Симуляции кризисов: кибератака, мошенничество со счетами, D&O

Коротко. Симуляция является самым эффективным способом проверить, работают ли управление рисками, внутренний контроль и страховая программа в реальном кризисе. Договоры страхования и процедуры, которые не были отработаны, могут не сработать в момент кризиса. Симуляция проверяет не только скорость реагирования, но и процессы принятия решений, коммуникацию, документирование и стратегию страхового требования.¹

Как организовать симуляцию

Форма. Наиболее практичны настольные учения (tabletop exercise): 2–4 часа, участники сидят вместе, а модератор поэтапно дает новую информацию по сценарию («вводные»). Участники решают, что делать, и обосновывают свои решения.

Участники. Правление, финансовый директор, руководитель ИТ и информационной безопасности, юрист, руководитель по коммуникации, при необходимости руководитель по персоналу. Полезно привлечь страхового брокера или пригласить специалиста страховщика по урегулированию убытков в качестве наблюдателя.

Подготовка.

• кризисный план, списки контактов и страховые полисы лежат на столе;
• модератор заранее подготовил сценарий и знает, какие решения он хочет проверить;
• отдельный протоколист записывает решения, время и открытые вопросы.

Результат. Письменное резюме: что сработало, что не сработало, какие пробелы выявились в страховой защите, план действий с ответственными лицами и сроками. Документация симуляции одновременно является доказательством прилежания правления (ÄS § 187).²

1. Симуляция кибератаки

Сценарий. В понедельник утром ИТ-отдел сообщает, что серверы зашифрованы, а на экране требование выкупа. Критические системы (ERP, расчеты, электронная почта) не работают.

Вводные:

1. Выясняется, что резервные копии также зашифрованы. Последней копии вне сети три недели.
2. Атакующие присылают письмо: данные клиентов скопированы и будут опубликованы, если выкуп не будет уплачен в течение 72 часов.
3. Звонит журналист и просит комментарий.
4. Крупный клиент сообщает, что применит договорный штраф, если поставки не возобновятся в течение трех дней.

Проверяемые вопросы:

• Кто принимает первые решения и как информация доходит до правления?
• Отключать ли системы? Как обеспечить продолжение предпринимательской деятельности?
• Уведомлять ли и когда RIA (24 ч / 72 ч, KüTS § 8) и Инспекцию по защите данных (72 ч, ст. 33 общего регламента о защите персональных данных)?³
• Платить ли выкуп? (Правовая оценка, санкционный риск, согласие страховщика.)
• Привлекается ли партнер по форензике вовремя и одобрен ли он страховщиком?
• Сохраняются ли доказательства?
• Как уведомляются клиенты и как отвечают СМИ?

С точки зрения страхования: уведомляется ли страховщик вовремя, используются ли предусмотренные договором поставщики услуг, квалифицируются ли расходы как покрываемые, известны ли период ожидания и период возмещения по перерыву в деятельности. Симуляция показывает, работает ли киберстрахование на практике или остается формальным.

2. Цепочка мошенничества со счетами (invoice fraud pathway)

Сценарий. Бухгалтер получает от давнего поставщика электронное письмо, в котором сообщается об изменении банковского счета. Письмо пришло с фактического адреса поставщика (электронная почта поставщика скомпрометирована) и содержит правильный счет.

Этапы:

1. Проверка. Проверяет ли работник изменение по независимому каналу (звонит по ранее известному номеру, а не по номеру из письма)? Или подтверждает изменение автоматически?
2. Платежный процесс. Есть ли многоуровневое подтверждение, проверяет ли кто-нибудь основание платежа, вызывает ли платеж новому получателю предупреждение?
3. Обнаружение. Через три недели звонит поставщик и спрашивает, почему счет не оплачен.
4. Реагирование. Связывается ли предприятие сразу с банком, ходатайствует ли об отзыве платежа, подает ли сообщение о преступлении, начинает ли финансовую форензику?
5. Страхование. Может ли предприятие задокументировать ущерб, восстановить денежные потоки и предъявить требование? Подпадает ли случай под договор crime? Есть ли страховая защита от социальной инженерии и каков сублимит? Есть ли в договоре требование о контрольном звонке и было ли оно выполнено?
6. Требование поставщика. Поставщик требует повторной оплаты счета. Кто несет ущерб, если электронная почта поставщика была скомпрометирована? (Правовой вопрос, ответ на который зависит от договора и обстоятельств.)

Симуляция показывает, достаточен ли внутренний контроль и покрывает ли страхование реальные сценарии мошенничества. Если в договоре нет страховой защиты от социальной инженерии или мошеннического платежного указания, это выяснится здесь, а не после реального ущерба.

3. Сценарий кризиса D&O

Сценарий. Через шесть месяцев после утечки, в ходе которой утекли данные клиентов, миноритарный участник предъявляет письменное требование к членам правления, утверждая, что управление рисками было ненадлежащим, а правление игнорировало предупреждения руководителя ИТ. Одновременно надзорный орган запрашивает документы.

Проверяемые вопросы:

• Может ли правление показать, что риски были выявлены и оценены, решения были информированными, а предупреждения руководителя ИТ были рассмотрены?
• Существует ли документация (протоколы, анализы рисков, бюджетные решения) и можно ли ее найти?
• Привлекается ли юрист на раннем этапе и нужны ли руководителям отдельные представители (конфликт интересов с предприятием)?
• Уведомляется ли страховщик D&O о требовании в течение одной недели (VÕS § 514)?⁴
• Является ли запрос надзорного органа «требованием» в смысле договора или обстоятельством, о котором нужно уведомить?
• Покрыты ли расходы на защиту и согласен ли страховщик с выбранным адвокатом?
• Является ли коммуникация с инвесторами и надзорным органом правильной и своевременной?

Проверяется и внутреннее функционирование правления: принимаются ли решения коллегиально, документируются ли особые мнения и ясно ли распределение ответственности. Если правление не может обосновать свои действия, проблемными могут оказаться как ответственность, так и страховая защита.

4. Интегрированная симуляция

Наиболее реалистична интегрированная симуляция, в которой связаны киберинцидент, мошенничество и ответственность руководства. Например: во время атаки программы-вымогателя финансовому отделу направляется поддельный счет за «ИТ-услугу», который оплачивается; через месяц выясняется утечка данных; через полгода инвесторы предъявляют требование к правлению (см. сценарий 1).

Интегрированная симуляция показывает:

• как риски переходят из одной области в другую;
• покрывает ли их страховая программа в целом;
• есть ли между договорами пробелы в страховой защите;
• согласованы ли требования к разным страховщикам.

5. Контрольный перечень симуляции

Симуляция не является однократным упражнением. Ее разумно повторять не реже одного раза в год и после каждого крупного изменения (новая ИТ-платформа, новое правление, новая страховая программа).

6. Инструменты модератора и оценка

Карта вводных. Модератор готовит карточки, которые в определенное время добавляют к ситуации новую информацию (например, на 30-й минуте банк сообщает, что деньги переведены дальше; на 60-й минуте звонит журналист). Вводные должны проверять решения, а не знания.

Критерии оценки. В конце каждой симуляции оценивается:

• насколько быстро информация дошла до лица, принимающего решения;
• была ли последовательность решений правильной (изоляция и доказательства до восстановления);
• были ли выявлены все законные и договорные сроки;
• было ли известно, где находятся полисы и контакты страховщиков;
• были ли сообщения едиными;
• были ли решения задокументированы.

7. После симуляции

Ценность симуляции проявляется в последующих действиях:

1. Резюме в течение 1 недели: что сработало, что нет, обнаруженные пробелы в страховой защите.
2. План действий: ответственные лица и сроки (например, дополнение кризисного плана, обновление контактов, проверка резервного копирования).
3. Выводы для страховой программы: показала ли симуляция необходимость изменить сублимиты, периоды ожидания или расширения; эти вопросы включаются в повестку следующего продления.
4. Протокол правления: результаты симуляции и решения вносятся в протокол правления. Позднее это станет доказательством того, что правление занималось риском с прилежанием (ÄS § 187).²

8. Примерное расписание симуляции

Связанные страницы

• Сценарии на основе практики
• Первые 24–72 часа
• Коммуникация
• Самооценка рисков

Примечания