Når driften kører igen efter et cyberangreb, begynder arbejdet med at gøre tabet op. Opgørelsen skal bruges over for forsikringsselskabet, og ofte også i et krav mod en IT-leverandør eller som forsvar mod krav fra kunder. I alle tre situationer bliver den samme indvending rejst: Hvilke poster er en følge af angrebet, og hvilke ville virksomheden have haft alligevel?
Det er den indvending, denne artikel handler om. Hvordan dokumentationen til forsikringsselskabet sikres i de første dage, og hvor dækningstvister typisk opstår, er beskrevet i Forsikringssager efter cyberangreb. Her er fokus på selve opgørelsen og på, hvordan hver post kan bindes til tekniske data. Hvilke poster der kan kræves dækket eller erstattet, afhænger af policen, aftalen og erstatningsretten, og det er advokatens vurdering.
Opgørelsen består af forskellige slags poster
Et tab efter et angreb er ikke én størrelse. Set fra IT-siden er det nyttigt at skelne mellem fire grupper, fordi de dokumenteres på hver sin måde:
- Undersøgelse og inddæmning · Indgrebslog, fakturaer med opgavebeskrivelse, timeregistrering
- Genopretning af systemer og data · Gendannelseslogs, genopsætning pr. system, indkøb af udstyr og licenser
- Driftstab · Nedetid pr. system, aktivitetsdata før, under og efter hændelsen
- Forøgede omkostninger · Nødprocedurer, manuel efterregistrering, ekstra vagter og overarbejde
Krav fra kunder eller myndigheder er en femte gruppe, men den opgøres typisk for sig, fordi den afhænger af, hvilke data der blev berørt. Om det, se Erstatning efter persondatabrud.
Genopretning eller forbedring?
Den mest omstridte grænse i mange opgørelser går mellem at genskabe det, der var, og at forbedre det. Efter et angreb benytter virksomheder ofte lejligheden til at opgradere: nyt styresystem i stedet for det gamle, ny backupløsning, flerfaktorgodkendelse på alle konti, overvågning døgnet rundt. Det er fornuftigt, men forsikringsselskabet eller modparten vil spørge, hvilken del af udgiften der skyldes angrebet.
IT-siden kan ikke afgøre, hvordan forbedringer skal behandles juridisk. Den kan derimod dokumentere tilstanden før angrebet, så det er muligt at se, hvad der faktisk blev genskabt, og hvad der blev tilføjet. Det kræver, at opsætningen før angrebet er sikret, og at genopretningen er beskrevet system for system. → Skadesundersøgelse for forsikringsselskabet: årsag, tidslinje og omfang på digitalforensics.dk
Bed klienten holde to lister fra første dag: en over det, der genskabes, og en over det, der ændres eller købes nyt. Det er langt lettere end at skille dem ad bagefter.
Driftstabet hviler på tidspunkter
Et driftstab opgøres i kroner af revisor eller økonomifunktionen. Men grundlaget er tekniske tidspunkter: hvornår faldt hvert system ud, hvornår var det delvist i drift, og hvornår var det fuldt tilbage. Tre forhold går igen:
- Nedetid er ikke ens for alle systemer. Ordresystemet kan have været nede i en uge, mens mail kørte efter en dag. En samlet “nedetid” for hele virksomheden er sjældent præcis nok.
- Delvis drift tæller. Mange virksomheder arbejder videre på papir eller i reservesystemer. Aktiviteten falder, men stopper ikke. Opgørelsen skal kunne vise forskellen.
- Indhentning efter genstart. Ordrer, der blev registreret bagefter, er ikke nødvendigvis tabt omsætning. Data fra ordre- og økonomisystemet kan vise, hvad der blev indhentet.
Den tekniske side af nedetid, genopretningstid og aktivitetsdata er beskrevet i Driftstab og genopretningstid: tekniske data til tabsopgørelsen på digitalforensics.dk. Hvordan virksomheden selv kan holde styr på tabet undervejs, står på bevissikring-digitalt.dk i Underret forsikringsselskabet: hvornår og med hvad?.
Hvorfor tog genopretningen så lang tid?
Varigheden er ofte selve tvisten. Forsikringsselskabet eller modparten kan gøre gældende, at genopretningen kunne være sket hurtigere, og at en del af driftstabet derfor ikke skyldes angrebet. Spørgsmålene er tekniske:
- Fandtes der en brugbar backup, og hvor gammel var den? → Backuppen virkede ikke
- Hvor lang tid tog selve gendannelsen, og hvad begrænsede den?
- Var der perioder, hvor arbejdet stod stille, fx mens der ventede på udstyr, licenser eller en beslutning?
- Blev systemer holdt nede for at sikre beviser, og var det nødvendigt?
Det sidste punkt er værd at have styr på. Sikring af beviser kan forlænge nedetiden en smule, og det bør fremgå af indgrebsloggen, hvorfor og hvor længe. En dokumenteret afvejning er lettere at forsvare end en forsinkelse, ingen kan forklare.
Interne timer og eksterne fakturaer
Eksterne fakturaer er lette at fremlægge, men de er kun brugbare, hvis de beskriver opgaven. En faktura med teksten “konsulentbistand” kan ikke henføres til angrebet. Bed leverandører om at specificere, hvilke systemer og opgaver timerne vedrører.
Interne timer er sværere. De skal registreres løbende og adskilles fra almindelig drift. Mange IT-medarbejdere arbejder i døgndrift i de første dage uden at registrere noget. Ticketsystemet, indgrebsloggen og loginlogs kan bagefter understøtte en rekonstruktion, men de erstatter ikke en løbende registrering. Samme problem kendes fra sager om datatyveri. → Opgørelse af tab ved datatyveri
Samme opgørelse, flere modtagere
Opgørelsen bruges ofte flere steder: over for forsikringsselskabet, i et regreskrav og i en eventuel sag mod IT-leverandøren. Det har to konsekvenser. For det første skal tal og tidspunkter være de samme overalt. For det andet vil en modpart, der ikke deltog i forsikringssagen, efterprøve grundlaget fra bunden. Byg derfor opgørelsen, så hver post kan føres tilbage til en kilde. → Regres mod IT-leverandøren efter et cyberangreb
Afviser forsikringsselskabet dele af opgørelsen, er det ofte med henvisning til en teknisk vurdering af årsag eller varighed. Den kan efterprøves på samme måde som andre sagkyndige rapporter. → Sådan læser du en IT-sagkyndig rapport · Cyberforsikringen afviser kravet
Hvad en IT-sagkyndig kan undersøge, og hvad der ikke kan konkluderes
En IT-sagkyndig kan fastlægge nedetid og genopretningstid pr. system ud fra logs, overvågningsdata og gendannelseslogs. Den sagkyndige kan beskrive tilstanden før angrebet og skelne mellem genskabelse og ændringer, vurdere om genopretningsforløbet var teknisk forsvarligt, og sammenstille aktivitetsdata før, under og efter hændelsen.
Den sagkyndige kan ikke opgøre tabet i kroner eller afgøre, hvilke poster policen dækker. Aktivitetsdata viser et fald, men ikke alene, at faldet skyldes angrebet. Markedsforhold, sæson og kundernes egne forhold skal vurderes af andre. Mangler logs fra perioden, kan nedetiden kun fastlægges med den usikkerhed, de øvrige kilder giver.
Spørgsmål til klienten
- Hvilke systemer var nede, og hvem kan oplyse, hvornår hvert af dem kom tilbage?
- Er der arbejdet videre manuelt, og er det registreret?
- Hvad er genskabt, og hvad er ændret eller købt nyt efter angrebet?
- Registreres interne timer særskilt, og fra hvilken dato?
- Specificerer eksterne leverandører deres fakturaer pr. opgave?
- Er der i samme periode sket andet, der påvirker omsætningen?
Typiske fejl
- En samlet nedetid for hele virksomheden i stedet for tidspunkter pr. system.
- Forbedringer og genopretning blandes i samme faktura eller post.
- Interne timer rekonstrueres først, når forsikringsselskabet spørger.
- Ordrer indhentet efter genstarten tælles som tabt omsætning.
- Forsinkelser i genopretningen er ikke forklaret i indgrebsloggen.
Tjekliste
- ☐ Poster opdelt i undersøgelse, genopretning, driftstab og forøgede omkostninger
- ☐ Tidspunkter for udfald og genstart dokumenteret pr. system
- ☐ Tilstanden før angrebet sikret som grundlag for at skille genskabelse fra forbedring
- ☐ Aktivitetsdata for perioden før, under og efter hændelsen bevaret
- ☐ Interne timer registreret løbende og adskilt fra almindelig drift
- ☐ Eksterne fakturaer specificeret pr. opgave og system
- ☐ Opgørelsen bygget, så den kan genbruges i en regres- eller leverandørsag
→ Send en sag · Tlf. 70 13 63 23 · IT-sagkyndig bistand til advokater hos Nielco IT
