Driftstabet efter et cyberangreb dokumenteres ved at sammenligne det, der faktisk skete i den ramte periode, med det, der med rimelighed ville være sket uden angrebet. Opgørelsen skal bygge på tal fra jeres egne systemer og på en teknisk tidslinje, der viser, hvornår systemerne var nede, og hvornår de virkede igen. Uden den kobling bliver tabet en påstand, som en forsikring, en leverandør eller en voldgiftsret har let ved at bestride.
Artiklen er til økonomichefen, direktøren og IT-chefen i ugerne efter angrebet, når driften kører igen, og tabet skal gøres op. Hvad der skal registreres i de første kaotiske dage, er beskrevet for sig. → Ransomware: hvad skal forsikringsselskabet have dokumenteret?
Hvad hører med i driftstabet?
Policer og aftaler definerer driftstab forskelligt, så læs jeres egne vilkår. Opgørelsen indeholder typisk flere dele, og de skal holdes adskilt:
- Tabt dækningsbidrag · Ordrer, der ikke blev modtaget eller leveret
- Ekstraudgifter · Overarbejde, manuelle arbejdsgange, midlertidige løsninger
- Genopretning · Eksterne konsulenter, nyt udstyr, licenser
- Krav fra andre · Bod eller kompensation til kunder
- Interne timer · Medarbejdere, der arbejdede med hændelsen i stedet for drift
Hold også øje med, hvad der ikke hører med. Udgifter til forbedringer, I alligevel havde planlagt, eller til et nyt system, der er bedre end det gamle, bliver ofte trukket ud af en opgørelse.
Hvad gør I nu, i rækkefølge
- Find vilkårene. Hvad dækker policen eller aftalen, hvilken periode gælder, og hvordan skal tabet opgøres?
- Fastlæg den ramte periode. Fra hvornår driften blev påvirket, til den var normal igen. Det er ikke nødvendigvis den dag, systemerne kom op.
- Vælg et sammenligningsgrundlag. Typisk samme periode året før, de foregående måneder eller et budget. Skriv ned, hvorfor I valgte netop det.
- Hent tallene fra systemerne. Ordrer, fakturering, produktion, kundehenvendelser og timer, som udtræk med dato.
- Kobl tallene til den tekniske tidslinje. Hvert fald i aktivitet skal kunne forklares med, hvad der var nede.
- Saml bilag. Fakturaer, timesedler, mails fra kunder og aftaler om kompensation.
- Skriv en kort forklaring til opgørelsen: metode, kilder og forbehold.
Den tekniske tidslinje er grundlaget
Økonomi kan opgøre, hvor meget omsætningen faldt. Men det er den tekniske tidslinje, der viser, at faldet skyldes angrebet. Den skal bygge på data, ikke på hukommelse:
- hvornår de enkelte systemer blev ramt, isoleret og genetableret,
- hvornår brugerne fik adgang igen, og om det var fuld eller delvis adgang,
- hvilke data der måtte genskabes, og fra hvilket tidspunkt,
- perioder, hvor systemet kørte, men var for langsomt til normal brug.
Kilderne er blandt andet logs fra servere og netværk, overvågning, sager i jeres supportsystem og notater fra genopretningen. Bed IT eller jeres IT-leverandør om at gemme dem nu. De har ofte kort levetid. → Hvor længe skal virksomheden gemme logs?
Når driften kom tilbage i etaper
Efter et angreb kommer driften sjældent tilbage på én dag. Først kører mail og de vigtigste systemer, så kommer økonomisystemet, og til sidst er historiske data gendannet. I perioden imellem arbejder medarbejderne langsommere, laver ting manuelt eller må taste data ind igen.
Den periode bliver ofte overset, fordi systemerne formelt kører. Men tabet kan være stort. Del derfor den ramte periode op i faser: hvad var nede, hvad kørte delvist, og hvornår var alt normalt. Beskriv for hver fase, hvordan arbejdet faktisk blev udført, og hvilke opgaver der blev udskudt. Dokumentér også efterslæbet: ordrer, der først blev behandlet uger senere, og fakturaer, der blev sendt for sent. Kundehenvendelser og klager fra perioden kan vise, hvordan forsinkelsen ramte kunderne.
Sammenligningsgrundlaget skal kunne forsvares
Den mest almindelige indvending mod en opgørelse er, at sammenligningen er forkert. Måske var sæsonen anderledes, en stor kunde var allerede på vej væk, eller et nyt produkt trak omsætningen op. Tænk den slags indvendinger igennem på forhånd, og skriv dem ind i forklaringen.
Brug flere sammenligninger, hvis det giver mening, og vis forskellen mellem dem. En opgørelse, der viser jeres overvejelser, er mere troværdig end ét tal uden begrundelse. Undgå runde tal og skøn uden kilde.
Ekstraudgifter og interne timer
Ekstraudgifterne er ofte lettere at dokumentere end det tabte dækningsbidrag, fordi der findes fakturaer. Sørg for, at hver faktura har en kort beskrivelse af, hvad den dækker, og hvorfor udgiften skyldtes angrebet.
Interne timer er sværere. Har medarbejderne ikke registreret tiden løbende, så lav en rekonstruktion nu, mens de kan huske det, og skriv tydeligt, at den er lavet bagefter, og hvordan. Brug kalendere, mails og sager som støtte. Det er bedre at vise en rimelig metode end at opgive posten.
Hvem gør hvad
- Direktør · Godkender metoden og ejer kontakten til forsikring og advokat
- Økonomi · Opgør tab, ekstraudgifter og interne timer
- IT-chef · Leverer den tekniske tidslinje og bevarer logs
- Salg og drift · Dokumenterer tabte ordrer og kundehenvendelser
- Revisor · Kan bistå med tal og sammenligningsgrundlag
- IT-sagkyndig · Underbygger tidslinjen med data uvildigt
Det skal I lade være med
- Blande dele sammen. Hold tabt dækningsbidrag, ekstraudgifter og interne timer adskilt, så de ikke tælles to gange.
- Medtage forbedringer som en del af tabet uden at markere det.
- Lade IT skrive tidslinjen ud fra hukommelsen. Den skal pege på logs og sager.
- Slette de gamle systemer, før opgørelsen er accepteret. De kan være jeres bevis for, hvornår noget virkede.
- Sende forskellige opgørelser til forskellige modtagere. Forsikring, leverandør og revisor skal kunne se det samme grundlag.
Én opgørelse, flere modtagere
Den samme opgørelse kan blive brugt over for forsikringen, i et krav mod en IT-leverandør og i årsregnskabet. Det er en grund til at lave den grundigt én gang. Hvis forsikringen dækker en del af tabet, kan resten måske indgå i et krav mod andre. Forsikringen kan også selv rejse krav, når den har betalt. Hold styr på, hvad der er dækket og af hvem. → Krav mod IT-leverandøren efter et angreb
Afviser forsikringen noget af tabet, er en velbegrundet opgørelse jeres udgangspunkt. → Cyberforsikringen afviser kravet
Hvornår skal I have hjælp udefra?
Når tabet er stort, når der er uenighed om, hvornår systemerne faktisk virkede igen, eller når opgørelsen skal bruges i en tvist. En uvildig IT-sagkyndig kan underbygge den tekniske tidslinje med data, så den kan efterprøves. Nielco IT har indsigt i og erfaring med incident response og hackerangreb og arbejder uvildigt ved siden af den IR-leverandør, der har genetableret driften. → Forsikringssager efter cyberangreb
Læs også: Hjemmesiden eller webshoppen er hacket: sikr sporene før genopretning · Krav mod IT-leverandøren efter et angreb: det skal I have dokumenteret
→ Hacket eller snydt? Hjælp til virksomheden · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
