Küberintsident: reageerimine, teenusepakkujad ja kindlustusnõue

Lühidalt. Küberkindlustuse väärtus selgub esimestel tundidel. Kindlustusandjat tuleb teavitada viivitamata, kahju tuleb vältida ja vähendada kindlustusandja juhiseid järgides ning mõjutatud süsteemides ei tohi teha muudatusi, mis raskendavad kahju põhjuse ja suuruse kindlakstegemist, välja arvatud kahju vähendamiseks vajalikud muudatused. Paneelteenusepakkujate kasutamine on sageli katte või madalama omavastutuse eeldus. Kindlustusnõude edu sõltub sellest, kas ettevõte suudab kahju arvutuslikult tõendada ning näidata oma turvataset enne intsidenti.

1. Esimesed tunnid

1.1. Kindlustusandja teavitamine

Kindlustusvõtja peab kindlustusjuhtumist kindlustusandjale teatama viivitamata pärast sellest teadasaamist.¹ Küberlepingutes on selleks tavaliselt ööpäevaringne intsidendiliin. Teatamata jätmise tagajärjed on seaduses piiratud: kindlustusandja võib täitmist vähendada talle tekkinud kahju ulatuses ning vabaneb täitmise kohustusest täielikult üksnes tahtliku rikkumise korral; need reeglid on kindlustusvõtja kaitseks poolimperatiivsed.²³ Suurriskide lepingus võib see kaitse olla kokkuleppega kõrvale jäetud.³

Praktiline soovitus on lihtne: teata kindlustusandjale enne kui oled kindel, et tegemist on kindlustusjuhtumiga. Hiljem saab teate täpsustada; hilinenud teadet on raske parandada.

1.2. Kahju vältimine ja vähendamine

Kindlustusvõtja peab võimaluse korral kahju ära hoidma ja vähendama ning järgima kindlustusandja juhiseid. Kindlustusjuhtumi järel ei tohi ta enne kindlustusandja ülevaatust muuta kahjustatud vara seisundit viisil, mis raskendab kahju põhjuse või suuruse kindlakstegemist, välja arvatud muudatused, mis on vajalikud kahju vähendamiseks.⁴ Küberintsidendis tähendab see, et süsteemide isoleerimine ja taastamine on lubatud ja vajalik, kuid enne andmete ülekirjutamist tuleb säilitada logid, mälutõmmised ja kettakujutised, mis võimaldavad sisenemisvektori ja kahju ulatuse kindlakstegemist.

2. Paneelteenusepakkujad

Küberkindlustusandjad pakuvad tavaliselt eelnevalt valitud teenusepakkujate võrgustikku:

• intsidendijuht või õigusnõustaja (breach coach), kes koordineerib reageerimist ja hindab teavitamiskohustusi;
• IT-forensika ründe uurimiseks ja tõendite säilitamiseks;
• taastamisteenus süsteemide puhastamiseks ja taastamiseks;
• väljapressimise läbirääkija lunavara korral;
• kriisikommunikatsioon;
• kõnekeskus ja teavitusteenus andmesubjektide teavitamiseks;
• kahjukäsitluse raamatupidaja (forensic accountant) ärikatkestuse kahju arvutamiseks.

Paneeli kasutamine võib olla katte eeldus või mõjutada omavastutust ja hindu. Kui ettevõttel on oma IT-partner, tuleb juba lepingu sõlmimisel kokku leppida, kas ja millistel tingimustel tema kulud on kaetud. Eesti ettevõtte jaoks on oluline ka see, kas paneelteenusepakkujal on kohalik võimekus ja eesti keele oskus suhtluseks järelevalveasutuste ja klientidega.

2.1. Konfidentsiaalsus

Forensika aruanne võib sisaldada järeldusi, mis on kahjulikud nii järelevalvemenetluses kui ka kolmandate isikute nõuetes (nt teadaolev parandamata haavatavus). Eesti õiguses ei ole USA-tüüpi kohtuvaidluseks ettevalmistamise privileegi. Advokaadi kaudu tellitud ekspertiis võib teatud ulatuses kuuluda advokaadi kutsesaladuse kaitse alla, kuid selle piirid on vaieldavad. Analüütiline järeldus: aruande ülesehitus (faktiline osa ja järeldused eraldi) ning levitamisring tuleb läbi mõelda kohe alguses.

3. Teenusepakkuja kui riski allikas

Suur osa intsidentidest algab teenusepakkuja juurest: tarkvarauuenduse kaudu leviv pahavara, kaughaldusvahendi kompromiteerimine, kasutajatoe kaudu sotsiaalse manipulatsiooniga paroolide lähtestamine. Rahvusvahelises praktikas on avalikuks saanud kaasus, kus tootja esitas oma IT-teenusepakkuja vastu ligikaudu 380 miljoni USA dollari suuruse hagi, väites, et teenusepakkuja kasutajatugi lähtestas ründaja palvel paroole ja mitmikautentimise ilma nõuetekohase isikutuvastuseta.⁵ Kaasus illustreerib kolme küsimust:

1. Teenuselepingu vastutus. Kas teenusepakkuja vastutus on piiratud ja kas piirang on kehtiv? Kas lepingus on turvanõuded ja auditiõigus?
2. Kindlustuse koostoime. Ettevõtte küberkindlustus hüvitab ettevõtte kahju ja kindlustusandja omandab VÕS § 492 alusel nõude teenusepakkuja vastu.⁶ Teenusepakkuja enda vastutuskindlustus (technology errors & omissions) võib olla tagasinõude allikas.
3. Juhatuse vastutus. Kas juhatus valis ja kontrollis teenusepakkujat korraliku ettevõtja hoolsusega? KüTS kohustab teenuseosutajat arvestama ka tarneahela riske (vt NIS2).

4. Kindlustusnõude koostamine

4.1. Kahju liigid ja tõendid

4.2. Ärikatkestuse arvutamine

Ärikatkestuse kahju on tavaliselt suurim ja vaieldavaim nõude osa. Kahju arvutatakse võrdlusena sellega, mis oleks toimunud ilma intsidendita. Kindlustusandja kontrollib, kas langus oli tingitud intsidendist või muust põhjusest (turuolukord, hooajalisus), kas müük lükkus edasi või kadus jäädavalt, ning kas kindlustatu vähendas kahju. Arvutus peab põhinema andmetel, mitte hinnangul, ja selle eelduseid tuleb selgelt kirjeldada.

4.3. Kahju suuruse kindlakstegemine ja kulud

Kahju suuruse kindlakstegemine on kindlustusandja lepinguline kohustus ning kindlustusandja kannab selle kulud.⁷ Riigikohus on leidnud, et kahju suuruse kindlakstegemise kulud on kindlustusandja enda kohustuse täitmise kulud, mida ta ei saa nõude ülemineku kaudu kahju tekitajalt sisse nõuda.⁸ Kindlustatu enda kulud nõude ettevalmistamiseks (nt raamatupidamisekspert) on kaetud ainult siis, kui leping seda ette näeb (claims preparation costs).

4.4. Hüvitise sissenõutavus

Kindlustushüvitise maksmise kohustus muutub sissenõutavaks, kui kindlustusandja on lõpetanud kindlustusjuhtumi ja hüvitise suuruse kindlakstegemiseks vajalikud toimingud.⁹ Pikaajalise ärikatkestuse korral tasub kokku leppida vahemaksetes.

5. Tüüpilised vead

1. Kindlustusandjat teavitatakse alles siis, kui kahju suurus on selge.
2. Oma IT-partner alustab taastamist ilma tõendeid säilitamata.
3. Ründajaga suheldakse ilma kindlustusandja ja spetsialistita.
4. Järelevalveasutusele, klientidele ja kindlustusandjale antakse erinevat teavet.
5. Ärikatkestuse kahju esitatakse hinnanguna, ilma võrdlusandmeteta.
6. Teenusepakkuja lepingust ei ole teada, kas tagasinõue on piiratud.

Ajajoon: esimesed 72 tundi

Ajajoon on üldistatud; konkreetsed tähtajad sõltuvad lepingust ja ettevõtte staatusest. Üldine tegevuskava kõigi kahjujuhtumite jaoks on esimese 72 tunni juhendis.

Kindlustusandja ja kindlustatu koostöö

Kindlustusandja ei ole intsidendi juhtimises kõrvaline osaline. Paneelteenusepakkujate kaudu saab ta kiiresti teavet, mis mõjutab ka tema hinnangut kattele. Kindlustatu jaoks on oluline, et suhtlus kindlustusandjaga oleks dokumenteeritud ja et kindlustusandja antud juhised oleksid kirjalikud. Kui kindlustusandja juhis (nt mitte maksta lunaraha või kasutada konkreetset taastamislahendust) suurendab kahju, on kirjalik juhis hiljem tõend selle kohta, et kindlustatu järgis lepingut.

Seotud lehed

• Esimesed 72 tundi pärast kahju
• Mida küberkindlustus katab
• Lunavararünnak ja lunaraha
• Küberkindlustuse välistused ja vaidlused
• Kindlustusvaidlused

Viited