Giver en kunde jer skylden for et nedbrud, et tab af data eller et angreb, så start med at sikre jeres egne spor, før I svarer på beskyldningen. Logs i jeres overvågning, supportsager, ændringer og fjernadgange er det, der kan vise, hvad I gjorde, og hvad I ikke gjorde. Mange af dem slettes automatisk efter kort tid. Svar roligt og sagligt, og lad den samlede vurdering vente, til sporene er sikret.
Artiklen er skrevet til IT-leverandører, driftspartnere og mindre IT-virksomheder. Er I kunden, så læs i stedet om, hvad kunden skal dokumentere. → Leverandøren blev hacket: hvad skal I dokumentere?
Typiske beskyldninger
- Backuppen virkede ikke, da kunden skulle bruge den.
- En opdatering, I rullede ud, fik et system til at gå ned.
- Angriberen kom ind via jeres fjernadgangsværktøj eller en konto, I administrerer.
- I reagerede for sent på en alarm.
- En opgave, kunden mener at have bestilt, blev aldrig udført.
Hver beskyldning peger på forskellige spor. Skriv derfor beskyldningen præcist ned, som kunden formulerer den, før I begynder at lede.
De første timer, i rækkefølge
- Udpeg én ansvarlig hos jer, som ikke selv har arbejdet på hændelsen. Vedkommende styrer sagen og fører en log.
- Stop automatisk sletning i jeres egne systemer for den pågældende kunde: overvågning, fjernsupport, supportsystem, backupløsning og administrationsportaler.
- Træk eksporter af de relevante logs og sager for perioden, og notér, hvem der trak dem, hvornår og hvordan.
- Find aftalen frem. Kontrakt, serviceniveau, ydelsesbeskrivelse og eventuelle tillæg. Hvad var I forpligtet til, og hvad var kundens eget ansvar?
- Saml korrespondancen. Mails, sager og referater, hvor kunden fik anbefalinger eller takkede nej til noget.
- Underret jeres forsikring, hvis beskyldningen kan blive til et krav.
- Svar kunden kort, fx at I tager sagen alvorligt og vender tilbage, og indrøm ikke noget i det første svar.
Spor, der ofte afgør sagen
- Overvågning og alarmer · Hvornår der blev varslet, og hvem der reagerede
- Supportsystem · Hvad kunden bad om, og hvornår
- Fjernadgangsværktøj · Hvem der var logget ind, og hvornår
- Backupløsning · Om job kørte, fejlede, og hvem der fik besked
- Ændringslog og opdateringer · Hvad der blev ændret, og hvornår
Fjernadgangen er ofte det første, kunden spørger om. Sørg for at sikre loggen, før den roterer. → Fjernsupport-log: hvem har været inde på computeren?
Hold jer ude af kundens systemer
Har I stadig administratoradgang hos kunden, er det fristende at gå ind og se, hvad der skete. Gør det ikke uden en klar aftale. Alt, hvad I gør i kundens systemer nu, kan blive set som et forsøg på at dække over noget. Ændringer kan også overskrive spor, som begge parter har brug for. Har kunden brug for hjælp til at genoprette driften, så aftal skriftligt, hvad I gør, og log det.
Bliver I bedt om at udlevere data eller logs, så lav en kopi og notér, hvad der er udleveret, hvornår og til hvem. Behold selv en identisk kopi.
Hvem gør hvad?
- Ledelsen · Ejer sagen, forsikringen og kundedialogen
- Den sagsansvarlige · Styrer sikringen og fører log
- Teknikerne · Beskriver, hvad de gjorde, med tidspunkter
- Advokat · Vurderer ansvar og aftalegrundlag
- IT-sagkyndig · Sikrer og vurderer spor uvildigt
Lad de teknikere, der arbejdede på hændelsen, skrive deres egne notater med det samme, hver for sig. Det, de husker nu, er mere værd end det, de husker om et halvt år.
Det må I ikke gøre
- Slette eller rydde op i jeres egne systemer, heller ikke i sager, der virker pinlige.
- Ændre gamle sager eller tilføje noter, der ser ud til at være skrevet tidligere.
- Indrømme ansvar i en mail eller et telefonopkald, før aftalen og sporene er gennemgået.
- Gå ind i kundens systemer uden en skriftlig aftale om hvad og hvorfor.
- Lade den tekniker, der var involveret, undersøge sig selv. Det svækker troværdigheden.
Kundens forsikring og jeres
Kunden har måske en cyberforsikring, der vil se på, om leverandøren har svigtet. Så kan I få spørgsmål fra et forsikringsselskab eller en advokat. Jeres egen forsikring kan stille krav om, hvornår den skal have besked, og hvad I må sige. Læs betingelserne, eller ring og spørg, før I svarer på noget, der ligner et krav.
Advokatsitet beskriver, hvordan en advokat arbejder med IT-leverandørens egen dokumentation. → Når klienten er IT-leverandøren: egen dokumentation
Der findes også en gennemgang af, hvordan en tvist om et angreb typisk forløber mellem kunde og leverandør. → Cyberangreb: tvisten med IT-leverandøren
Bevar samarbejdet, mens I sikrer
En beskyldning betyder ikke, at kundeforholdet er slut. Mange uenigheder om et nedbrud bliver løst, når begge parter ser de samme data. Det er en god grund til at sikre jeres spor ordentligt: så kan I vise dem frem, når tiden er til det, i stedet for at diskutere hukommelse mod hukommelse.
Fortsæt derfor driften som aftalt, og vær hjælpsomme med genopretning, men hold dialogen om skyld og ansvar adskilt fra den daglige support. Lad den sagsansvarlige eller ledelsen tage den del, så teknikerne ikke bliver spurgt ind til ansvar midt i en driftsopgave. Skriv kort ned, hvad der bliver sagt i møder om hændelsen, og send referatet til kunden. Et fælles referat er bedre end to forskellige erindringer.
Overvej også, om der er andre kunder med samme opsætning, som bør have en anbefaling nu. Det er godt kundeforhold, og det viser, at I handler sagligt. Flere artikler for IT-virksomheder er samlet ét sted. → IT og software
Når der kommer et brev fra en advokat
Kommer der et brev fra kundens advokat, er det et tegn på, at kunden overvejer et krav. Det ændrer ikke handleplanen, men det gør den mere presserende. Bevar alt, der vedrører kunden, ikke kun hændelsen. Det kan være relevant at vise, hvordan samarbejdet har været over flere år.
Når I også er ramt
Er angrebet kommet ind via et værktøj, som I bruger hos mange kunder, kan flere kunder være ramt. Så er I ikke kun den beskyldte, men også selv en virksomhed med en hændelse. Sikr jeres egne systemer, som I ville anbefale en kunde at gøre, og vær opmærksom på, at I kan have egne pligter til at underrette myndigheder og kunder.
Hvornår skal I have hjælp udefra?
Få hjælp, hvis kunden rejser et krav, hvis der er tale om et angreb, eller hvis jeres egne teknikere er tæt på hændelsen. En uvildig IT-sagkyndig kan sikre og gennemgå jeres spor, så resultatet kan stå alene, også over for kundens rådgivere. Nielco IT har ingen leverandørpartnerskaber og arbejder ikke for modparten i samme tvist. Haster det, koster hastesager ekstra. → Pris og tilbud
Læs også: Billedkrav mod virksomheden: dokumentér licens og brug · IT-projektet er gået galt: jeres første skridt
→ Tvist med en IT-leverandør eller en kunde · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
