Esimesed 24–72 tundi pärast küberintsidenti või pettust

Lühidalt. Esimesed 24–72 tundi on otsustavad kahju ulatuse, tõendite säilimise ja kindlustuskaitse jaoks. Esimene samm on intsident tuvastada ja isoleerida, teine aktiveerida kriisimeeskond ja kolmas dokumenteerida kõik otsused. Kaasata tuleb forensika partner, jurist, kindlustusandja või maakler ja kommunikatsioonispetsialist. Juhatus ei tohi piirduda jälgimisega.¹ Lühike praktiline kontrollnimekiri on juhendis esimese 72 tunni kohta.

1. Mida teha kohe?

Tuvasta ja isoleeri

• Peata ründe levik: eralda nakatunud süsteemid võrgust, blokeeri kompromiteeritud kontod, muuda privilegeeritud kontode paroolid.
• Säilita logid ja tõendid: tulemüür, e-posti server, domeenikontroller, pilveteenuste auditilogid.
• Ära „puhasta“ süsteeme enne uurimist. Ohutult isoleeritud servereid ära lülita välja, kui forensika partner ei ole seda soovitanud: mälupõhised tõendid kaovad. Kui isoleerimine ei ole võimalik ja nakkus levib, lülita mõjutatud seade siiski välja, dokumenteeri otsus ja kaasa spetsialist; tõendite säilitamise huvi ei tohi takistada vältimatut piiramist.

Iga tehniline samm võib mõjutada hilisemat tõendamist. Kui logid kustutatakse või süsteeme muudetakse dokumenteerimata, raskendab see nii ründe analüüsi kui ka kindlustusnõude esitamist.

Näide. Ettevõte avastab, et süsteemid on krüpteeritud. IT-osakond alustab kohe taastamist ja kustutab osa logidest. Hiljem ei õnnestu tuvastada ründe päritolu ega seda, kas andmeid lekitati. Kindlustusandja vaidlustab kahju ulatuse ja teavitamiskohustuste täitmise. See on välditav, kui esmane reageerimine on struktureeritud.

Pettuse korral: raha peatamine

Kui intsident hõlmab makset valele kontole, on esimesed tunnid kriitilised raha külmutamiseks:

• helista kohe oma pangale ja palu makse tagasikutsumist (recall) ja vastuvõtja panga teavitamist;
• peata kõik sarnased maksed ja kontrolli viimase aja pangarekvisiitide muudatusi;
• esita kuriteoteade politseile (kelmus, arvutikelmus, omastamine, KarS § 209, § 213, § 201);²
• hinda koos juristiga vajadust taotleda hagi tagamist.

Aktiveeri kriisimeeskond

Kriisimeeskonda kuuluvad:

• juhatus või vähemalt üks otsustuspädev juhatuse liige;
• IT- ja infoturbejuht;
• finantsjuht;
• õigusnõustaja;
• kommunikatsioonijuht.

Määra iga rolli asendaja ja kirjuta üles, kes võtab vastu otsuse süsteemide sulgemise, lunaraha (ei maksta ilma õigusliku ja kindlustusandja hinnanguta), avalike teadaannete ja kindlustusandja teavitamise kohta.

Dokumenteeri

Kõik tegevused, alates süsteemide sulgemisest kuni klientidega suhtlemiseni, fikseeritakse kirjalikult koos kellaajaga. Kriisipäevik on hiljem tõend nii kindlustusnõudes kui ka D&O-vaidluses.

Kvalifitseeri varakult

Juba esimestel tundidel tuleb hinnata, kas tegemist võib olla küberintsidendiga, pettusega (Crime-risk) või olukorraga, mis võib viia juhatuse vastutuseni (D&O-risk). See määrab, millised kindlustuslepingud võivad rakenduda ja milliseid tähtaegu tuleb järgida.

2. Keda kaasata?

Forensika partner. Spetsialist, kes suudab tuvastada ründe olemuse, hinnata selle ulatust ja säilitada tõendid. Paljud küberkindlustuse lepingud nõuavad kindlustusandja heaks kiidetud teenusepakkujate kasutamist või katavad muude teenusepakkujate kulud ainult kokkuleppel. Kui ettevõte tegutseb omal käel ja kaasab sobimatu partneri, võib see mõjutada hüvitist. Enamikul küberlepingutel on ööpäevaringne intsidendiliin: selle number peab olema kriisiplaanis.

Jurist. Juristi roll algab kohe. Ta hindab seaduslikke teavitamiskohustusi, tagab, et tegevus ei kahjusta ettevõtte õiguslikku positsiooni, suunab suhtlust kindlustusandjaga ja kaitseb vajaduse korral juhatuse liikmete isiklikke huve.

Kindlustusandja või maakler. Enamik lepinguid nõuab viivitamatut teavitamist. Kui ettevõte viivitab, võib kindlustusandja väita, et viivitus suurendas kahju või takistas asjaolude tuvastamist.

Näide. Ettevõte avastab pettuse, kuid püüab seda ise lahendada ja teavitab kindlustusandjat nädala pärast. Kindlustusandja väidab, et viivitus takistas raha külmutamist ja kahju vähendamist. Eesti õiguses ei too hilinenud teatamine üldjuhul automaatselt kaasa täielikku vabanemist; hinnata tuleb kohaldatavat kokkulepet, rikkumise süüvormi ning seda, kas ja kuidas rikkumine mõjutas kindlustusjuhtumi või kahju kindlakstegemist ja kindlustusandja täitmiskohustuse ulatust (VÕS § 452 lg 2). Tahtliku kindlustusjuhtumijärgse rikkumise korral tuleb eraldi arvestada VÕS § 449 lg 2 ja § 452 lg 2 p 3 erandiga.³ Vaidlus on aga kulukas ja välditav.

Kommunikatsioonispetsialist. Vale või hilinenud kommunikatsioon süvendab mainekahju, suurendab regulatiivset riski ja võib viia täiendavate nõueteni (vt kommunikatsioon).

Juhatus. Juhatus peab tegema strateegilised otsused, tagama ressursid ja koordineerima kriisimeeskonda. Hiljem hinnatakse, kas juhatus täitis oma kohustusi (ÄS § 187).⁴ Küberturvalisuse seaduse kohaldamisalas vastutab selle eest määratud juhatuse liige (KüTS § 6¹).⁵

3. Seaduslikud tähtajad

Andmesubjektide teavitamise kohustus kõrge riski korral tuleneb samuti isikuandmete kaitse üldmäärusest (art 34); selle vajalikkus tuleb hinnata koos andmekaitsejuristiga.

4. Kindlustuse perspektiiv

Esimesed tunnid on kriitilised ka kindlustuskaitse jaoks. Lepingud sisaldavad tavaliselt:

• viivitamatu teatamise nõuet;
• koostöökohustust ja teabe andmise kohustust;
• heaks kiidetud teenusepakkujate kasutamise nõuet;
• kahju vähendamise kohustust.

Seadus kohustab kindlustusvõtjat kindlustusjuhtumi korral võimaluse piires kahju ära hoidma ja vähendama ning järgima kindlustusandja juhiseid; selleks tehtud mõistlikud kulud hüvitab kindlustusandja (VÕS § 488, § 491).⁶ Kahjustatud vara ei tohi enne kahju kindlakstegemist ilma kindlustusandja nõusolekuta muuta viisil, mis raskendab põhjuse või suuruse tuvastamist, välja arvatud kahju vähendamiseks või avalikes huvides vajalikud muudatused (VÕS § 488 lg 2).

Paralleelselt tuleb hinnata, millised lepingud võivad olla asjakohased: küberkindlustus katab tehnilised kulud ja ärikatkestuse, Crime-kindlustus rahalise kahju ja D&O-kindlustus juhatuse vastu esitatavad nõuded. Kõigile tuleb teatada eraldi ja ühtse sisuga (vt kindlustusnõude strateegia).

5. Tüüpilised vead

• intsidendi alahindamine ja reageerimisega viivitamine;
• tõendite hävitamine, kahjustamine või muutmine;
• kindlustusandja hiline teavitamine;
• vale teenusepakkuja kasutamine;
• kommunikatsiooni puudumine või ebaõnnestumine;
• ründajaga suhtlemine või lunaraha maksmine ilma õigusliku hinnanguta (sanktsioonirisk).

Need ei ole tehnilised, vaid juhtimisvead. Seetõttu on kriisijuhtimine otseselt seotud D&O-riskiga.

6. Kriisiplaani minimaalne sisu

Kriisiplaan ei pea olema paks. Oluline on, et see oleks olemas väljaspool ettevõtte süsteeme (paberil või eraldi seadmes), sest lunavara korral ei pruugi failiserver olla kättesaadav. Minimaalne sisu:

1. kriisimeeskonna liikmed, asendajad ja kontaktid (sh isiklikud telefoninumbrid);
2. otsustuspädevus: kes otsustab süsteemide sulgemise, avalikud teated, kindlustusandja teavitamise;
3. kindlustuslepingud: poliisinumbrid, kindlustusandjate kahjuteate kontaktid, küberkindlustuse intsidendiliin, maakleri kontakt;
4. välispartnerid: forensika, jurist, kommunikatsioon, pank;
5. seaduslikud teavitamiskohustused ja tähtajad;
6. kriitiliste süsteemide nimekiri ja taastamise järjekord;
7. sõnumipõhjad klientidele, töötajatele ja meediale.

7. Ajajoon tundide kaupa

Ajajoon on näitlik; tegelikud tähtajad sõltuvad sellest, millal ettevõte sündmusest teada sai, ja kindlustuslepingu tingimustest.

Seotud lehed

• Tõendite kogumine ja forensika
• Kommunikatsioon
• Kindlustusnõude strateegia
• Esimesed 72 tundi pärast kahju (juhend)
• Simulatsioonid

Viited