Efter et cyberangreb står virksomheden ofte med et krav mod sit forsikringsselskab: driftstab, gendannelse, rådgivning og eventuelle krav fra kunder. Forsikringsselskabet vil have dokumentation for, hvad der skete, hvornår, og hvad det har kostet. Opstår der uenighed om dækning, bliver den tekniske dokumentation afgørende. Denne artikel handler om den civile side. Anmeldelse til politiet håndteres af politiet.
Advokatens rolle i de første dage
Advokaten kommer ofte ind, mens IT-afdelingen og et incident response-team stadig arbejder på at genoprette driften. Det er netop her, dokumentationen til den senere forsikringssag bliver til eller går tabt. Advokaten kan med fordel sikre, at nogen har ansvaret for at bevare spor, og at det ikke kun er driften, der styrer beslutningerne.
Spørg klienten:
- Hvornår blev angrebet opdaget, og af hvem?
- Hvem er i gang med at håndtere det: egen IT, en IT-leverandør eller forsikringens incident response-team?
- Er der allerede geninstalleret, gendannet fra backup eller slettet noget?
- Er forsikringsselskabet underrettet, og hvornår?
- Hvem fører log over, hvad der bliver gjort, og hvornår?
- Har klienten kommunikeret med angriberen?
→ Bevissikring efter cyberangreb
Hvad forsikringsselskabet typisk vil vide
- Hvornår startede angrebet? · Logs, alarmer, første tegn
- Hvordan kom angriberen ind? · Analyse af indgangsvej
- Hvilke systemer blev ramt? · Oversigt over påvirkede systemer
- Hvornår blev det opdaget og meldt? · Tidslinje for opdagelse og anmeldelse
- Hvad var sikkerhedsniveauet? · Opsætning, opdateringer, MFA, backup
- Hvad har det kostet? · Fakturaer, timeforbrug, driftstab
Tidslinjen er central
En tidslinje fra de første tegn til normal drift binder dokumentationen sammen. Den bør bygge på sikrede logs og ikke på hukommelse. → Tidslinjeanalyse
En brugbar tidslinje skelner mellem tre slags tidspunkter: hvornår noget skete i systemerne, hvornår det blev opdaget, og hvornår der blev reageret. Forsikringsselskabet ser ofte på afstanden mellem dem. Hver hændelse på tidslinjen bør have en kilde, fx en bestemt log, og tidspunkter fra forskellige systemer skal bringes på samme tidszone. → Tidsstempler og tidszoner
Hvad logs kan og ikke kan vise
Logs kan vise, at en konto loggede ind, at en fil blev krypteret, eller at data blev sendt ud. De viser sjældent med sikkerhed, hvad der blev sendt, eller hvem der sad bag. Mangler der logs fra en periode, fordi de ikke blev gemt længe nok, kan forløbet i den periode ikke dokumenteres. Det bør fremgå af tidslinjen, hvor der er huller, frem for at hullerne udfyldes med antagelser. → Firewall-, VPN- og loginlogs
Tvister om dækning
Uenighed opstår typisk om:
- Sikkerhedskrav i policen: Var MFA, backup eller opdateringer på plads som krævet?
- Tidspunkt: Lå angrebet inden for forsikringsperioden?
- Årsag: Er skaden dækket af den type hændelse, policen omfatter?
- Omfang: Hvilke omkostninger er en følge af angrebet?
Hver af disse kan kræve en uvildig teknisk vurdering.
Sikkerhedskrav: dokumentér tilstanden før angrebet
Forsikringsselskabet kan spørge, om sikkerhedskravene var opfyldt på angrebstidspunktet, ikke på det tidspunkt, hvor nogen kigger efter. Efter et angreb bliver opsætningen ofte strammet hurtigt. Det er godt for sikkerheden, men det kan gøre det svært at vise, hvordan den var før. Sikr derfor eksport af indstillinger, politikker for MFA, opdateringsstatus og backupjob, før de ændres, og gem ældre dokumentation, fx en IT-leverandørs rapporter eller en tidligere spørgeskemabesvarelse til forsikringen.
Spørgeskemaer, som klienten har udfyldt ved tegning eller fornyelse af forsikringen, er særligt vigtige. Svarene kan blive sammenholdt med de tekniske fund. Bed klienten finde dem frem tidligt.
Sikring kommer før genopretning
Under et angreb er fokus på at få systemerne op at køre. Men hvis systemerne geninstalleres, før der er sikret beviser, kan det være svært bagefter at dokumentere forløbet. Sikr derfor, så vidt det er muligt:
- logs fra firewall, servere og cloud, → Logs og logrotation
- forensiske kopier af nøglesystemer,
- kopier af løsesumsbeskeder og kommunikation med angriberen,
- dokumentation af sikkerhedsopsætningen, som den var.
Hvor det ikke er muligt at vente, kan et kompromis være at sikre de ramte systemer som filer, fx virtuelle maskiner, før de genopbygges. Det tager ofte kortere tid end en fuld undersøgelse og bevarer muligheden for en senere analyse. → Virtuelle maskiner og servere
Incident response og bevissikring
Mange forsikringer giver adgang til et incident response-team. Deres opgave er primært at stoppe angrebet. Spørg, hvordan de dokumenterer, og få en kopi af deres rapport og de sikrede data. Overvej en uvildig vurdering, hvis der opstår uenighed med forsikringsselskabet.
Vær opmærksom på, at et team, forsikringsselskabet har udpeget, arbejder i en relation, hvor forsikringsselskabet også er part i en eventuel dækningstvist. Det er ikke i sig selv et problem, men det er en grund til at sikre, at klienten får de rå data og ikke kun konklusionerne.
Når forsikringsselskabet har en teknisk vurdering
Afviser forsikringsselskabet helt eller delvist, sker det ofte med henvisning til en teknisk rapport. Den bør læses med samme kritiske blik som enhver anden sagkyndig rapport. Spørgsmål, der er værd at stille:
- Hvilke data bygger rapporten på? Er der tale om rå logs og kopier, eller om klientens egne oplysninger og et udfyldt spørgeskema?
- Hvornår er tilstanden vurderet? En konstatering af manglende MFA kan bygge på opsætningen efter angrebet, hvor ændringer kan være sket.
- Er indgangsvejen fastslået eller formodet? Mange rapporter angiver den mest sandsynlige indgangsvej. Det er en vurdering, ikke et fund, og der kan være alternative forklaringer.
- Er årsagssammenhængen beskrevet? At et sikkerhedskrav ikke var opfyldt, viser ikke i sig selv, at det var den vej, angriberen kom ind.
- Kan resultaterne efterprøves? Bed om de underliggende data, så en uvildig IT-sagkyndig kan gennemgå dem.
En egen teknisk gennemgang kan munde ud i bemærkninger til rapporten, supplerende spørgsmål eller en erklæring. → Sådan læser du en IT-sagkyndig rapport → Forsikringens afvisning med henvisning til svig
Dokumentation af omkostninger
Omkostningerne opstår løbende og fra mange kilder. Bed klienten oprette en samlet oversigt fra første dag:
- fakturaer fra IT-leverandører og rådgivere med beskrivelse af opgaven,
- interne timer brugt på håndtering og genopretning,
- dokumentation for driftstab, fx systemer, der var nede, og hvor længe,
- udgifter til nyt udstyr eller nye licenser.
Den tekniske tidslinje kan understøtte driftstabet, fordi den viser, hvornår systemerne faktisk var nede og oppe igen.
Krav fra og mod tredjeparter
Et angreb kan føre til krav fra kunder, hvis data er lækket, eller krav mod en IT-leverandør, hvis sikkerheden var mangelfuld. Det kræver samme grundige dokumentation. → Tvister om IT-projekter
Er det klientens leverandør, der er ramt, ser sagen anderledes ud. Så ligger beviserne hos leverandøren. → Når leverandøren blev hacket
Typiske fejl
- Systemer geninstalleres, før logs og kopier er sikret.
- Sikkerhedsopsætningen ændres uden at dokumentere, hvordan den var.
- Kun incident response-rapportens konklusioner modtages, ikke de underliggende data.
- Omkostninger samles først, når forsikringsselskabet beder om dem.
Tjekliste til advokaten
- ☐ Policen og dens sikkerhedskrav er gennemgået
- ☐ Logs og kopier er sikret før genopretning
- ☐ Sikkerhedsopsætningen før angrebet er dokumenteret
- ☐ Tidslinje er udarbejdet på grundlag af data
- ☐ Incident response-rapport og underliggende data er modtaget
- ☐ Omkostninger er dokumenteret løbende
- ☐ Anmeldelse til forsikring og myndigheder er dokumenteret med tidspunkt
→ Haster det? Sådan sikres beviserne nu · Tlf. 70 13 63 23 · Digital bevissikring for advokater hos Nielco IT
