# Tõendite kogumine ja forensika küberintsidendi ja pettuse korral

Aadress: https://kindlustusoigus.ee/riskijuhtimine/intsident-ja-kriisijuhtimine/toendid-ja-forensika/
Autor: Olavi-Jüri Luik, PhD, Partner, kindlustusõiguse valdkonna juht, vandeadvokaat (Advokaadibüroo WIDEN OÜ)
Viimati uuendatud: 2026-11-05

> IT-forensika, finantsvoogude analüüs ja tõendite säilitamine (tõendiahel). Miks forensika kvaliteet määrab kindlustusnõude ja vaidluse tulemuse.

> **Lühidalt.** Tõendite kogumine ei ole pelgalt tehniline tegevus, vaid õiguslikult määrav protsess. Forensika kvaliteet mõjutab, kas ründe olemus ja ulatus tuvastatakse, kas kahju suurus on tõendatav, kas kindlustusnõue rahuldatakse ja kas vastutavate isikute vastu saab nõudeid esitada. Kõige levinum viga on keskenduda kiirele taastamisele ja jätta tõendid tahaplaanile.[^1]

Kolm keskset komponenti on IT-forensika, finantsvoogude analüüs ja tõendite säilitamine.

## 1. IT-forensika

IT-forensika eesmärk on tuvastada, mis juhtus, kuidas juhtus ja milline oli ründe ulatus. See hõlmab:

- ründevektori tuvastamist (õngitsuskiri, haavatav süsteem, kompromiteeritud tarnija, siseringi tegu);
- kompromiteeritud süsteemide ja kontode kindlakstegemist;
- andmete muutmise või lekkimise ulatuse hindamist;
- ründaja tegevuse ajajoone rekonstrueerimist.

IT-forensika ei ole tehniline audit, vaid tõendamisprotsess. Kogutud andmed peavad olema autentsed, kontrollitavad ja dokumenteeritud viisil, mis võimaldab neid kasutada vaidluses.

**Näide.** Ettevõte avastab serveris pahavara. IT-osakond eemaldab selle kohe, kuid ei salvesta süsteemi seisundit ega logisid. Hiljem ei ole võimalik tuvastada, kuidas rünnak toimus ja kas andmeid lekitati. See raskendab nii kahju hindamist, andmekaitsealaste teavitamiskohustuste hindamist kui ka kindlustusnõude esitamist.

Seetõttu peab forensika läbi viima standardiseeritud meetodeid kasutav spetsialist. Paljud küberkindlustuse lepingud nõuavad või eelistavad kindlustusandja paneeli kuuluvaid forensika partnereid; nende varane kaasamine aitab tagada, et tõendid vastavad kindlustusandja ootustele ja et kulud on kaetud. Forensika aruanne on alus kindlustusnõudele, regulatiivsele menetlusele ja võimalikule kohtuvaidlusele.

**Õigusnõustaja kaudu tellimine.** Rahvusvahelises praktikas tellitakse forensika sageli juristi kaudu, et kaitsta aruande konfidentsiaalsust. Eesti õiguses ei ole forensikaaruanne iseenesest advokaadisaladusega kaitstud dokument; kaitse ulatus sõltub sellest, kes ja mis eesmärgil aruande tellis ja koostas. Seda tuleb arvestada enne, kui aruanne jagatakse kindlustusandja, järelevalve või vastaspoolega.

## 2. Finantsvoogude analüüs

Kui intsident hõlmab rahalist kahju (pettus, omastamine), on kriitiline finantsforensika. Selle eesmärk on:

- tuvastada, kuhu raha liikus;
- rekonstrueerida tehingute ahel;
- hinnata kahju ulatust;
- jälgida raha teekonda ja saada see võimaluse korral tagasi.

Finantsforensika keskendub ebanormaalsetele ja varjatud tehingutele: pangatehingud, maksekorraldused, seotud isikud ja kontod, rahvusvahelised ülekanded, tarnijaregistri muudatused, pearaamatu kanded.

**Näide.** Ettevõte teeb pettuse tõttu mitu ülekannet eri kontodele. Esmapilgul tundub, et raha on kadunud. Finantsforensika tuvastab, et raha liikus läbi mitme jurisdiktsiooni ja osa sellest on võimalik külmutada.

Kindlustuse seisukohalt on finantsanalüüs oluline, sest:

- Crime-kindlustus nõuab täpseid tõendeid otsese kahju ja selle tekkimise mehhanismi kohta;
- kindlustusandja võib vaidlustada kahju suuruse;
- pikaajalise sisepettuse korral tuleb tõendada, millal kahju tekkis ja avastati (avastamisperioodi ja tagasiulatuva kuupäeva kontroll);
- tagasisaadud summad vähendavad hüvitist või tuleb kindlustusandjale tagastada.

Finantsanalüüs võib olla vajalik ka D&O-kontekstis, kui juhatuse vastu esitatakse nõue seoses pettuse ennetamise või avastamisega.

## 3. Tõendite säilitamine

Tõendite säilitamine on forensika kõige kriitilisem ja sageli alahinnatud osa. Ka kogutud tõendid kaotavad väärtuse, kui neid ei säilitata korrektselt. Säilitamine hõlmab:

- andmete tervikluse tagamist (räsiväärtused, kirjutuskaitstud koopiad);
- juurdepääsu kontrolli;
- muutmise vältimist;
- dokumenteeritud tõendiahelat (*chain of custody*): kes, millal ja mis eesmärgil tõendiga tegeles.

Vaidluses peab olema võimalik näidata, et tõendeid ei ole muudetud. Vastaspool või kindlustusandja võib muidu vaidlustada nende usaldusväärsuse.

**Näide.** Ettevõte salvestab logid pärast intsidenti, kuid ei dokumenteeri, kes ja millal neile ligi pääses. Hiljem väidab kindlustusandja, et logisid võidi muuta.

Lisaks tuleb arvestada, et:

- tõendeid tuleb säilitada piisavalt kaua (vaidlused võivad kesta aastaid; kindlustuslepingust tuleneva nõude aegumistähtaeg on üldjuhul kolm aastat, VÕS § 475 lg 1);[^2]
- tõendeid tuleb kaitsta ka sisemiste riskide eest (sisepettuse korral võib kahtlustatav olla IT- või finantstöötaja);
- tõendid peavad olema kättesaadavad nii juristidele kui ka ekspertidele;
- e-kirjad tuleb säilitada koos päistega (*headers*), mitte ainult ekraanipildina.

## 4. Kindlustuse perspektiiv

Kindlustusandja hindab, kas kahju on piisavalt tõendatud, kas tõendid on usaldusväärsed ja kas kindlustatu on täitnud koostöökohustuse. Lepingud kohustavad tavaliselt tõendeid säilitama, tegema kindlustusandjaga koostööd ja võimaldama uurimist.

Eesti õiguses peab kindlustusjuhtumi toimumist üldjuhul tõendama nõude esitaja, kindlustusandja aga keeldumise aluseks olevaid asjaolusid, sh kohustuse rikkumist ja selle mõju.[^3] Riigikohus on samas rõhutanud kindlustusvõtja koostöökohustust: kindlustusvõtja peab andma teavet ja dokumente, mis on talle kättesaadavad ja vajalikud kindlustusandja kohustuste ulatuse kindlakstegemiseks.[^4] Tüüptingimus, mis lubab kahju tõendada ainult teatud kindlate tõenditega (näiteks ainult ülevaatuse või jäänuste esitamisega), võib olla tarbijale ebamõistlikult kahjustav.[^5]

Forensikakulud on küberkindlustuses tavaliselt kaetud. Õigesti tehtud forensika ei ole seega ainult kulu, vaid osa kindlustuskaitsest.

## 5. Tüüpilised vead

- süsteemide kiire „puhastamine“ enne analüüsi;
- logide kustutamine või ülekirjutamine (logide säilitusaeg on sageli vaid mõni päev);
- puudulik dokumenteerimine;
- ebausaldusväärsete tööriistade kasutamine;
- forensika ilma kvalifitseeritud spetsialistita;
- sisepettuse kahtluse korral kahtlustatava kaasamine uurimisse.

Tulemus võib olla, et ründe olemus jääb ebaselgeks, kahju ei ole tõendatav ja kindlustusnõue lükatakse tagasi. Kvaliteetse tõendamiseta võib ka ilmselge kahju jääda hüvitamata.

## 6. Tõendite säilitamise plaan enne intsidenti

Tõendid kaovad sageli juba enne, kui keegi neid koguma hakkab. Seetõttu tuleb ettevalmistus teha enne intsidenti.

- **Logide säilitusaeg.** Paljudes süsteemides on logide säilitusaeg vaid mõni päev. Kriitiliste süsteemide (e-post, kaugligipääs, pilveteenused, domeenikontroller, maksesüsteemid) logid peaksid säilima vähemalt mitu kuud ja olema kaitstud kustutamise eest.
- **Tõendite säilitamise korraldus.** Kirjalik kord, mille alusel juhatus või jurist saab intsidendi korral peatada dokumentide ja e-kirjade tavapärase kustutamise.
- **Forensika partner.** Leping või vähemalt kontakt eelnevalt valitud partneriga, keda kindlustusandja aktsepteerib.
- **Ligipääsud.** Teada on, kes saab anda forensikale ligipääsu pilveteenuste auditilogidele ja kuidas seda teha kiiresti.
- **Pangadokumendid.** Teada on, kuidas saada pangalt maksete üksikasjad ja kirjavahetus kiiresti.

## 7. Sisejuurdlus ja töötajad

Sisepettuse kahtluse korral tuleb tõendite kogumisel arvestada ka töötaja õigustega. Töötaja e-posti ja seadmete kontrollimine peab toimuma õiguspäraselt ja proportsionaalselt, arvestades isikuandmete kaitse nõudeid ja ettevõtte sisekordi. Praktilised põhimõtted:

- kahtlustatavat ei kaasata uurimisse ega teavitata enne, kui tõendid on kindlustatud;
- juurdlust juhib isik, kes ei ole huvide konfliktis;
- iga samm dokumenteeritakse;
- vajaduse korral kaasatakse politsei, kelle volitused tõendite kogumiseks on laiemad.

Valesti kogutud tõend võib olla vaidluses vähem väärtuslik ja tekitada ettevõttele omakorda vastutuse.

## 8. Kontrollnimekiri forensika partnerile

- Kas partner on kindlustusandja paneelis või on tema kaasamine kindlustusandjaga kirjalikult kooskõlastatud?
- Kas partner dokumenteerib tõendiahela?
- Kas aruanne eristab fakte, järeldusi ja oletusi?
- Kas aruanne vastab küsimustele, mida kindlustusandja ja järelevalve küsivad (algus, ulatus, mõjutatud andmed, ründevektor)?

## 9. Tõendite tüübid ja nende väärtus

| Tõend | Väärtus kindlustusnõudes | Tüüpiline probleem |
|---|---|---|
| Süsteemi- ja turvalogid | Kõrge, kui terviklikkus on tagatud | Lühike säilitusaeg, ülekirjutamine |
| Mälutõmmis (*memory dump*) | Kõrge ründevektori tuvastamisel | Kaob seadme väljalülitamisel |
| E-kirjad koos päistega | Kõrge pettuse mehhanismi tõendamisel | Säilitatakse ainult ekraanipildina |
| Pangadokumendid | Kõrge kahju suuruse tõendamisel | Hilinenud päring pangale |
| Kriisipäevik | Keskmine kuni kõrge (näitab hoolsust ja kohustuste täitmist) | Pole peetud või täidetud tagantjärele |
| Tunnistajate ütlused | Keskmine | Mälu tuhmub; tuleb kirja panna kohe |
| Ekspertarvamus | Kõrge, kui ekspert on sõltumatu ja meetodid kirjeldatud | Ekspert kaasatud liiga hilja |

## Seotud lehed

- [Esimesed 24–72 tundi](https://kindlustusoigus.ee/riskijuhtimine/intsident-ja-kriisijuhtimine/esimesed-24-72-tundi)
- [Kuidas nõuet esitada](https://kindlustusoigus.ee/riskijuhtimine/nouded-ja-vaidlused/noude-esitamine)
- [Kindlustusjuhtum, teatamine ja tõendamine](https://kindlustusoigus.ee/riigikohus/kindlustusjuhtum-teatamine-toendamine-ja-huvitise-sissenoutavus)
- [Crime-kindlustus](https://kindlustusoigus.ee/kindlustusliigid/kahjukindlustus/crime-kindlustus)

## Viited

[^1]: O.-J. Luik. Ettevõtte juhtkonna riskiraamat. Käsikiri, seis 03.05.2026, ptk 32.
[^2]: Võlaõigusseadus (VÕS) § 475 lg 1 (RT I, 20.06.2026, 18; jõust. 01.09.2026). – https://www.riigiteataja.ee/akt/V%C3%95S
[^3]: RKTKo 05.04.2006, 3-2-1-17-06, p 10–11. – https://www.riigikohus.ee/et/lahendid?asjaNr=3-2-1-17-06; RKTKo 07.06.2017, 3-2-1-58-17, p 13–14. – https://www.riigikohus.ee/et/lahendid?asjaNr=3-2-1-58-17
[^4]: RKTKo 25.03.2026, 2-23-10549/35, p 11–13. – https://www.riigikohus.ee/et/lahendid?asjaNr=2-23-10549/35
[^5]: RKTKo 28.11.2007, 3-2-1-106-07, p 10–12. – https://www.riigikohus.ee/et/lahendid?asjaNr=3-2-1-106-07