Kriisisimulatsioonid: küberrünnak, arvepettus ja D&O-kriis

Lühidalt. Simulatsioon on tõhusaim viis kontrollida, kas riskijuhtimine, sisekontroll ja kindlustusprogramm toimivad ka päris kriisis. Kindlustuslepingud ja protseduurid, mida ei ole läbi mängitud, ei pruugi kriisihetkel toimida. Simulatsioon ei testi üksnes reageerimiskiirust, vaid ka otsustusprotsesse, kommunikatsiooni, dokumenteerimist ja kindlustusnõude strateegiat.¹

Kuidas simulatsiooni korraldada

Vorm. Kõige praktilisem on lauaõppus (tabletop exercise): 2–4 tundi, osalejad istuvad koos ja moderaator annab stsenaariumi etappide kaupa uut infot („süst“). Osalejad otsustavad, mida teha, ja põhjendavad.

Osalejad. Juhatus, finantsjuht, IT- ja infoturbejuht, jurist, kommunikatsioonijuht, vajadusel personalijuht. Kasulik on kaasata kindlustusmaakler või kutsuda kindlustusandja kahjukäsitleja vaatlejaks.

Ettevalmistus.

• kriisiplaan, kontaktnimekirjad ja kindlustuspoliisid on laual;
• moderaator on stsenaariumi ette valmistanud ja teab, milliseid otsuseid ta tahab testida;
• eraldi protokollija kirjutab üles otsused, ajad ja lahtised küsimused.

Tulemus. Kirjalik kokkuvõte: mis toimis, mis ei toiminud, millised lüngad ilmnesid kindlustuskaitses, tegevuskava koos vastutajate ja tähtaegadega. Simulatsiooni dokumentatsioon on ühtlasi tõend juhatuse hoolsuse kohta (ÄS § 187).²

1. Küberrünnaku simulatsioon

Stsenaarium. Esmaspäeva hommikul teatab IT-osakond, et serverid on krüpteeritud ja ekraanil on lunarahanõue. Kriitilised süsteemid (ERP, arveldus, e-post) ei tööta.

Süstid:

1. Selgub, et varukoopiad on samuti krüpteeritud. Viimane võrguväline koopia on kolme nädala vanune.
2. Ründajad saadavad kirja: kliendiandmed on kopeeritud ja need avaldatakse, kui lunaraha ei maksta 72 tunni jooksul.
3. Ajakirjanik helistab ja küsib kommentaari.
4. Suurklient teatab, et rakendab leppetrahvi, kui tarned ei jätku kolme päeva jooksul.

Testitavad küsimused:

• Kes teeb esimesed otsused ja kuidas jõuab info juhatuseni?
• Kas süsteemid sulgeda? Kuidas tagada äritegevuse jätkumine?
• Kas ja millal teavitada RIA-t (24 h / 72 h, KüTS § 8) ja Andmekaitse Inspektsiooni (72 h, isikuandmete kaitse üldmääruse art 33)?³
• Kas maksta lunaraha? (Õiguslik hinnang, sanktsioonirisk, kindlustusandja nõusolek.)
• Kas forensika partner kaasatakse õigel ajal ja kas see on kindlustusandja heaks kiidetud?
• Kas tõendid säilivad?
• Kuidas teavitatakse kliente ja vastatakse meediale?

Kindlustuse vaates: kas kindlustusandjat teavitatakse õigel ajal, kas kasutatakse lepingus ette nähtud teenusepakkujaid, kas kulud kvalifitseeruvad kaetavateks, kas ärikatkestuse ooteaeg ja hüvitamisperiood on teada. Simulatsioon näitab, kas küberkindlustus toimib praktikas või jääb formaalseks.

2. Arvepettuse ahel (invoice fraud pathway)

Stsenaarium. Raamatupidaja saab pikaajaliselt tarnijalt e-kirja, milles teatatakse pangakonto muutumisest. Kiri on tarnija tegelikult aadressilt (tarnija e-post on kompromiteeritud) ja sisaldab korrektset arvet.

Etapid:

1. Kontroll. Kas töötaja kontrollib muudatust sõltumatu kanali kaudu (helistab varem teadaolevale numbrile, mitte kirjas olevale)? Või kinnitab muudatuse automaatselt?
2. Makseprotsess. Kas on mitmetasandiline kinnitamine, kas keegi kontrollib makse alust, kas uue saaja makse tekitab hoiatuse?
3. Avastamine. Kolm nädalat hiljem helistab tarnija ja küsib, miks arve on tasumata.
4. Reageerimine. Kas ettevõte võtab kohe ühendust pangaga, taotleb makse tagasikutsumist, esitab kuriteoteate, alustab finantsforensikat?
5. Kindlustus. Kas ettevõte suudab dokumenteerida kahju, rekonstrueerida rahavood ja esitada nõude? Kas juhtum kvalifitseerub Crime-lepingu alla? Kas sotsiaalse manipulatsiooni kate on olemas ja milline on alamlimiit? Kas lepingus on kontrollkõne nõue ja kas seda täideti?
6. Tarnija nõue. Tarnija nõuab arve tasumist uuesti. Kes kannab kahju, kui tarnija e-post oli kompromiteeritud? (Õiguslik küsimus, mis sõltub lepingust ja asjaoludest.)

Simulatsioon näitab, kas sisekontroll on piisav ja kas kindlustus katab reaalseid pettusestsenaariume. Kui lepingus puudub sotsiaalse manipulatsiooni või petturliku maksejuhise kate, selgub see siin, mitte pärast päris kahju.

3. D&O-kriisistsenaarium

Stsenaarium. Kuus kuud pärast andmeleket, mille käigus lekkisid kliendiandmed, esitab vähemusosanik kirjaliku nõude juhatuse liikmete vastu, väites, et riskijuhtimine oli puudulik ja juhatus eiras IT-juhi hoiatusi. Samal ajal küsib järelevalveasutus dokumente.

Testitavad küsimused:

• Kas juhatus suudab näidata, et riskid olid kaardistatud, et otsused olid informeeritud ja et IT-juhi hoiatusi käsitleti?
• Kas dokumentatsioon (protokollid, riskianalüüsid, eelarveotsused) on olemas ja leitav?
• Kas jurist kaasatakse varakult ja kas juhtidel on vaja eraldi esindajaid (huvide konflikt ettevõttega)?
• Kas D&O-kindlustusandjat teavitatakse nõudest ühe nädala jooksul (VÕS § 514)?⁴
• Kas järelevalve päring on lepingu mõttes „nõue“ või asjaolu, millest tuleb teatada?
• Kas kaitsekulud on kaetud ja kas kindlustusandja nõustub valitud advokaadiga?
• Kas kommunikatsioon investorite ja järelevalvega on korrektne ja ajastatud?

Testitakse ka juhatuse sisemist toimimist: kas otsused tehakse kollektiivselt, kas eriarvamused dokumenteeritakse ja kas vastutuse jaotus on selge. Kui juhatus ei suuda oma tegevust põhjendada, võib nii vastutus kui ka kindlustuskaitse osutuda probleemseks.

4. Lõimitud simulatsioon

Kõige realistlikum on lõimitud simulatsioon, kus küberintsident, pettus ja juhtimisvastutus on seotud. Näiteks: lunavararünnaku ajal saadetakse finantsosakonnale võltsitud „IT-teenuse“ arve, mis makstakse; kuu aega hiljem selgub andmeleke; pool aastat hiljem esitavad investorid nõude juhatuse vastu (vt stsenaarium 1).

Lõimitud simulatsioon näitab:

• kuidas riskid liiguvad ühest valdkonnast teise;
• kas kindlustusprogramm katab neid tervikuna;
• kas lepingute vahel on katteauke;
• kas nõuded eri kindlustusandjatele on kooskõlas.

5. Simulatsiooni kontrollnimekiri

Simulatsioon ei ole ühekordne harjutus. Seda on mõistlik korrata vähemalt kord aastas ja iga suurema muutuse järel (uus IT-platvorm, uus juhatus, uus kindlustusprogramm).

6. Moderaatori tööriistad ja hindamine

Süstide kaart. Moderaator valmistab ette kaardid, mis lisavad olukorrale uut infot kindlal ajal (nt 30. minutil teatab pank, et raha on edasi kantud; 60. minutil helistab ajakirjanik). Süstid peavad testima otsuseid, mitte teadmisi.

Hindamiskriteeriumid. Iga simulatsiooni lõpus hinnatakse:

• kui kiiresti jõudis info otsustajani;
• kas otsuste järjekord oli õige (isoleerimine ja tõendid enne taastamist);
• kas kõik seaduslikud ja lepingulised tähtajad tuvastati;
• kas teati, kus on poliisid ja kindlustusandjate kontaktid;
• kas sõnumid olid ühtsed;
• kas otsused dokumenteeriti.

7. Pärast simulatsiooni

Simulatsiooni väärtus selgub järeltegevuses:

1. Kokkuvõte 1 nädala jooksul: mis toimis, mis mitte, avastatud katteaugud.
2. Tegevuskava: vastutajad ja tähtajad (nt kriisiplaani täiendamine, kontaktide uuendamine, varunduse testimine).
3. Kindlustusprogrammi järeldused: kas simulatsioon näitas vajadust muuta alamlimiite, ooteaegu või laiendusi; need lähevad järgmise uuendamise päevakorda.
4. Juhatuse protokoll: simulatsiooni tulemused ja otsused kantakse juhatuse protokolli. See on hiljem tõend selle kohta, et juhatus tegeles riskiga hoolsalt (ÄS § 187).²

8. Simulatsiooni näidisajakava

Seotud lehed

• Praktikal põhinevad stsenaariumid
• Esimesed 24–72 tundi
• Kommunikatsioon
• Riskide enesehindamine

Viited