Når jeres leverandør er blevet angrebet, skal I selv dokumentere, hvad hændelsen betød for jer: hvad leverandøren har oplyst og hvornår, hvad jeres egne logs viser, og hvad det har kostet. Leverandørens rapport er ikke nok, hvis I skal kræve erstatning, have forsikringen til at dække eller vurdere, om bruddet skal anmeldes til Datatilsynet.
I er ikke blevet angrebet. Det er jeres leverandør. Men pludselig virker jeres system ikke, jeres kunder får falske mails, eller leverandøren skriver, at jeres data “muligvis” er blevet kopieret. Spørgsmålene kommer hurtigt: Hvad er ramt? Hvem betaler? Skal vi anmelde det til Datatilsynet? For at kunne svare skal I dokumentere, hvad der er sket hos jer, uafhængigt af leverandørens egen forklaring.
Hvorfor I skal dokumentere selv
Leverandøren har en interesse i at gøre hændelsen så lille som muligt. Det er ikke ond vilje, men leverandørens rapport er skrevet til leverandørens kunder generelt, ikke til jer. Den siger sjældent noget om, hvad det betød for netop jeres drift. Kræver I erstatning, eller skal forsikringen dække, skal I selv kunne vise, hvad hændelsen betød for jer.
Samtidig kan leverandørens oplysninger ændre sig. De første meldinger er ofte foreløbige, og statussider bliver opdateret eller fjernet. Det, der stod i går, kan være væk i morgen.
De første timer: hvem gør hvad
- Ledelsen · Udpeger én ansvarlig og beslutter, hvem der taler med leverandøren
- IT · Gemmer logs og vurderer, om jeres egne systemer er i fare
- Økonomi · Begynder at registrere ekstra udgifter og tab
- Den dataansvarlige eller DPO · Vurderer persondata og frist over for Datatilsynet
Lad kun én person føre den skriftlige dialog med leverandøren. Så bliver kommunikationen samlet, og I undgår modstridende udmeldinger.
Det skal I gemme
Leverandørens kommunikation
- Alle mails, nyhedsbreve og statussider om hændelsen, med dato.
- Svar på jeres spørgsmål. Stil spørgsmålene skriftligt, så svarene også bliver skriftlige.
- Notater fra telefonmøder med dato, deltagere og hvad der blev sagt.
- Skærmbilleder af statussider, som kan blive ændret senere. → Sådan gemmer du en webside som dokumentation
Jeres egne spor
- Logs fra jeres egne systemer, der viser forbindelser til og fra leverandøren i perioden. → Firewall-, VPN- og loginlogs
- Login- og revisionslogs for de konti, leverandøren har adgang til. Mange logs gemmes kun i en begrænset periode, så de skal sikres med det samme.
- Falske mails, som jeres kunder eller medarbejdere har modtaget, gemt med header. → Mail-headere
- En tidslinje over, hvornår I opdagede hvad, hvem der fik besked, og hvad I gjorde. → Skabelon til intern log over beviser
Konsekvenserne
- Hvor længe stod systemerne stille, og hvem kunne ikke arbejde?
- Ekstra timer, konsulenter og indkøb, med fakturaer og timesedler.
- Tabte ordrer og kunder, der har klaget, med kopi af henvendelserne.
- Udgifter til at informere kunder og samarbejdspartnere.
Registrér konsekvenserne løbende. Det er svært at genskabe bagefter, hvor mange timer der gik med at håndtere hændelsen.
Aftalen med leverandøren
Find kontrakten og databehandleraftalen frem. Hvad står der om sikkerhed, underretning, ansvar og ansvarsbegrænsning? Gem den version, der gjaldt, da hændelsen skete, også hvis leverandøren senere opdaterer sine vilkår.
Tjek også, om aftalen giver jer ret til at få en hændelsesrapport, og om I kan kræve oplysninger om, hvilke af jeres data der var berørt. Brug den ret skriftligt. → Tvister mellem dataansvarlig og databehandler
Datatilsynet
Er der persondata involveret, kan I som dataansvarlige have pligt til at anmelde bruddet, også selvom det skete hos leverandøren. Fristen er kort. Dokumentationen af, hvornår I fik besked, er vigtig her. Gem den første mail eller det første opkald fra leverandøren med præcist tidspunkt.
Vurderer I, at bruddet ikke skal anmeldes, så skriv begrundelsen ned. Den kan blive efterspurgt senere.
Forsikringen
En cyberforsikring kan dække tab, som skyldes en leverandørs hændelse, men det afhænger af policen. Giv forsikringsselskabet besked tidligt, og spørg, hvilken dokumentation de vil have. Forsikringsselskabet vil typisk se dokumentation af både hændelsen og tabet. → Bevissikring efter et cyberangreb
Gør ikke dette
- Slet ikke de falske mails. De er beviset.
- Afbryd ikke integrationen til leverandøren, før logs er gemt, medmindre angrebet stadig er i gang. Er der fare for, at angrebet breder sig til jer, går sikkerheden forud.
- Lav ikke aftaler med leverandøren om “fuld og endelig afgørelse”, før I kender omfanget.
- Udtal jer ikke offentligt om leverandørens skyld, før fakta er på plads.
- Lad ikke leverandøren alene undersøge jeres egne systemer.
Når jeres kunder får falske mails
En hændelse hos en leverandør viser sig ofte først som falske mails, der ser ud til at komme fra jer, eller som bruger ægte mailtråde, angriberen har fået fat i. Bed kunderne videresende mailen som vedhæftet fil, ikke som almindelig videresendelse, så headeren følger med. Gem dem samlet med dato og afsender.
Advar kunderne gennem en kanal, I ved er sikker, og skriv ned, hvem der er advaret og hvornår. Har en kunde allerede betalt til et forkert kontonummer, bliver spørgsmålet om tabet hurtigt et spørgsmål om, hvem der vidste hvad, og hvornår. → Fakturasvindel via hacket mail
Efter hændelsen
Når driften kører igen, er det fristende at lægge sagen bag sig. Brug i stedet et par timer på at samle materialet ét sted: tidslinjen, leverandørens udmeldinger, logs, opgørelsen af tab og jeres egne beslutninger. Det er det materiale, I skal bruge, hvis kravet først bliver aktuelt måneder senere.
Se også på, hvad hændelsen viste om jeres egen opsætning. Havde leverandøren mere adgang, end opgaven krævede? Vidste I, hvilke data leverandøren havde? Svarene hører hjemme i næste kontraktforhandling. Overvej også, om I skal have en plan for, hvem der gør hvad, næste gang en leverandør bliver ramt, så de første timer ikke går med at finde ud af det.
Hvornår skal I have hjælp udefra?
Når I ikke selv kan sikre logs og mails, når leverandøren og I er uenige om, hvad der skete, eller når kravet bliver stort. En uvildig IT-sagkyndig kan dokumentere jeres side af hændelsen, så den kan bruges over for leverandør, forsikring og advokat. Nielco IT sælger ikke produkter og har ingen leverandørpartnerskaber, og hjælper med dokumentationen af den civile del.
Næste skridt
- Vi har betalt en falsk faktura: de første timer
- CEO-svindel: mail fra “direktøren” om en hasteoverførsel
- Hacket mailkonto: sikr sporene, før I nulstiller adgangskoden
- Login fra et ukendt land: sikr loggen, før I nulstiller
Læs også: Vi er blevet hacket: bevissikring efter et cyberangreb eller ransomware · Vi har betalt en falsk faktura: de første timer
→ Hacket eller snydt? Hjælp til virksomheden · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
