Tietotekniikan rikostekninen tutkimus · Vakuutukset

Miten vakuutusyhtiö voi teettää riippumattoman tarkastuksen toisen palveluntarjoajan incident response -raporteista?

Bei Großschäden können bereits Berichte eines SOC, MSSP oder Incident-Response-Unternehmens vorliegen. Deren tragende technische Aussagen können gegen verfügbare Primärdaten validiert werden.

Pyydä sitoumukseton tarjous

Miksi tämä kysymys on tärkeä vakuutusyhtiölle

Kybervakuutusvahingot voivat aiheuttaa merkittäviä taloudellisia seurauksia. Siksi on erityisen tärkeää tehdä selkeä ero oletetun hyökkäyksen, todistetun tietoturvaloukkauksen ja tosiasiallisesti tapahtuneen teknisen vahingon välillä. Vain jäljitettävä tapahtumien rekonstruointi luo luotettavan perustan vahingon jatkotutkimukselle.

Tekninen todistuskysymys ja tutkimuslähestymistapa

Kybervakuutusvahingon tapauksessa tutkimuksen lähtökohtana on konkreettinen tekninen todistuskysymys. Rikostekninen arviointi ei saa olla suunnattu vahinkoilmoituksen ehdottomaan vahvistamiseen eikä korvauksen epäämisen tekniseen perusteluun.

LanCologne tutkii siksi käytettävissä olevia primaaritietoja ilman ennakko-oletuksia. Todistusaiheesta riippuen tähän voivat kuulua järjestelmä- ja turvallisuuslokit, päätelaitteiden artefaktit, verkkotiedot, todennustapahtumat, pilvi- ja auditointitiedot, tiedostojärjestelmärakenteet, varmuuskopiotiedot tai muut teknisesti sopivat lähteet. Se, mitä lähteitä tosiasiallisesti tutkitaan, riippuu kunkin tapauksen erityispiirteistä, lähteiden saatavuudesta ja oikeudellisesta sallittavuudesta.

Aikajärjestyksen rekonstruoinnilla on erityinen merkitys. On erotettava toisistaan havaitsemisajankohta, ensimmäinen tunkeutuminen, järjestelmän vaarantuminen, mahdollinen pysyvyys, konkreettinen vahingonteko, eristäminen ja palauttaminen. Hälytyksen ajankohta ei automaattisesti tarkoita hyökkäyksen alkua. Samoin järjestelmän vaarantuminen ei automaattisesti todista tietovuotoa tai kaikkien saatavilla olevien tietojen salausta.

Keskeiset havainnot verrataan mahdollisuuksien mukaan useiden toisistaan riippumattomien tietolähteiden kanssa. Automaattisia raportteja ja ohjelmistojen tuottamia esityksiä ei pidetä tarkistamatta varsinaisena todistusaineistona. Ratkaisevien väitteiden osalta viitataan niiden perustana oleviin lähteisiin ja primaaritietoihin.

Myös kielteinen havainto muotoillaan tarkasti. Jos esimerkiksi tietovuotoa ei voida todistaa, tämä merkitsee luotettavaa poissulkemista vain silloin, kun käytettävissä oleva telemetria tosiasiallisesti mahdollistaa tällaisen poissulkemisen. Jos asiaankuuluvia lokitietoja puuttuu, on nimenomaisesti mainittava, mihin asti johtopäätös ulottuu.

Tämä tarjoaa vakuutusyhtiöille vankan teknisen perustan: Mikä on todistettu? Mikä on teknisesti uskottavaa, mutta ei todistettua? Mikä oletus on kumottu? Ja mihin kysymykseen ei voida enää vastata luotettavasti saatujen tietojen perusteella?

Toimintatapamme

1Määritellään konkreettinen tekninen todistuskysymys yhdessä tilaajan kanssa.
2Määritä asiaankuuluvat järjestelmät, tilit, pilvipalvelulähteet ja tietokantojen tilat.
3Laillisesti saatavilla olevien todistusaineistojen varmistaminen tai siirtäminen.
4Tutkimustietojen luotettavuus, alkuperä ja ajallinen viite on dokumentoitava.
5Tapahtumien kulun rekonstruointi primaaritietojen perusteella.
6Erotetaan toisistaan ensimmäinen tunkeutuminen, järjestelmän vaarantaminen ja konkreettinen vahingonteko.
7Erotetaan toisistaan järjestelmät, joihin vaikutus kohdistuu, ja järjestelmät, joihin vaikutus kohdistuu vain mahdollisesti.
8Arvioi tietojen käyttö, tietojen vuotaminen ja tietojen salaus erikseen.
9Sijoita tapahtumien hallinta- ja palautustoimenpiteet aikajanaan.
10Dokumentoi vahvistavat, ristiriitaiset ja avoimet löydökset yhtä lailla.
11Tekniset ilmoitusrajoitukset on nimenomaisesti mainittava.
12Jätetään vakuutusturvan, korvausvelvollisuuden ja velvollisuuksien oikeudellinen arviointi vakuutusyhtiön ja sen lakimiehille.

Miksi LanCologne?

LanCologne ei pyri tiettyyn sääntelyn tulokseen. Ratkaisevaa on yksinomaan konkreettinen tekninen todistuskysymys. Havainto, joka vahvistaa vakuutuksenottajan antamat tiedot, on yhtä merkityksellinen kuin todistettavissa oleva ristiriita. Jos tiedot eivät salli varmaa johtopäätöstä, todisteen sijasta ei tehdä oletusta.

Jäljitettävyys ja toistettavuus

Keskeiset havainnot selitetään ymmärrettävällä kielellä. Teknisessä osassa dokumentoidaan asiaankuuluvat tietolähteet, varmuuskopiointi- ja tutkimustilanteet, eheystiedot, aikaviitteet, artefaktit ja validointivaiheet. Näin toinen pätevä IT-rikostutkija voi tarkistaa keskeiset johtopäätökset ammattimaisesti.

LanCologne tarjoaa riippumatonta teknistä tukea kybervakuutusvahinkojen yhteydessä

Monimutkaisten kyber- ja yritysvahinkojen tapauksissa LanCologne tukee vakuutusyhtiöitä esittämällä asiallisen, tuloksesta riippumattoman ja teknisesti ymmärrettävän tapahtumien rekonstruktion. Etusijalla ei ole käytetty ohjelmisto eikä toivottu tulos, vaan se, mitä voidaan todellisuudessa osoittaa olemassa olevien digitaalisten jälkien perusteella.

Oikeudellinen kehys

Teknisen vahinkotarkastuksen kannalta VVG:n 31 § on tärkeä lähtökohta. Sen mukaan vakuutuksenantaja voi vakuutustapahtuman sattumisen jälkeen vaatia tietoja, jotka ovat tarpeen vakuutustapahtuman tai korvausvelvollisuuden laajuuden määrittämiseksi. Todisteita voidaan vaatia kyseisessä pykälässä säädetyin edellytyksin. Tästä ei kuitenkaan seuraa rajoittamatonta oikeutta suorittaa kaikkien yritys- tai henkilötietojen täydellistä rikosteknistä tutkimusta.

Vakuutustapahtuman jälkeen toteutettavien toimenpiteiden osalta myös VVG:n 82 § voi olla merkityksellinen. Säännös koskee vahingon torjumista ja vahingon vähentämistä sekä vakuutuksenantajan kohtuullisia ohjeita. Se, täyttääkö tietty incident response -toimenpide vakuutussopimuksen mukaisen velvollisuuden vai rikkooko se sitä, ja mitkä oikeudelliset seuraukset tästä aiheutuvat, on oikeudellinen kysymys. Tietoteknisen rikostutkinnan avulla voidaan tutkia ainoastaan, mikä tekninen tilanne vallitsi kyseisenä ajankohtana ja oliko toimenpide teknisestä näkökulmasta ymmärrettävä.

Siltä osin kuin henkilötietoja käsitellään, sovelletaan erityisesti GDPR:n 5 artiklan periaatteita sekä GDPR:n 6 artiklan mukaista oikeusperustan vaatimusta. Tutkimuksen laajuus ja tietolähteet on sen vuoksi rajoitettava kyseessä olevaan todistuskysymykseen ja laillisesti sallittuun tarkoitukseen.

Jos myöhemmin syntyy oikeudellinen riita, todisteiden arviointi on tuomioistuimen tehtävä. ZPO:n § 286 säätelee todisteiden vapaata arviointia; ZPO:n § 287 sisältää erityissäännöksiä vahingon ja vahingon suuruuden toteamisesta. Yksityisesti tilattu tietotekninen rikostekninen tutkimus tuottaa teknisiä tosiseikkoja ja niiden jäljiteltävissä olevan perustelun, mutta se ei korvaa tuomioistuimen päätöstä.

Usein kysyttyjä kysymyksiä

Pystyykö LanCologne selvittämään, onko kyberhyökkäys todella tapahtunut?+
Siltä osin kuin käytettävissä on riittävät tekniset tiedot, konkreettiset tietomurto- ja hyökkäystoimet voidaan todentaa tai rajata. Jos ratkaisevia tietolähteitä puuttuu, tämä rajoitus dokumentoidaan nimenomaisesti.
Tarkoittaako järjestelmän vaarantuminen automaattisesti sitä, että tietoja on vuotanut?+
Ei. Järjestelmän vaarantuminen, pääsyn mahdollisuus, todellinen pääsy tietoihin ja tietojen vuotaminen ovat eri teknisiä seikkoja.
Arvioiko LanCologne, onko vakuutuksenottaja laiminlyönyt velvollisuuksiaan?+
Ei. Voimme selvittää teknisen tilanteen ja tosiasiallisesti toteutetut toimenpiteet. Vakuutusoikeudellisen arvioinnin suorittavat asiaan erikoistuneet lakimiehet.
Voiko tutkimus myös osoittaa, että ilmoitettu vahinko on teknisesti täysin uskottava?+
Kyllä. Sekä vahvistavat että ristiriitaiset havainnot dokumentoidaan samojen ammatillisten kriteerien mukaisesti.

LanCologne – Vakuutusalan tietotekninen rikostekninen tutkimus

Onko teillä digitaalinen kysymys? LanCologne auttaa teitä asiallisella ja puolueettomalla IT-rikostutkinnalla.

Ota yhteyttä nyt