Et krav mod IT-leverandøren efter et cyberangreb kræver, at I kan dokumentere fire ting: hvad leverandøren skulle gøre efter aftalen, hvad leverandøren faktisk gjorde, hvordan angriberen kom ind, og hvad det har kostet jer. Det er sammenhængen mellem de fire, der bærer et krav. Mangler et af leddene, er det svært at komme videre, uanset hvor meget tabet har ramt virksomheden.
Artiklen er til ledelsen og IT-chefen i en virksomhed, hvor driften helt eller delvis ligger hos en ekstern leverandør. Den juridiske side af tvisten er beskrevet for advokater. → Cyberangreb: tvisten med IT-leverandøren
Fire led, der skal hænge sammen
- Aftalen · Hvad var leverandøren forpligtet til?
- Udførelsen · Hvad gjorde leverandøren i praksis?
- Årsagen · Hvordan kom angriberen ind, og hvad muliggjorde det?
- Tabet · Hvad har angrebet kostet, og hvad skyldes netop fejlen?
Det er sjældent nok at vise, at leverandøren havde ansvaret for driften. I skal kunne pege på en konkret forpligtelse, fx opdateringer, backup, overvågning eller totrinslogin, og vise, at den ikke blev opfyldt, og at det havde betydning for angrebet eller for tabet.
Hvad gør I nu, i rækkefølge
- Bevar alt. Logs, sikrede kopier, mails, sager og rapporter fra hændelsen må ikke slettes. Bed leverandøren skriftligt om det samme. → Skabelon: intern instruks om at bevare data
- Find aftalegrundlaget. Kontrakt, ydelsesbeskrivelse, SLA, sikkerhedsbilag og tillæg i de underskrevne versioner.
- Find ansvarsbegrænsningen. Mange IT-aftaler begrænser leverandørens ansvar eller udelukker visse tab, fx driftstab. Det afgør, hvad et krav kan omfatte.
- Find fristerne. Aftalen kan kræve reklamation inden for en bestemt periode. → Før I ophæver IT-kontrakten
- Giv forsikringen besked, hvis I ikke allerede har gjort det, og spørg, hvordan selskabet forholder sig til et krav mod leverandøren.
- Tal med en advokat, før I fremsætter kravet.
- Få en uvildig teknisk vurdering af årsagen, før I bygger kravet på leverandørens egen forklaring.
Aftalen: hvem skulle gøre hvad?
I mange aftaler er ansvaret delt. Leverandøren drifter servere, men kunden administrerer brugere. Leverandøren leverer backup, men kunden skal teste gendannelse. Lav en oversigt over de sikkerhedsopgaver, der har betydning for angrebet, og skriv for hver opgave, hvor i aftalen ansvaret står.
Tag også det med, der ikke står i kontrakten. Tilbud, mødereferater og mails kan vise, hvad leverandøren lovede, eller hvad I bad om og fik afslag på. Mundtlige aftaler er svære at bevise, så find det skriftlige spor.
Tilstanden før angrebet
Det sværeste at dokumentere er ofte, hvordan systemerne var sat op, før angrebet. Efter genopretningen er meget ændret. Find derfor det, der viser tilstanden før:
- rapporter fra leverandøren om opdateringer, backup og overvågning,
- konfigurationer og ændringslogs, også fra skytjenester,
- tidligere sikkerhedsgennemgange og anbefalinger, og hvad der kom ud af dem,
- jeres svar til cyberforsikringens spørgeskema, og hvem der leverede oplysningerne. → Cyberforsikringens spørgeskema
Var backup en del af problemet, er der særlige punkter at dokumentere. → Backuppen virkede ikke
Årsagen: indgangsvejen skal dokumenteres uvildigt
Leverandøren har typisk selv været med til at genetablere driften og har ofte selv lavet den første forklaring på, hvordan angriberen kom ind. Det er ikke nødvendigvis forkert, men leverandøren har en egen interesse i forklaringen. Er der også en IR-leverandør inde over, kan dens rapport have et andet formål end at afklare ansvaret.
En uvildig undersøgelse af de sikrede systemer kan svare på de spørgsmål, et krav hviler på: Hvilken svaghed blev udnyttet? Var den kendt? Burde den være lukket efter aftalen? Hvornår startede angrebet, og hvornår kunne det have været opdaget? Undersøgelsen skal skelne mellem det, der er fundet i data, og det, der er vurderet.
Data, der ligger hos leverandøren
Når driften ligger hos en leverandør, ligger mange af beviserne også der: logs fra servere og firewalls, backupjob, overvågning og leverandørens egne sager om hændelsen. Det er en svær situation, fordi det er den part, kravet skal rettes mod, der har dataene.
Bed derfor tidligt og skriftligt om udlevering af konkrete data for en bestemt periode, og bed om, at de bevares uændret. Henvis til aftalens bestemmelser om udlevering og bistand, hvis der er nogen. Notér, hvad I bad om, hvornår, og hvad I fik. Afslag og forsinkelser er også dokumentation. → Når IT-driften ligger hos en ekstern leverandør
Få så vidt muligt jeres egen sagkyndige med, når data hentes ud, så udtrækket kan efterprøves senere.
Kommunikationen med leverandøren
Hold kontakten saglig og skriftlig. I kan have brug for leverandøren i lang tid endnu, fordi driften skal fortsætte, mens kravet behandles. Lad advokaten se med, før I skriver noget om ansvar.
Tabet og sammenhængen med fejlen
Tabet skal opgøres, så det kan kobles til fejlen. Har angrebet ramt flere systemer, og kun ét af dem var leverandørens ansvar, skal I kunne vise, hvilken del af tabet der skyldes netop det. → Driftstab efter et cyberangreb
Forsikringen og regres
Har jeres forsikring betalt en del af skaden, kan selskabet i nogle tilfælde selv rejse krav mod den ansvarlige, også kaldet regres. Så kan der være to krav mod leverandøren: jeres for den del, forsikringen ikke dækkede, og selskabets for det, det har betalt. Afklar med advokaten og forsikringen, hvem der fører hvad, og hvem der har adgang til hvilken dokumentation.
Hvem gør hvad
- Direktør · Beslutter, om kravet skal rejses, og ejer kontakten
- IT-chef · Finder rapporter, konfigurationer og ændringslogs
- Økonomi · Opgør tabet og holder styr på forsikringens dækning
- Advokat · Vurderer ansvar, ansvarsbegrænsning og frister
- IT-sagkyndig · Undersøger årsagen uvildigt og dokumenterer fund
Det skal I lade være med
- Lade leverandøren alene sikre og undersøge de systemer, ansvaret drejer sig om.
- Skifte leverandør og lukke miljøer, før data og historik er hentet hjem. → Opsigelse af en IT-leverandør: sikr data og logfiler først
- Fremsætte krav i vrede. Påstande, der ikke holder, svækker de stærke punkter.
- Overse jeres egen del. Havde I selv ansvar for noget, der spillede ind, er det bedre at vide det tidligt.
- Glemme voldgiftsklausulen. Mange IT-aftaler henviser tvister til voldgift. → IT-tvisten skal i voldgift
Hvornår skal I have hjælp udefra?
Når kravet overvejes, og helst før de ramte systemer er ryddet. Nielco IT har indsigt i og erfaring med incident response og hackerangreb, kan sikre uvildigt ved siden af IR-leverandøren og kan efterprøve IR-rapporter. Nielco IT sælger ikke produkter og har ingen leverandørpartnerskaber.
Læs også: Driftstab efter et cyberangreb: sådan dokumenteres tabet · Vi er blevet hacket: bevissikring efter et cyberangreb eller ransomware
→ Hacket eller snydt? Hjælp til virksomheden · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
