calcule la perte par la marge brute, le revenu brut et les coûts supplémentaires raisonnables, sous réserve du délai de carence et des conditions particulières.

Ces exemples contiennent une couverture utile. Ils montrent aussi pourquoi un détenteur d’IPv4 ne devrait pas se fier aux implications. Une annonce non autorisée par un système autonome étranger est-elle un événement « dans » le système informatique de l’assuré? Le système de routage inter-domaine mondial est-il un système informatique partagé? Un RIR exploite-t-il un système uniquement au profit du détenteur, ou pour une communauté régionale? Un fournisseur amont est-il un fournisseur nommé? La dégradation est-elle suffisante, ou le système assuré doit-il être indisponible?

Les réponses dépendent de la formulation et des faits. Les routeurs de périphérie propres du détenteur peuvent rester sains tandis que le trafic entrant est détourné ailleurs. L’application assurée peut être prête mais injoignable depuis les réseaux affectés. Si le déclencheur se concentre sur la compromission du matériel possédé, la localisation physique de la cause devient litigieuse. S’il se concentre sur la perte d’accessibilité aux préfixes stipulés causée par une propagation de route non autorisée, la police peut traiter le péril réel.

Un avenant devrait combler cette distance sémantique avant la souscription, et non demander à un expert en sinistres de réinterpréter « système informatique » après une panne.

Les services de registre ne s’intègrent pas parfaitement dans les cases fournisseurs

Un RIR fournit des services de registre et connexes dans un cadre contractuel et politique. Il n’est pas simplement un fournisseur cloud engagé pour exploiter l’application d’un client.

Lecontrat de services d’enregistrement d’ARINdécrit des services qui incluent les entrées de registre, le service de nom inverse, RPKI, la maintenance des enregistrements et l’administration de l’espace d’adressage. Sa relation avec le détenteur est directement pertinente pour le contrôle de ces services. Lapolitique de transfert d’APNICfait de la position actuelle de détenteur enregistré et de l’absence de litige de statut de ressource des conditions de transfert. Ces documents primaires illustrent l’autorité institutionnelle; ils ne font pas des registres des garants de tout résultat de routage ou commercial.

Pour l’assurance cyber, la question de classification est difficile. Une clause d’interruption d’activité contingente peut couvrir une panne du système informatique d’un fournisseur nommé. Une erreur de registre pourrait ne pas impliquer de panne du système du registre du tout. Le système peut fonctionner exactement comme prévu tandis qu’un enregistrement est modifié sur des preuves frauduleuses ou attribué au mauvais compte. Le résultat nuisible est une autorité incorrecte, pas une indisponibilité de serveur.

La compromission de compte présente une autre frontière. Si les identifiants du souscripteur sont hameçonnés et utilisés dans un portail RIR, la défaillance de sécurité peut commencer sur un système de messagerie ou un compte d’identité assuré. Si un attaquant compromet le registre directement, l’événement se produit chez le fournisseur. Si un membre du personnel traite une instruction authentique mais erronée, l’événement peut être une erreur humaine sans accès non autorisé. Le même enregistrement visible peut résulter de différentes causes assurées.

L’effet diffère également d’une indisponibilité ordinaire d’un fournisseur. Une panne de portail de deux heures peut ne causer aucune perte si aucun changement n’est nécessaire. Un transfert non autorisé de deux minutes peut créer des mois de remédiation. Mesurer uniquement la disponibilité du service manque l’intégrité.

Un avenant de registre devrait donc définir un « événement d’intégrité de registre » en termes fonctionnels: création, suppression, modification, transfert, suspension ou refus d’accès non autorisé ou erroné affectant un enregistrement de ressource numérique stipulé ou une autorisation connexe, par ou via un RIR, NIR ou service de registre approuvé stipulé. Il devrait préciser si les actes malveillants, l’erreur de l’assuré, l’erreur du fournisseur et les documents frauduleux sont couverts.

L’avenant doit préserver les limites institutionnelles. L’assurance ne peut pas ordonner à un RIR de reconnaître un demandeur, de contourner la politique ou d’émettre une ROA. Elle peut payer les frais de réponse couverts, la perte d’exploitation et peut-être les dépenses de remédiation convenues pendant que le processus approprié suit son cours. Le registre reste la source de preuve et le décideur dans son champ de compétence; l’assureur reste le payeur uniquement dans le cadre de son contrat.

Un litige de droits est plus proche du risque de titre que de la sécurité réseau

Supposons qu’une entreprise achète un/16, paie le vendeur et l’annonce avec succès. Plus tard, un ancien affilié allègue que le vendeur n’avait pas autorité. Le registre gèle une demande de transfert. Aucun identifiant n’a été volé, aucun système n’a échoué et aucune route n’était non autorisée selon l’accord d’exploitation. Pourtant, l’acheteur ne peut pas vendre ou financer le bloc comme prévu.

Ce n’est pas le même péril qu’un détournement. La perte peut découler de garanties, d’autorité d’entreprise, de rupture de contrat, de priorité de créancier ou d’une décision de justice. La criminalistique cyber peut peu contribuer. La preuve décisive est transactionnelle.

La formulation cyber ordinaire peut exclure ou limiter précisément ces litiges. Le spécimen Allianz contient une exclusion de responsabilité contractuelle sous réserve d’exceptions énoncées et une exclusion concernant les litiges de propriété intellectuelle et de licence, tandis que sa définition de perte d’exploitation exclut certaines pertes dues à la suspension ou l’annulation de contrats et de licences. Le spécimen Chubb exclut certains litiges de propriété intellectuelle et stipule que les coûts de récupération des données n’incluent pas la valeur économique ou de marché des données.

Ces clauses ne tranchent pas une hypothétique réclamation IPv4; elles démontrent pourquoi un « actif incorporel » n’est pas automatiquement un « bien cyber couvert ».

Les ressources numériques résistent également aux hypothèses familières de l’assurance titres. Les accords RIR et les politiques régionales définissent les droits d’enregistrement et de service dans un langage différent. L’accord actuel d’ARIN identifie un ensemble de droits spécifiés dans sa base de données et en vertu de la politique. APNIC dit que le cédant n’a plus de droits sur les ressources transférées après l’achèvement et que le destinataire devient le détenteur enregistré. Un tribunal ou un contrat peut traiter des intérêts en dehors de la relation de registre, mais l’assureur doit savoir quel intérêt il assure.

Si le marché veut une couverture des droits, elle doit être souscrite séparément. La proposition pourrait couvrir les frais de défense pour une contestation inconnue d’un tiers, la perte causée par une décision défavorable finale, ou la défaillance de représentations de transfert spécifiées. Elle nécessiterait un état des préfixes exacts, une diligence sur la chaîne de contrôle, des accords nommés, une exclusion des litiges connus, une base d’évaluation, un choix de loi, des obligations de coopération et des droits de subrogation contre les vendeurs ou conseillers.

Ce produit ressemblerait à l’assurance titres spécialisée, aux garanties de représentation ou à l’assurance de risque transactionnel plus qu’à la perte d’exploitation réseau ordinaire. Cela pourrait être précieux. L’appeler couverture cyber sans conditions distinctes obscurcirait à la fois les attentes de souscription et des souscripteurs.

Le risque de droits a aussi un problème d’aléa moral. L’assurance ne devrait pas récompenser un acheteur pour avoir ignoré un défaut évident de la chaîne ou un vendeur pour avoir transféré alors qu’un demandeur connu s’y oppose. Une diligence détaillée n’est pas une bureaucratie ajoutée par les assureurs; c’est la preuve qui rend un intérêt incorporel incertain assurable.

La perte d’exploitation protège le flux de trésorerie, pas l’actif abstrait

Le cas de couverture ordinaire le plus fort après un détournement de route n’est souvent pas la valeur de marché du bloc. C’est la perte de revenus et les dépenses supplémentaires engagées pendant que l’entreprise ne peut pas l’utiliser.

Les polices types définissent généralement la mesure financière. La formulation australienne de Chubb calcule la perte d’exploitation en comparant le bénéfice net attendu et réel avant impôt, sous réserve de délai de carence et de dispositions d’ajustement. La formulation de RSA utilise la marge brute, le revenu brut et les coûts supplémentaires raisonnables de travail. Allianz utilise le résultat opérationnel net projeté et réel avec les tendances et développements commerciaux pertinents. Les conditions particulières, la franchise, la limite et la période d’indemnisation restent décisives.

Une réclamation IPv4 nécessite un contrefactuel lié aux services affectés. Le souscripteur doit identifier quels clients, régions, applications ou transactions étaient injoignables; quand l’effet a commencé; quand il a pris fin; quel revenu se serait probablement produit; quels coûts ont été économisés; et quelles dépenses supplémentaires ont réduit la perte. Une baisse de l’ensemble du chiffre d’affaires de l’entreprise pendant la fenêtre de l’incident n’est pas automatiquement attribuable à la route.

Les données de routage et les données financières fonctionnent sur des horloges différentes. Les collecteurs BGP peuvent montrer quand des observateurs sélectionnés ont reçu une annonce non autorisée. Les journaux d’application peuvent montrer les échecs de requête. Les enregistrements de support client peuvent montrer les utilisateurs affectés. Les données de facturation et de transaction peuvent montrer l’impact économique. La réclamation devrait les aligner plutôt que de choisir l’intervalle le plus long de chacun.

L’interruption partielle exige un dénominateur défendable. Si 30 des 200 emplacements de surveillance ont échoué, cela ne prouve pas que 15 % du revenu a été perdu. Les emplacements peuvent ne pas représenter le trafic client. Si une région de paiement a échoué, l’effet sur le revenu dépend de la demande réelle. Aucun taux de conversion global ne peut être soutenu par les preuves publiques disponibles.

Les dépenses supplémentaires peuvent être plus prouvables: transit d’urgence, support DDoS ou de routage, réponse à incident, infrastructure temporaire, communication client, comptabilité judiciaire, heures supplémentaires lorsque couvertes, et remédiation accélérée. Un consentement préalable et des fournisseurs approuvés peuvent être requis. Le détenteur devrait connaître ces conditions avant d’autoriser une réponse coûteuse.

La période de restauration a également besoin d’une définition IPv4. La restauration est-elle atteinte lorsque la fausse route disparaît, lorsque l’accessibilité prévue revient, lorsque l’état RPKI est correct, lorsque l’enregistrement de registre est restauré, ou lorsque les systèmes de réputation dépendants se normalisent? Une police peut choisir. Le silence produit un argument.

La perte d’exploitation est donc un pont de trésorerie à travers un événement couvert. Ce n’est pas une police d’évaluation pour l’actif en capital permanent.

La restauration de données n’est pas la restauration de ressources numériques

Les polices cyber paient généralement pour récupérer ou reconstruire des données et restaurer des systèmes. Un détenteur d’IPv4 peut raisonnablement penser que la correction d’un enregistrement RIR ou d’un objet de routage est une restauration de données. L’analogie a des limites.

Un enregistrement de registre est une information électronique, mais son autorité découle de l’institution qui le maintient. Le souscripteur ne peut pas restaurer une sauvegarde locale et ainsi annuler un transfert officiel. Une ROA est un objet signé dans une hiérarchie de certification; copier le fichier d’hier ne recrée pas l’autorité actuelle. L’accessibilité BGP émerge de l’acceptation par d’autres réseaux. Ce sont des états régis, pas simplement des fichiers perdus.

Le spécimen Chubb est particulièrement instructif. Il couvre les coûts raisonnables pour récupérer ou reconstruire des données endommagées, compromises ou perdues et pour réparer ou restaurer les logiciels, sous réserve de définitions et de limites. Il stipule également que les coûts de récupération des données et des systèmes n’incluent pas la valeur économique ou de marché des données. Même si un enregistrement de ressource numérique était traité comme des données pour une clause, cela ne ferait pas nécessairement de la valeur de marché du bloc un coût de restauration.

La restauration devrait être séparée en quatre tâches.La restauration techniqueramène le routage et le service prévus.La restauration d’autoritéramène le contrôle authentifié du registre et de RPKI.La restauration d’informationcorrige les enregistrements, les configurations et la documentation.La restauration économiquetraite la perte de flux de trésorerie, la valeur de vente, la valeur de financement ou la réputation. Une police peut couvrir une, plusieurs ou aucune.

L’amélioration crée une autre frontière. Après un détournement, le détenteur peut vouloir une nouvelle automatisation RPKI, un transit diversifié, une surveillance et des contrôles de compte. Certaines formulations couvrent étroitement l’amélioration définie lorsque consentie ou moins chère que la restauration à l’identique; d’autres ramènent seulement à l’état antérieur. Le coût d’atteindre une norme de sécurité que le détenteur aurait déjà dû respecter peut être exclu ou limité.

La solution pratique est une définition des coûts de restauration de ressources numériques. Elle peut inclure les coûts raisonnables pour authentifier et corriger les enregistrements de registre stipulés, recréer des ROA et des objets de routage valides, coordonner le retrait et le filtrage, restaurer le DNS inverse, et remédier à la réputation de l’adresse, sous réserve de consentement et de limites. Elle devrait indiquer si les frais de registre, les pétitions juridiques et les coûts de courtage spécialisé sont inclus.

La définition ne devrait pas promettre silencieusement d’acheter un bloc de remplacement. La valeur de remplacement est une exposition différente nécessitant une évaluation convenue et un déclencheur qui établit la perte permanente de l’intérêt stipulé.

Les preuves déterminent quelle police répond

Un assureur enquêtant sur un événement de ressource numérique devrait être en mesure de construire une matrice de preuves alignée dans le temps.

Pour l’intégrité du routage, préservez le préfixe exact, l’origine autorisée, l’origine non autorisée observée, les longueurs d’annonce, les chemins AS, les collecteurs et les points d’observation, les premières et dernières observations, les sessions amont, les changements de filtre et l’état de validation ROA. Les journaux de routeur, les sorties de looking-glass et les données de collecteur de routes doivent être horodatés en UTC. Un collecteur de routes public est une preuve indépendante de l’observation chez ses pairs, pas une carte complète de chaque réseau.

Pour l’intégrité du registre, préservez les identifiants d’organisation et de ressource, la liste des utilisateurs authentifiés, les événements multi-facteurs, l’historique d’audit du portail, les tickets, les enregistrements d’appels, les documents soumis, les instantanés RDAP ou d’annuaire, les changements RPKI, les changements DNS inverse et le statut du transfert. Si le registre fournit un enregistrement formel d’incident ou de correction, conservez-le. Les enregistrements publics peuvent montrer le résultat mais pas qui a authentifié la demande.

Pour les droits, préservez les accords d’acquisition, les états des CIDR exacts, les factures et paiements, les approbations du conseil, les représentations du vendeur, la succession d’entreprise, les documents de fusion, les accords de registre, les transferts antérieurs, les privilèges, la correspondance avec les demandeurs et les ordonnances judiciaires. Une lettre d’autorisation peut soutenir le routage mais peut ne pas établir des droits d’enregistrement transférables.

Pour la perte d’exploitation, préservez la disponibilité des applications, les tickets clients, les tentatives de transaction, les annulations, les crédits de service, les dépenses économisées, les dépenses d’atténuation et les comparateurs historiques. Le calcul doit indiquer la ligne de base non affectée et les tendances. Il doit distinguer l’interruption pendant le délai de carence de la perte après celui-ci.

Pour la réputation, préservez les entrées de liste de blocage, les demandes de retrait de liste, les changements de score de fraude, le courrier ou le trafic API rejeté, les avis clients et les calendriers de remédiation. Évitez d’attribuer chaque perte de client post-événement au détournement sans lien de causalité.

L’assuré doit notifier l’assureur rapidement et obtenir son consentement lorsque requis, tout en préservant la capacité d’agir d’urgence pour protéger le service. La police peut pré-autoriser un panel de spécialistes du routage, des RIR, juridiques et criminalistiques. Un panel de réponse à rançongiciel qui manque d’expertise en routage inter-domaine peut perdre les premières heures à demander si un routeur a été chiffré.

Les preuves protègent également le souscripteur de l’erreur de catégorie. Si les données de route ne montrent aucune origine non autorisée mais que l’historique du registre montre une ROA supprimée, la réclamation n’est pas un détournement classique. Si les deux sont inchangés et qu’un affilié du vendeur envoie une mise en demeure, l’affaire relève du module droits. Une classification correcte accélère à la fois l’analyse du remède et de la couverture.

L’avenant devrait stipuler la surface de contrôle

Une police utile n’a pas besoin d’assurer tout l’Internet. Elle doit stipuler précisément la dépendance du souscripteur.

Les déclarations peuvent lister les préfixes couverts ou un inventaire maintenu objectivement, les AS d’origine couverts, les comptes RIR ou NIR pertinents, les fournisseurs amont autorisés, les services matériels et les fournisseurs dépendants nommés. Les changements pendant la période peuvent être signalés via un processus contrôlé. De très grands portefeuilles peuvent utiliser des catégories avec droits d’audit plutôt que d’imprimer des millions d’adresses, mais la quantité assurée doit rester reproductible.

Unévénement d’intégrité de routagepeut être défini comme une émission BGP non autorisée, une annonce plus spécifique non autorisée, une fuite de route couverte ou une manipulation de chemin malveillante affectant un préfixe stipulé et causant une interruption ou une dégradation mesurable. La définition devrait traiter séparément les événements accidentels, malveillants et les litiges commerciaux. Elle ne devrait pas étiqueter toute défaillance d’accessibilité comme un détournement.

Unévénement d’intégrité de registrepeut couvrir le changement, la suppression, le transfert, la suspension ou le refus d’accès non autorisé ou erroné affectant les services de registre ou RPKI stipulés. La police devrait indiquer si l’erreur du fournisseur et l’erreur humaine de l’assuré sont couvertes, et si le RIR doit être nommé comme service dépendant. La perte d’intégrité ne devrait pas nécessiter que l’ensemble du système du fournisseur soit hors ligne.

Uneclause de dépenses de restauration de ressources numériquespeut payer pour l’enquête spécialisée, la coordination de routage, la correction de registre, la remédiation RPKI, la restauration DNS inverse, le travail de réputation et la capacité temporaire nécessaire. Les conditions particulières peuvent appliquer des limites et des fournisseurs approuvés.

Uneclause de perte d’interruption de réseaupeut couvrir la perte partielle ou totale d’accessibilité, la dégradation définie et la perte de revenus qui en résulte après un délai de carence adapté aux événements de routage. Une franchise temporelle plus courte ou une rétention monétaire peut être plus appropriée qu’un long délai de carence si les incidents sont brefs et coûteux.

Unmodule distinct de défense de droits ou de valeur convenuepeut traiter les réclamations adverses inconnues sous réserve d’une diligence stricte. Il ne doit pas être introduit subrepticement dans la formulation de restauration de données. Les litiges connus, les transferts non autorisés intentionnels, les sanctions et les recours non assurables nécessitent un traitement explicite.

La police doit coordonner les modules. Si une compromission de compte provoque une mauvaise ROA puis une fausse route, un seul événement ne devrait pas attirer des limites ou des rétentions dupliquées à moins que cela ne soit prévu. En même temps, une exclusion dans le module droits ne devrait pas effacer une interruption autrement couverte simplement parce que les parties contestent ultérieurement la propriété. Le langage anti-causalité concomitante, les dispositions d’événements liés et la priorité de couverture exigent une rédaction délibérée.

La précision n’est pas anti-souscripteur. Elle permet à l’assureur de tarifer l’exposition et au détenteur de savoir quel recouvrement attendre.

La souscription devrait récompenser le contrôle plutôt que la seule taille

Compter les adresses est un mauvais indicateur de la perte. Un/16soutenant un service résilient peut présenter moins de risque d’interruption qu’un/22intégré dans une identité de paiement critique avec un seul fournisseur amont et sans ROA.

La souscription devrait commencer par la qualité de l’inventaire. Le demandeur peut-il produire les préfixes exacts, les entités enregistrées, les AS d’origine, les services, les contrats et les valeurs comptables? Les positions possédées et louées sont-elles séparées? Les ressources contestées ou historiques sont-elles identifiées? Un inventaire inconnu n’est pas une diversification; c’est une exposition non mesurée.

Les contrôles de routage comptent. Le souscripteur peut s’enquérir de la couverture ROA et de la discipline de longueur maximale, du filtrage de préfixe amont, de la surveillance de route, du transit diversifié, des contacts d’urgence, de l’approbation des modifications et des procédures de retrait testées. RPKI est précieux mais ne doit pas être traité comme une garantie binaire de sécurité. Le NIST note que la validation d’origine de route atténue une classe de détournements; elle n’élimine pas toute manipulation de chemin ou erreur opérationnelle.

Les contrôles de registre comptent séparément. Le souscripteur peut évaluer l’authentification multi-facteurs, les comptes de rôles, les contacts autorisés de secours, le rapprochement des enregistrements d’entreprise, l’approbation des transferts, la récupération de compte, les changements d’entité juridique et la vérification périodique. Le souscripteur devrait pouvoir montrer qui peut créer une ROA ou demander un transfert et comment une action destructrice est examinée.

Les contrôles de droits incluent la diligence d’acquisition, les états CIDR exacts, l’autorité du vendeur, les garanties, l’achèvement du registre, les recherches de privilèges le cas échéant, la succession d’entreprise et le traitement de l’espace historique. Un historique BGP propre ne compense pas une chaîne d’acquisition brisée.

La continuité d’activité devrait tester la dépendance aux adresses. Le service peut-il utiliser des préfixes alternatifs? Combien de temps les listes blanches des clients mettraient-elles à changer? Une capacité temporaire est-elle disponible? L’entreprise a-t-elle une aide préétablie des fournisseurs amont? Un bloc de remplacement peut être techniquement facile à annoncer et commercialement impossible à substituer parce que les clients font confiance aux anciennes adresses.

Le souscripteur devrait également identifier la concentration. De nombreux assurés peuvent dépendre du même RIR, fournisseur de transit, plateforme cloud, dépôt RPKI ou logiciel de validation de route largement utilisé. Un seul événement peut produire des sinistres corrélés. Lerapport 2022 du GAO sur le risque cyber catastrophiquenote que les assureurs privés ont une exposition limitée aux événements cyber systémiques grâce à des exclusions et autres mesures. Le routage Internet est intrinsèquement systémique, donc l’agrégation ne peut être ignorée.

Aucun de ces contrôles ne fournit une probabilité globale de perte. Les incidents BGP publics, les signalements de fraude et les journaux de transfert ont des dénominateurs et des biais de signalement différents. La souscription devrait tarifer l’incertitude honnêtement plutôt que d’inventer une fréquence à partir des seuls événements visibles.

Les sinistres ont besoin d’un arbre de causes, pas d’une compétition de blâme

Pendant un incident, les opérateurs doivent restaurer le service avant que les avocats ne finissent de nommer le péril. La police devrait soutenir cette priorité tout en préservant les preuves.

La première réunion de sinistre peut utiliser un arbre de causes. Une route non autorisée est-elle apparue? Un état de registre ou RPKI stipulé a-t-il changé? Un système assuré ou fournisseur a-t-il subi un accès non autorisé, une erreur humaine ou une défaillance technique? Un tiers a-t-il fait valoir des droits? Quel événement est arrivé en premier? Quelles pertes ont continué après que chaque état a été corrigé?

Cette séquence empêche une causalité simpliste. Supposons que des identifiants RIR compromis permettent la suppression d’une ROA. Un fournisseur amont non lié rejette ensuite la route légitime comme invalide, causant une interruption. La route immédiate est émise par l’assuré; il n’y a pas de fausse origine. La cause peut être un événement de sécurité de registre conduisant à un rejet par politique de routage. Une police qui ne couvre que le « détournement » pourrait le manquer.

Supposons qu’un fournisseur amont fasse fuiter accidentellement les routes du détenteur, créant une congestion mais aucune origine non autorisée. Le NIST et la pratique opérationnelle distinguent les fuites de route des détournements d’origine même si les deux perturbent le service. L’avenant devrait dire si les fuites sont couvertes.

Supposons qu’un vendeur révoque l’autorisation de routage pendant un litige de paiement. Techniquement, la route peut devenir invalide. Commercialement, l’acte peut découler de l’exécution d’un contrat plutôt que d’une intrusion malveillante. Le module de perte d’exploitation et l’exclusion contractuelle peuvent entrer en conflit à moins que la police n’indique comment l’autorisation contestée est traitée.

L’expert devrait mesurer la perte par phase: détection, événement actif de route ou de registre, restauration technique, normalisation des services dépendants et remédiation de longue traîne. La couverture peut différer par phase. Les coûts de criminalistique et de réponse peuvent s’appliquer immédiatement; la perte d’exploitation peut commencer après un délai de carence; les dépenses de réputation peuvent avoir une limite; le litige de droits peut relever d’ailleurs.

La subrogation dépend également de la catégorie. Le recouvrement contre un acteur malveillant est généralement irréaliste. Le recouvrement contre un fournisseur de service négligent peut être limité par contrat. Le recouvrement contre un vendeur, courtier ou conseiller peut être important dans un transfert défectueux. Le souscripteur doit préserver ces droits et éviter les admissions qui portent préjudice à l’assureur, sous réserve de la police réelle.

Un arbre de causes ne garantit pas le paiement. Il rend le désaccord lisible. L’assureur peut pointer le déclencheur, l’exclusion ou le problème de quantum; le souscripteur peut répondre avec des preuves. C’est préférable à débattre si une adresse est « vraiment une propriété » pendant que les clients restent hors ligne.

Les RIR sont des institutions de preuve, pas des assureurs en dernier ressort

Les registres Internet régionaux occupent une position difficile dans ces sinistres. Leurs enregistrements et pistes d’audit peuvent être décisifs, mais ils ne sont pas parties à la police cyber et ne contrôlent pas toutes les routes.

Un RIR peut authentifier ses événements de compte, expliquer le statut de transfert, corriger les erreurs selon son processus, gérer le service RPKI hébergé et maintenir l’enregistrement public. Il peut dire si une source est le détenteur enregistré actuel selon la politique ou si un litige empêche un transfert. Ces faits peuvent établir la couche registre.

Il ne peut normalement pas prouver le profit perdu du souscripteur, décider comment chaque réseau a routé, évaluer le bloc ou déterminer la couverture d’assurance. Et un assureur ne devrait pas exiger du RIR qu’il qualifie un événement de « vol » avant de payer l’interruption causée par un événement d’intégrité couvert. Le vocabulaire du registre suit son champ institutionnel.

Leformulaire de signalement de fraude d’ARINaccepte les signalements de ressources soupçonnées d’avoir été obtenues frauduleusement ou de modifications non autorisées des enregistrements. C’est un chemin d’incident utile. Il ne publie pas un dénominateur de fraude mondial ni ne promet un remède particulier. La condition de politique d’APNIC excluant les sources contestées du transfert est un contrôle. Elle ne tranche pas tous les litiges privés.

La meilleure conception d’assurance crée un protocole de liaison. L’assuré autorise des spécialistes désignés à communiquer avec le registre, préserve les identifiants de ticket, fournit des documents d’entreprise authentifiés et enregistre les horodatages des décisions. L’assureur finance le coût des spécialistes couverts sans tenter de diriger le registre en dehors de la politique.

Les registres peuvent également améliorer l’assurabilité grâce à un historique de compte exportable, une authentification forte, plusieurs titulaires de rôle, des modifications destructrices différées lorsque c’est sûr, une escalade d’incident claire et un statut de transfert lisible par machine. Ces améliorations réduisent l’incertitude des preuves pour tout le monde, pas seulement pour les assureurs.

Il y a une limite à la transparence. Exposer publiquement les détails de sécurité du compte, les demandeurs ou les documents restreints pourrait créer de nouveaux risques. Les assureurs peuvent recevoir des preuves sous consentement et confidentialité. Les données publiques de transfert et de routage restent utiles mais incomplètes.

Un marché de l’assurance qui respecte ces limites utilisera correctement les preuves des RIR: des preuves solides de l’état d’enregistrement et de service, pas un certificat universel de propriété, de routage ou de perte économique.

Le risque de routage systémique nécessite des décisions explicites de capacité

L’assurance cyber fonctionne mieux lorsque les pertes sont suffisamment indépendantes pour être mutualisées. Le routage Internet est construit sur des dépendances communes.

Une mauvaise route largement propagée peut affecter des milliers de souscripteurs et leurs fournisseurs à la fois. Une défaillance dans une plateforme majeure peut interrompre de nombreux réseaux. Un problème de dépôt RPKI ou de validation peut créer des réponses de routage corrélées. Une campagne liée à un État peut créer des questions d’attribution et d’exclusion de guerre. Ce ne sont pas des raisons de laisser chaque détenteur non assuré; ce sont des raisons de définir l’agrégation.

Lerapport 2021 du GAO sur la cyber-assurancea constaté un marché en évolution dans lequel les clients peuvent avoir du mal à déterminer la couverture parce que les termes clés manquent de définitions standard et que les assureurs sont confrontés à des données historiques limitées. Lerapport 2022 du GAOdécrit la capacité limitée de l’assurance privée à absorber les attaques catastrophiques et note les mesures prises par les assureurs pour limiter l’exposition systémique. L’aperçu de la cybersécurité de la NAICcaractérise également les polices cyber comme hautement personnalisées.

Pour la couverture des ressources numériques, l’assureur devrait indiquer si un événement de routage généralisé, une panne d’infrastructure Internet, une défaillance de fournisseur, un événement lié à la guerre ou une action gouvernementale est exclu, limité ou couvert. Le détenteur ne devrait pas déduire une couverture catastrophe d’une clause conçue pour un seul réseau compromis.

La modélisation de l’agrégation a besoin d’identifiants: RIR, ancre de confiance et dépôt RPKI, logiciel de validation, fournisseurs de transit, plateformes cloud, dépendances DNS et concentration géographique. Les données exactes peuvent être incomplètes. L’assureur peut utiliser des scénarios plutôt qu’une fausse précision: invalidation simultanée, fuite de route majeure, compromission de compte fournisseur, ou interruption de service de registre à l’échelle régionale.

La capacité peut être stratifiée. Les événements de routage courts ordinaires peuvent relever de la police cyber primaire. La couverture des événements généralisés peut avoir une limite distincte et une rétention. La couverture des droits peut rester spécifique à la transaction. La couverture paramétrique basée sur l’accessibilité observée pourrait payer rapidement, mais seulement si l’indice est corrélé à la perte réelle et résiste à la manipulation.

Le souscripteur devrait comprendre le cyber silencieux dans les polices traditionnelles de dommages et de perte d’exploitation. La perte d’exploitation conventionnelle dépend souvent de dommages matériels, tandis que la formulation cyber autonome traite les événements de réseau. Les chevauchements et les lacunes doivent être coordonnés. Une tour contenant des dommages, de la cyber, des erreurs et omissions technologiques, de la fraude et de la couverture transactionnelle devrait identifier quelle couche mène pour chaque péril de ressource numérique.

L’hypothèse systémique la plus dangereuse est qu’une autre police répondra. Une capacité explicite coûte moins cher que de contester le silence.

Une Société des ressources numériques peut créer une discipline assurable

La proposition de la Société des ressources numériques est utile ici parce que l’assurance a besoin de la même chose qu’une bonne intendance: une exposition définie avec un changement contrôlé et des preuves récupérables.

Premièrement, NRS traite les ressources numériques comme des dépendances gérées plutôt que comme une configuration oubliée. Cela encourage des inventaires exacts, des gardiens nommés, un rapprochement de registre, des contrôles de sécurité de routage et des plans de continuité. Un assureur peut souscrire sur ces faits.

Deuxièmement, elle traite le contrôle opérationnel et l’intérêt économique comme liés mais séparés. L’équipe réseau peut prouver l’origine et l’historique de routage. L’équipe registre peut prouver l’état du compte. Les équipes juridique et financière peuvent prouver l’acquisition et les flux de trésorerie. Les sinistres deviennent moins vulnérables à la croyance qu’une seule base de données répond à toutes les questions.

Troisièmement, elle valorise la continuité. Une adresse peut devenir intégrée dans les listes blanches des clients, les accès partenaires, les règles de conformité et l’identité de service. Un court événement de routage peut donc causer une perte d’exploitation disproportionnée par rapport au nombre d’adresses affectées. La souscription basée uniquement sur le nombre d’adresses manque cette dépendance; la cartographie de style NRS la rend visible.

Quatrièmement, elle soutient la prévention. Des ROA précises, des filtres fournisseurs, un accès registre authentifié, des contacts testés et une substitution planifiée réduisent les pertes. L’assurance devrait récompenser ces contrôles sans promettre qu’ils éliminent le risque. Le NIST décrit la validation d’origine de route comme une atténuation, pas une sécurité totale.

La frontière de la preuve reste ferme. NRS ne crée pas de titre, ne force pas une décision RIR, ne prouve pas un taux de perte et ne passe pas outre les exclusions. Elle ne devrait pas commercialiser une « adresse entièrement assurée » lorsque la police réelle ne couvre que les frais de réponse. Le langage institutionnel positif doit être assorti aux conditions particulières.

Le meilleur résultat est une boucle de rétroaction. De meilleurs détenteurs produisent de meilleures preuves. De meilleures preuves permettent des définitions plus étroites et une tarification plus équitable. Une couverture plus claire finance une réponse experte plus rapide. Les données sur les sinistres, correctement protégées, révèlent quels contrôles fonctionnent. Les registres et les opérateurs peuvent améliorer les procédures sans devenir assureurs.

C’est ainsi qu’une société autour des ressources numériques devient économiquement sérieuse: non pas en déclarant chaque préfixe inestimable, mais en rendant le contrôle, la continuité et le risque suffisamment mesurables pour être gouvernés.

La police devrait répondre à douze questions avant la souscription

Un détenteur et un courtier peuvent tester une police proposée avec douze questions.

Les préfixes exacts ou une définition de portefeuille reproductible sont-ils stipulés?
Le système informatique couvert inclut-il l’infrastructure de routage du détenteur et les systèmes externes exploités pertinents?
La propagation de route non autorisée est-elle elle-même un déclencheur, ou le système propre de l’assuré doit-il être compromis?
Les fuites de route, les origines accidentelles, les détournements malveillants et les autorisations contestées sont-ils traités différemment?
L’interruption inclut-elle la perte partielle de joignabilité et la dégradation mesurable?
Quel délai de carence, franchise et période d’indemnisation s’appliquent à un court événement de routage avec une longue traîne?
Le RIR, le NIR, le RPKI et les services amont sont-ils nommés ou inclus fonctionnellement comme dépendances?
L’intégrité du registre couvre-t-elle le changement erroné ainsi que la compromission hostile?
Quels coûts de réponse spécialisée, de correction de registre, de capacité temporaire et de réputation sont couverts, et de qui le consentement préalable est-il requis?
La valeur de marché ou la valeur convenue de la position de ressource numérique est-elle couverte quelque part, ou seulement la perte de flux de trésorerie et les dépenses de restauration?
Comment les exclusions contractuelles, de titre, de propriété intellectuelle, d’infrastructure, de guerre et d’événements connus sont-elles appliquées?
Quels devoirs de preuve, de notification, de coopération, d’évaluation et de subrogation l’assuré doit-il remplir?

Si les réponses ne sont pas dans la formulation, les avenants et les conditions particulières, une présentation commerciale ne peut les fournir. Les résumés de produit disent couramment « perte d’exploitation » sans définir le système, le déclencheur ou la perte. Le contrat le fait.

Le détenteur devrait ensuite effectuer trois exercices de table. Dans le premier, une fausse origine détourne la moitié du trafic observé pendant quarante minutes et les défaillances client persistent six heures. Dans le deuxième, un changement de registre authentifié mais frauduleux désactive le contrôle ROA pendant deux jours. Dans le troisième, un affilié pré-acquisition fait valoir des droits et gèle une vente planifiée sans perturber les routes. Le courtier et le souscripteur devraient identifier la clause, la rétention, les preuves et la perte probable non couverte pour chacun.

Toute réponse qui traite les trois comme le même sinistre est un avertissement. Toute réponse qui garantit le paiement sans examiner les définitions est pire.

Le but n’est pas d’éliminer toute ambiguïté. L’assurance applique toujours des mots à des faits imprévus. Le but est de placer les frontières prévisibles là où les deux parties peuvent les voir.

Assurez la perte qui peut réellement se produire

Le bloc IPv4 ne disparaît pas lorsqu’une mauvaise annonce BGP apparaît. Ce qui peut disparaître, c’est la joignabilité, le contrôle fiable, la possibilité de vente, les revenus ou la confiance. Chacun ne peut être assuré que s’il est nommé et mesuré.

Les événements de routage relèvent principalement d’un module d’interruption réseau et de réponse. Le déclencheur devrait refléter la joignabilité non autorisée, pas la possession physique de l’adresse. Les erreurs de registre relèvent d’un module d’intégrité et de service dépendant qui couvre l’état d’autorité erroné ainsi que la panne du système. Les litiges de propriété relèvent, s’ils sont couverts, d’un module de droits ou transactionnel séparément diligenté. La réputation et la remédiation de longue traîne ont besoin de leurs propres limites et période.

Cette séparation est bonne pour les assureurs. Elle empêche une prime ordinaire de perte d’exploitation de porter silencieusement la valeur d’actif contestée. Elle rend l’agrégation visible. Elle oriente les experts vers les bonnes preuves.

Elle est également bonne pour les détenteurs. Ils peuvent voir qu’un assureur peut payer les coûts d’investigation et le profit perdu sans acheter un bloc de remplacement. Ils peuvent aligner les contrôles de registre, de routage, juridiques et financiers. Ils peuvent choisir si la couverture des droits vaut sa diligence et son prix.

Aucune source publique ne fournit un pourcentage mondial de détournements IPv4 produisant une perte assurée, d’erreurs de registre devenant permanentes, ou de litiges de propriété qui battent les détenteurs. Les incidents visibles manquent d’un dénominateur commun, et les sinistres privés ne sont pas publiés de manière exhaustive. Une police honnête ne devrait pas dépendre de certitudes inventées.

La réponse finale à la question de savoir si l’assurance cyber couvre un actif de ressource numérique est conditionnelle mais utile. Elle peut couvrir des conséquences importantes. Elle ne devrait pas être présumée couvrir la valeur juridique ou de marché de l’actif. La lacune peut être réduite par des avenants précis, des dépendances stipulées, des délais de carence adaptés et un protocole de preuve de sinistre.

Un actif en capital détourné a besoin de plus qu’une étiquette cyber. Il a besoin d’une police qui connaît la différence entre la route, le registre et le droit.

La police d’assurance pour un actif capital détourné