Сбор доказательств и форензика при киберинциденте и мошенничестве

Коротко. Сбор доказательств является не просто технической деятельностью, а процессом, имеющим решающее правовое значение. Качество форензики влияет на то, будут ли установлены характер и масштаб атаки, можно ли доказать размер ущерба, будет ли удовлетворено страховое требование и можно ли предъявить требования к ответственным лицам. Самая распространенная ошибка состоит в том, чтобы сосредоточиться на быстром восстановлении и отодвинуть доказательства на второй план.¹

Три центральных компонента: ИТ-форензика, анализ финансовых потоков и сохранение доказательств.

1. ИТ-форензика

Цель ИТ-форензики состоит в том, чтобы установить, что произошло, как это произошло и каким был масштаб атаки. Она включает:

• установление вектора атаки (фишинговое письмо, уязвимая система, скомпрометированный поставщик, действие инсайдера);
• выявление скомпрометированных систем и учетных записей;
• оценку объема изменения данных или их утечки;
• восстановление хронологии действий атакующего.

ИТ-форензика является не техническим аудитом, а процессом доказывания. Собранные данные должны быть подлинными, проверяемыми и задокументированными таким образом, который позволяет использовать их в споре.

Пример. Предприятие обнаруживает на сервере вредоносное программное обеспечение. ИТ-отдел сразу удаляет его, но не сохраняет состояние системы и журналы. Позднее невозможно установить, как произошла атака и была ли допущена утечка данных. Это затрудняет как оценку ущерба и оценку обязанностей по уведомлению в сфере защиты данных, так и предъявление страхового требования.

Поэтому форензику должен проводить специалист, использующий стандартизированные методы. Многие договоры киберстрахования требуют или предпочитают партнеров по форензике из панели страховщика; их раннее привлечение помогает обеспечить, чтобы доказательства соответствовали ожиданиям страховщика, а расходы были покрыты. Отчет по форензике служит основой для страхового требования, регуляторного производства и возможного судебного спора.

Заказ через юрисконсульта. В международной практике форензику часто заказывают через юриста, чтобы защитить конфиденциальность отчета. В эстонском праве отчет по форензике сам по себе не является документом, защищенным адвокатской тайной; объем защиты зависит от того, кто и с какой целью заказал и составил отчет. Это нужно учитывать до того, как отчет будет передан страховщику, надзорному органу или противной стороне.

2. Анализ финансовых потоков

Если инцидент включает денежный ущерб (мошенничество, присвоение), критически важна финансовая форензика. Ее цель состоит в том, чтобы:

• установить, куда ушли деньги;
• восстановить цепочку сделок;
• оценить размер ущерба;
• отследить путь денег и по возможности вернуть их.

Финансовая форензика сосредоточена на аномальных и скрытых операциях: банковские операции, платежные поручения, связанные лица и счета, международные переводы, изменения в реестре поставщиков, записи в главной книге.

Пример. Из-за мошенничества предприятие совершает несколько переводов на разные счета. На первый взгляд кажется, что деньги пропали. Финансовая форензика устанавливает, что деньги прошли через несколько юрисдикций и часть из них можно заморозить.

С точки зрения страхования финансовый анализ важен, поскольку:

• страхование crime требует точных доказательств прямого ущерба и механизма его возникновения;
• страховщик может оспорить размер ущерба;
• при длительном внутреннем мошенничестве нужно доказать, когда ущерб возник и когда был обнаружен (проверка периода обнаружения и ретроактивной даты);
• возвращенные суммы уменьшают страховое возмещение или подлежат возврату страховщику.

Финансовый анализ может понадобиться и в контексте D&O, если к правлению предъявляется требование в связи с предотвращением или обнаружением мошенничества.

3. Сохранение доказательств

Сохранение доказательств является наиболее критической и часто недооцениваемой частью форензики. Даже собранные доказательства теряют ценность, если они сохраняются ненадлежащим образом. Сохранение включает:

• обеспечение целостности данных (хеш-значения, копии, защищенные от записи);
• контроль доступа;
• предотвращение изменений;
• документированную цепочку хранения доказательств (chain of custody): кто, когда и с какой целью работал с доказательством.

В споре должно быть возможно показать, что доказательства не изменялись. Иначе противная сторона или страховщик могут оспорить их достоверность.

Пример. Предприятие сохраняет журналы после инцидента, но не документирует, кто и когда получал к ним доступ. Позднее страховщик утверждает, что журналы могли быть изменены.

Кроме того, нужно учитывать, что:

• доказательства нужно хранить достаточно долго (споры могут длиться годами; срок давности требования, вытекающего из договора страхования, как правило, составляет три года, VÕS § 475 ч. 1);²
• доказательства нужно защищать и от внутренних рисков (при внутреннем мошенничестве подозреваемым может быть работник ИТ или финансового отдела);
• доказательства должны быть доступны как юристам, так и экспертам;
• электронные письма нужно сохранять вместе с заголовками (headers), а не только в виде снимка экрана.

4. Перспектива страхования

Страховщик оценивает, достаточно ли доказан ущерб, достоверны ли доказательства и исполнило ли застрахованное лицо обязанность сотрудничества. Договоры обычно обязывают сохранять доказательства, сотрудничать со страховщиком и обеспечивать возможность расследования.

По эстонскому праву наступление страхового случая, как правило, должно доказать лицо, предъявившее требование, а страховщик доказывает обстоятельства, служащие основанием для отказа, в том числе нарушение обязанности и его влияние.³ Вместе с тем Государственный суд подчеркнул обязанность сотрудничества страхователя: страхователь должен предоставлять информацию и документы, которые ему доступны и необходимы для установления объема обязанностей страховщика.⁴ Типовое условие, позволяющее доказывать ущерб только определенными доказательствами (например, только осмотром или предъявлением годных остатков), может оказаться условием, неразумно причиняющим вред потребителю.⁵

Расходы на форензику в киберстраховании обычно покрываются. Таким образом, правильно проведенная форензика является не только расходом, но и частью страховой защиты.

5. Типичные ошибки

• быстрая «очистка» систем до анализа;
• удаление или перезапись журналов (срок хранения журналов часто составляет лишь несколько дней);
• недостаточное документирование;
• использование ненадежных инструментов;
• форензика без квалифицированного специалиста;
• при подозрении на внутреннее мошенничество привлечение подозреваемого к расследованию.

В результате характер атаки может остаться неясным, ущерб окажется недоказуемым, а страховое требование будет отклонено. Без качественного доказывания даже очевидный ущерб может остаться невозмещенным.

6. План сохранения доказательств до инцидента

Доказательства часто исчезают еще до того, как кто-то начинает их собирать. Поэтому подготовку нужно провести до инцидента.

• Срок хранения журналов. Во многих системах срок хранения журналов составляет лишь несколько дней. Журналы критических систем (электронная почта, удаленный доступ, облачные услуги, контроллер домена, платежные системы) должны храниться не менее нескольких месяцев и быть защищены от удаления.
• Распоряжение о сохранении доказательств. Письменный порядок, на основании которого правление или юрист может при инциденте приостановить обычное удаление документов и электронных писем.
• Партнер по форензике. Договор или по меньшей мере контакт с заранее выбранным партнером, которого принимает страховщик.
• Доступы. Известно, кто может предоставить форензике доступ к журналам аудита облачных услуг и как сделать это быстро.
• Банковские документы. Известно, как быстро получить от банка подробности платежей и переписку.

7. Внутреннее расследование и работники

При подозрении на внутреннее мошенничество при сборе доказательств нужно учитывать и права работника. Проверка электронной почты и устройств работника должна проводиться правомерно и соразмерно с учетом требований о защите персональных данных и внутренних правил предприятия. Практические принципы:

• подозреваемого не привлекают к расследованию и не уведомляют до того, как доказательства будут обеспечены;
• расследованием руководит лицо, у которого нет конфликта интересов;
• каждый шаг документируется;
• при необходимости привлекается полиция, полномочия которой по сбору доказательств шире.

Неправильно собранное доказательство может иметь в споре меньшую ценность и, в свою очередь, повлечь ответственность предприятия.

8. Контрольный перечень для партнера по форензике

• Входит ли партнер в панель страховщика или его привлечение письменно согласовано со страховщиком?
• Документирует ли партнер цепочку хранения доказательств?
• Разграничивает ли отчет факты, выводы и предположения?
• Отвечает ли отчет на вопросы, которые задают страховщик и надзорный орган (начало, масштаб, затронутые данные, вектор атаки)?

9. Виды доказательств и их ценность

Связанные страницы

• Первые 24–72 часа
• Как предъявить требование
• Страховой случай, уведомление и доказывание
• Страхование crime

Примечания