Når jeres systemer er krypteret af ransomware, er alle optaget af at komme i gang igen. Men forsikringsselskabet vil på et tidspunkt spørge: Hvad skete der, hvornår, hvad er tabet, og levede I op til policens krav? Svarene skal kunne dokumenteres. Det meste af dokumentationen kan kun sikres i de første dage, mens de ramte systemer stadig findes. Derfor skal sikring og genetablering køre side om side fra start.
Artiklen handler om skadesmeldingen og forsikringens dokumentationskrav. De første tekniske skridt efter et angreb står i bevissikring efter et cyberangreb.
Det, forsikringen typisk spørger om
Policer er forskellige, og I skal læse jeres egen. Men spørgsmålene ligner hinanden, fordi selskabet skal vurdere tre ting: om hændelsen er dækket, om I har overholdt vilkårene, og hvor stort tabet er.
- Hvornår startede angrebet, og hvornår blev det opdaget? · Logs, alarmer, notater med tidspunkter
- Hvordan kom angriberen ind? · Sikrede systemer, loginlog, rapport fra IT-sagkyndig
- Var sikkerhedskravene i policen opfyldt? · Konfiguration, politikker, backup-rapporter
- Er der taget data ud? · Netværkslog, firewall-log, vurdering af udtræk
- Hvad har det kostet? · Timeregnskab, fakturaer, driftstab
Hvad gør I nu, i rækkefølge
- Giv forsikringsselskabet besked tidligt. Mange policer har en hotline og krav om hurtig besked. Spørg, om selskabet har leverandører, I skal bruge, før I selv hyrer nogen. → Underret forsikringsselskabet
- Start en logbog. Ét dokument, hvor alt skrives ned med tidspunkt: hvad blev opdaget, hvem gjorde hvad, hvilke beslutninger blev truffet. Logbogen er rygraden i skadesmeldingen.
- Isolér, men sluk ikke i blinde. Tag ramte maskiner af netværket. Lad IT eller den IT-sagkyndige vurdere, om de skal være tændt, fordi hukommelsen kan rumme spor.
- Sikr kopier, før I genetablerer. Tag forensiske kopier eller i det mindste billeder af de vigtigste ramte servere, før de geninstalleres. Når en server er sat op igen, er sporene af, hvordan angriberen kom ind, ofte væk.
- Gem løsesumsbeskeden og alle filer, den henviser til. Tag skærmbilleder, og gem en kopi af beskeden som fil.
- Gem logs fra firewall, VPN og skytjenester. De har kort levetid og er vigtige for at vise, om data er sendt ud.
- Registrér omkostninger fra dag ét. Medarbejdertimer, eksterne konsulenter, nyt udstyr, tabt omsætning. Brug en fast mappe og et fast regneark.
Sikring og genetablering på samme tid
Den største spænding i en ransomwaresag er tid. Ledelsen vil i drift, og det er forståeligt. Men hvis IT-leverandøren geninstallerer alt i løbet af natten, kan I stå uden dokumentation for, hvordan angriberen kom ind, og så er det svært at svare på forsikringens spørgsmål.
Den praktiske løsning er at dele opgaven:
- Ét hold genetablerer på nye eller rensede maskiner.
- Et andet hold, ofte en uvildig IT-sagkyndig, sikrer de ramte maskiner, før de ryddes.
Aftal det tidligt med forsikringsselskabet og jeres IT-leverandør. Skriv ned, hvilke maskiner der blev sikret, og hvilke der blev genetableret uden sikring, og hvorfor.
Backup: det første, selskabet spørger til
Har I haft backup, og virkede den? Mange policer stiller krav til backup, og selskabet vil gerne se, at den fandtes, var adskilt fra de ramte systemer og blev testet. Gem derfor:
- rapporter fra backup-systemet for de seneste måneder,
- dokumentation for, hvor backup lå, og hvem der havde adgang,
- notater om, hvad der kunne gendannes, og hvad der ikke kunne.
Virkede backuppen ikke, er det vigtigt at dokumentere hvorfor, før nogen retter fejlen. Det kan blive et spørgsmål i forholdet til IT-leverandøren. → Backuppen virkede ikke
Driftstab og ekstraudgifter
Den del af skadesmeldingen, der ofte bliver svagest, er opgørelsen af tabet. Det skyldes, at ingen har tid til at registrere det i de første kaotiske dage. Bagefter er det svært at huske, hvor mange timer der gik med at ringe til kunder, eller hvor mange ordrer der ikke blev sendt.
Sæt derfor en person fra økonomi på opgaven fra første dag. Personen skal ikke løse den tekniske del, men skal føre regnskab med:
- timer brugt af egne medarbejdere på hændelsen, opdelt på dage,
- eksterne regninger, også små, med en kort beskrivelse af formålet,
- udstyr og licenser, der er købt på grund af hændelsen,
- ordrer, leverancer eller aftaler, der er udskudt eller tabt,
- ekstraudgifter som overarbejde, kørsel og midlertidige løsninger.
Gem også dokumentationen for normal drift, for eksempel omsætning i de samme uger året før. Den bruges til at vise forskellen. Jo mere præcist regnskabet er fra start, jo færre diskussioner bliver der om opgørelsen senere. Aftal også med selskabet, hvordan de vil have opgørelsen, og hvor ofte de vil have status. Nogle selskaber vil have løbende opgørelser, andre én samlet til sidst.
Hvem gør hvad
- Direktør · Beslutter, ejer kontakten til forsikring og bestyrelse
- Økonomi · Fører omkostningsregnskab og dokumenterer driftstab
- IT eller IT-leverandør · Isolerer, genetablerer, gemmer logs
- IT-sagkyndig · Sikrer ramte systemer uvildigt, beskriver forløbet
- Advokat · Rådgiver om persondata, kontrakter og forsikringsvilkår
Det skal I lade være med
- Geninstallér ikke alt, før noget er sikret. Det er den mest almindelige fejl, og den kan koste dækning.
- Lad være med at tage kontakt til angriberne på egen hånd. Det er et spørgsmål, der hører hjemme hos forsikringen og jeres rådgivere, og som har juridiske sider.
- Lad være med at gætte i skadesmeldingen. Skriv “vi ved det ikke endnu”, hellere end et tidspunkt, der senere viser sig forkert.
- Slet ikke mails om hændelsen. Også interne mails og chatbeskeder kan blive en del af forløbet.
- Glem ikke persondata. Ransomware er ofte også et persondatabrud, der skal vurderes inden for en kort frist.
Den uvildige rapport
Forsikringsselskabet har sine egne folk, og jeres IT-leverandør har sin forklaring. I en sag om dækning eller om leverandørens ansvar kan det have værdi, at en uvildig IT-sagkyndig har sikret og beskrevet forløbet. Rapporten skal kunne læses af en, der ikke var der, og den skal skelne mellem det, der er fundet, og det, der er vurderet. → Forsikringssager efter cyberangreb
Om udgiften til den slags hjælp er dækket, afhænger af policen. Spørg selskabet, før I bestiller. → Dækker forsikringen bevissikring?
Hvornår skal I have hjælp udefra?
Ved ransomware er svaret næsten altid: med det samme. Ring til forsikringen, ring til jeres IT-leverandør, og overvej en uvildig IT-sagkyndig, der kan sikre det, der skal sikres, mens resten arbejder på drift. Hastesager koster ekstra, også hos Nielco IT. → Pris og tilbud
Efter skadesmeldingen
Selskabet kommer ofte med opfølgende spørgsmål i ugerne efter. Hold logbogen åben, og gem alle svar, I giver. Ét samlet spor af, hvad I har oplyst og hvornår, gør det lettere, hvis der senere opstår uenighed om dækningen.
Læs også: Mistet eller stjålet bærbar med kundedata · Cyberforsikringens spørgeskema: kan I dokumentere det, I har svaret?
→ Hacket eller snydt? Hjælp til virksomheden · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
