Первые 24–72 часа после киберинцидента или мошенничества

Коротко. Первые 24–72 часа являются решающими для объема ущерба, сохранения доказательств и страховой защиты. Первый шаг состоит в том, чтобы выявить и изолировать инцидент, второй в том, чтобы активировать кризисную команду, третий в том, чтобы документировать все решения. Нужно привлечь партнера по форензике, юриста, страховщика или брокера и специалиста по коммуникации. Правление не может ограничиваться наблюдением.¹ Краткий практический контрольный перечень приведен в руководстве о первых 72 часах.

1. Что делать немедленно?

Выявите и изолируйте

• Остановите распространение атаки: отключите зараженные системы от сети, заблокируйте скомпрометированные учетные записи, смените пароли привилегированных учетных записей.
• Сохраните журналы и доказательства: межсетевой экран, почтовый сервер, контроллер домена, журналы аудита облачных услуг.
• Не «очищайте» системы до расследования. Безопасно изолированные серверы не выключайте, если партнер по форензике этого не рекомендовал: доказательства, хранящиеся в оперативной памяти, исчезают. Если изоляция невозможна и заражение распространяется, все же выключите затронутое устройство, документируйте решение и привлеките специалиста; интерес к сохранению доказательств не должен препятствовать неотложной локализации инцидента.

Каждый технический шаг может повлиять на последующее доказывание. Если журналы удаляются или системы изменяются без документирования, это затрудняет как анализ атаки, так и предъявление страхового требования.

Пример. Предприятие обнаруживает, что системы зашифрованы. ИТ-отдел сразу начинает восстановление и удаляет часть журналов. Позднее не удается установить ни происхождение атаки, ни то, произошла ли утечка данных. Страховщик оспаривает размер ущерба и исполнение обязанностей по уведомлению. Этого можно избежать, если первичное реагирование структурировано.

При мошенничестве: остановите деньги

Если инцидент включает платеж на неправильный счет, первые часы критически важны для замораживания денег:

• немедленно позвоните в свой банк и попросите отозвать платеж (recall) и уведомить банк получателя;
• приостановите все аналогичные платежи и проверьте недавние изменения банковских реквизитов;
• подайте в полицию сообщение о преступлении (мошенничество, компьютерное мошенничество, присвоение, KarS § 209, § 213, § 201);²
• оцените вместе с юристом необходимость ходатайствовать об обеспечении иска.

Активируйте кризисную команду

В кризисную команду входят:

• правление или по меньшей мере один член правления, уполномоченный принимать решения;
• руководитель ИТ и информационной безопасности;
• финансовый директор;
• юрисконсульт;
• руководитель по коммуникации.

Назначьте заместителя для каждой роли и запишите, кто принимает решения о закрытии систем, о выкупе (он не выплачивается без правовой оценки и оценки страховщика), о публичных объявлениях и об уведомлении страховщика.

Документируйте

Все действия, от закрытия систем до общения с клиентами, фиксируются письменно с указанием времени. Кризисный журнал позднее станет доказательством как в страховом требовании, так и в споре D&O.

Квалифицируйте на раннем этапе

Уже в первые часы нужно оценить, может ли речь идти о киберинциденте, мошенничестве (риск crime) или ситуации, которая может привести к ответственности правления (риск D&O). Это определяет, какие договоры страхования могут сработать и какие сроки нужно соблюдать.

2. Кого привлечь?

Партнер по форензике. Специалист, способный установить характер атаки, оценить ее масштаб и сохранить доказательства. Многие договоры киберстрахования требуют использования поставщиков услуг, одобренных страховщиком, или покрывают расходы на других поставщиков услуг только по соглашению. Если предприятие действует самостоятельно и привлекает неподходящего партнера, это может повлиять на страховое возмещение. У большинства договоров киберстрахования есть круглосуточная линия по инцидентам: ее номер должен быть в кризисном плане.

Юрист. Роль юриста начинается сразу. Он оценивает законные обязанности по уведомлению, обеспечивает, чтобы действия не ухудшали правовое положение предприятия, направляет общение со страховщиком и при необходимости защищает личные интересы членов правления.

Страховщик или брокер. Большинство договоров требует незамедлительного уведомления. Если предприятие медлит, страховщик может утверждать, что промедление увеличило ущерб или помешало установлению обстоятельств.

Пример. Предприятие обнаруживает мошенничество, но пытается разрешить ситуацию самостоятельно и уведомляет страховщика через неделю. Страховщик утверждает, что промедление помешало заморозить деньги и уменьшить ущерб. По эстонскому праву запоздалое уведомление, как правило, не влечет автоматически полного освобождения от обязанности исполнения; нужно оценить применимое соглашение, форму вины при нарушении, а также то, повлияло ли нарушение и каким образом на установление страхового случая или ущерба и на объем обязанности страховщика по исполнению (VÕS § 452 ч. 2). При умышленном нарушении после страхового случая нужно отдельно учитывать VÕS § 449 ч. 2 и исключение, предусмотренное § 452 ч. 2 п. 3.³ Однако спор обходится дорого, и его можно избежать.

Специалист по коммуникации. Неправильная или запоздалая коммуникация усугубляет репутационный ущерб, увеличивает регуляторный риск и может привести к дополнительным требованиям (см. коммуникация).

Правление. Правление должно принимать стратегические решения, обеспечивать ресурсы и координировать кризисную команду. Позднее будет оцениваться, исполнило ли правление свои обязанности (ÄS § 187).⁴ В сфере применения Закона о кибербезопасности за это отвечает назначенный член правления (KüTS § 6¹).⁵

3. Законные сроки

Обязанность уведомлять субъектов данных при высоком риске также вытекает из общего регламента о защите персональных данных (ст. 34); ее необходимость нужно оценить вместе с юристом по защите данных.

4. Перспектива страхования

Первые часы критически важны и для страховой защиты. Договоры обычно содержат:

• требование незамедлительного уведомления;
• обязанность сотрудничества и обязанность предоставлять информацию;
• требование пользоваться одобренными поставщиками услуг;
• обязанность уменьшать ущерб.

Закон обязывает страхователя при страховом случае по возможности предотвращать и уменьшать ущерб и следовать указаниям страховщика; разумные расходы, понесенные для этого, возмещает страховщик (VÕS § 488, § 491).⁶ Поврежденное имущество до установления ущерба нельзя без согласия страховщика изменять таким образом, который затрудняет установление причины или размера ущерба, за исключением изменений, необходимых для уменьшения ущерба или в публичных интересах (VÕS § 488 ч. 2).

Параллельно нужно оценить, какие договоры могут быть относимыми: киберстрахование покрывает технические расходы и перерыв в деятельности, страхование crime денежный ущерб, а страхование D&O требования, предъявляемые к правлению. По каждому договору нужно уведомлять отдельно, но с единым содержанием (см. стратегия страхового требования).

5. Типичные ошибки

• недооценка инцидента и промедление с реагированием;
• уничтожение, повреждение или изменение доказательств;
• запоздалое уведомление страховщика;
• использование неподходящего поставщика услуг;
• отсутствие или провал коммуникации;
• общение с атакующим или выплата выкупа без правовой оценки (санкционный риск).

Это не технические ошибки, а ошибки управления. Поэтому кризисное управление напрямую связано с риском D&O.

6. Минимальное содержание кризисного плана

Кризисный план не обязательно должен быть объемным. Важно, чтобы он существовал вне систем предприятия (на бумаге или на отдельном устройстве), поскольку при атаке программы-вымогателя файловый сервер может быть недоступен. Минимальное содержание:

1. члены кризисной команды, их заместители и контакты (в том числе личные номера телефонов);
2. полномочия на принятие решений: кто решает о закрытии систем, публичных сообщениях, уведомлении страховщика;
3. договоры страхования: номера полисов, контакты страховщиков для уведомления об ущербе, линия по инцидентам по киберстрахованию, контакт брокера;
4. внешние партнеры: форензика, юрист, коммуникация, банк;
5. законные обязанности по уведомлению и сроки;
6. перечень критических систем и очередность их восстановления;
7. шаблоны сообщений для клиентов, работников и СМИ.

7. Хронология по часам

Хронология является иллюстративной; фактические сроки зависят от того, когда предприятию стало известно о событии, и от условий договора страхования.

Связанные страницы

• Сбор доказательств и форензика
• Коммуникация
• Стратегия страхового требования
• Первые 72 часа после происшествия (руководство)
• Симуляции

Примечания