Sådan opbygger du hændelseshåndtering og rapportering ved cyberangreb

Byg beredskabet før angrebet: ansvar, risici og procedurer

Dansk Industris råd om rettidig omhu dækker fem områder: risikovurdering, policyer og procedurer, uddannelse og træning, opdateringer og vedligeholdelse samt krisestyring.

Risikovurderingen skal identificere og vurdere sikkerhedsrisici som malware, phishing og interne trusler. Policyerne skal give klare retningslinjer for medarbejdernes brug af virksomhedens digitale ressourcer, herunder adgangskontrol og passwordpolitikker.

Krisestyringsplanen skal beskrive reaktionen på et cyberangreb, herunder isolering og gendannelse af data. Planen skal navngive, hvem der beslutter at tage systemer ned, hvem der er stedfortræder, og hvilke systemer og data der er kritiske for driften. Rapportering bør indgå som fast trin med navngivne modtagere.

DI peger på D-mærket som værktøj til at håndtere cybertruslen og få styr på it-beredskabsplanen. Er virksomheden omfattet af NIS2, har DI en guide til at forstå direktivet og leve op til kravene.

Kontaktlister til kriseteam, it-leverandører, forsikring og ekstern rådgiver bør findes både digitalt og udskrevet. Det gælder uanset virksomhedens størrelse, så listerne kan bruges, hvis mail og telefonsystemer er utilgængelige.

Söderberg & Partners beskriver, at en cyberforsikring typisk dækker direkte økonomiske tab og omkostninger ved fx ransomware eller krav fra tredjepart. Den hjælper virksomheden hurtigst muligt tilbage i drift og stiller konsulenter til rådighed til teknisk og juridisk bistand og krisehåndtering.

Forsikringen bør være tegnet og afdækket, før hændelsen indtræffer. Vilkårene bør være kendt af dem, der skal handle i krisen.

Söderberg & Partners fremhæver, at små og mellemstore virksomheder i stigende grad rammes, ofte fordi deres sikkerhedsniveau er lavere. Det gør dem til nemmere mål.

Azend angiver, at 78 % af alle danske SMV'er i 2024 oplevede et eller flere former for cyberangreb.

Opdag og isolér angrebet hurtigt

Efter et angreb starter DI's handlemuligheder med at isolere: identificér angrebets omfang, og isolér berørte systemer for at forhindre spredning.

Fastslå først, hvilke konti, maskiner og netværkssegmenter der er berørt. Afskær dem derefter fra resten af netværket, spær kompromitterede konti, og stop kommunikationen til angriberens infrastruktur.

Logiva beskriver, at en effektiv beredskabsplan omfatter hurtig identifikation, inddæmning, gendannelse af data og kommunikation med berørte parter.

Logiva peger på firewall, antivirussoftware og intrusion detection systems som værktøjer, der kan identificere og blokere trusler, før de forårsager skade. Teknologi alene er ikke nok; sikkerhedsprocedurer skal løbende evalueres og opdateres.

Under isoleringen må logfiler, mailbokse og diske på berørte maskiner ikke slettes. De bør bevares, også når systemet tages ud af drift.

Beslutningen om at slukke eller afbryde et system bør træffes af den navngivne kriseleder. Afvejningen er spredningsrisiko mod tab af bevismateriale og driftsstop.

Azend beskriver, at langsom eller uforberedt respons kan give langvarig nedetid. Det forhindrer normal drift og giver tabt indtjening og øgede driftsomkostninger.

Nedetiden forværres af mangel på forberedelse og en ineffektiv indledende respons. Derfor bør det på forhånd aftales, hvem der kan afbryde netværk og systemer, og hvordan medarbejderne varsles.

Sikr logs og bevismateriale til efterforskning

DI anbefaler direkte at indsamle bevismateriale ved at gemme relevante logfiler og data til efterforskningen af angrebet.

Start, mens hændelsen er aktiv: tag kopi af logfiler fra servere, netværksudstyr, mailgateway, VPN, EDR/antivirus og cloudtjenester. Notér udtrækstidspunkt samt maskine og tidszone.

Arbejd på kopier, og lad originalen ligge urørt, så logfiler ikke overskrives af normal drift.

Bevismaterialet skal kunne bruges af jeres egen undersøgelse, af forsikringsselskabets konsulenter og af eksterne myndigheder, hvis sagen anmeldes.

Før en simpel logbog over, hvem der har haft adgang til materialet, hvornår det blev kopieret, og hvor det opbevares. Gem det på medier uden for det kompromitterede netværk.

Har I på forhånd aftalt, hvor længe logs opbevares — for eksempel hvor mange dage mail- og loginlogs gemmes — er chancen for at rekonstruere et forløb markant bedre. Angreb opdages ofte, længe efter de første spor blev sat.

Söderberg & Partners fremhæver, at en cyberforsikring kan stille konsulenter til rådighed til teknisk og juridisk bistand og krisehåndtering. Virksomheden står derfor ikke alene midt i krisen.

Bevissikringen bør koordineres med forsikringsselskabet fra første dag.

Rapportér internt og eksternt uden at skabe unødig panik

Rapporteringsgangen bør stå skriftligt og være fastlagt, før hændelsen indtræffer. Den, der opdager hændelsen, underretter it-ansvarlige og kriselederen. Kriselederen orienterer direktion og bestyrelse, før bredere kredse.

DI's handlemuligheder omfatter kommunikation med interessenter: informer medarbejdere, kunder og samarbejdspartnere om situationen og de trufne foranstaltninger. Medarbejderne er ofte dem, kunderne ringer til først. De skal derfor have besked samtidig med eller før den eksterne kommunikation.

Underretningsrækkefølgen bør være tidsbestemt internt. Den, der opdager hændelsen, underretter straks it-ansvarlige og kriselederen. Kriselederen underretter direktion og bestyrelse, før bredere kredse orienteres.

Cyberforsikringsselskabet bør kontaktes samtidig med den interne eskalering. Så kan krisehåndtering og konsulenter sættes i gang.

Eksternt bør I overveje flere parter. Cyberforsikringsselskabet kan sætte krisehåndtering og tekniske og juridiske konsulenter i gang. Ekstern juridisk rådgiver kan vurdere de juridiske forhold.

Leverandører og samarbejdspartnere skal kontaktes, hvis deres systemer eller data er berørt. Kunder skal kontaktes efter behov, hvis deres data eller adgang er kompromitteret.

Azend peger på, at databeskyttelseslovgivningen som GDPR i Europa stiller strenge krav til håndtering af persondata. Ekstern juridisk rådgiver kan vurdere de juridiske forhold i den enkelte hændelse.

Ved brud på persondatasikkerheden skal den dataansvarlige anmelde til Datatilsynet uden unødig forsinkelse og om muligt inden 72 timer. Anmeldelsen sker via Virk.dk. Fristen gælder, medmindre det er usandsynligt, at bruddet medfører risiko for personers rettigheder eller frihedsrettigheder.

På Virk.dk findes den elektroniske blanket, hvor de relevante felter for indberetning til Datatilsynet er krydset af. I blanketten skal I beskrive karakteren af bruddet, angive navn og kontaktoplysninger for databeskyttelsesrådgiveren eller et andet kontaktpunkt, beskrive sandsynlige konsekvenser og de foranstaltninger, I har truffet eller foreslår truffet.

På Virk.dk kan I sende én indberetning til alle relevante myndigheder. Langt de fleste skal kun indberette til Datatilsynet. I kan også indberette hændelser af samfundsmæssig vigtighed eller vedrørende den danske infrastruktur, f.eks. forsyning og digital infrastruktur, til de relevante myndigheder.

Underret også de registrerede, når reglerne kræver det. Pligten til at anmelde og underrette de registrerede følger af databeskyttelsesforordningen.

Er virksomheden omfattet af NIS2, bør NIS2-guiden indgå i rapporteringsgangen, så direktivets krav efterleves. DI har en guide til at forstå direktivet og leve op til kravene.

DI henviser til, at man kan ringe til Cyberhotline for digital sikkerhed for vejledning, når skaden er sket.

Uanset kanaler bør én person føre en rapport over, hvem der er underrettet hvornår, og hvad de fik at vide. Samme person bør notere, hvad der blev besluttet. Det giver et spor til forsikringssagen, eventuelle tilsyn og evalueringen.

Kommunikér troværdigt under og efter hændelsen

Kommunikationen skal bygge på det, I reelt ved, og på de foranstaltninger, der er sat i værk. DI fremhæver, at interessenter skal informeres om situationen og de trufne foranstaltninger.

Azend beskriver, at tab af kundetillid er en alvorlig konsekvens. Kunder og partnere forventer, at deres data håndteres med højeste sikkerhed. Et brud kan hurtigt erodere tilliden og føre til varige kundefrafald.

Söderberg & Partners fremhæver tilsvarende, at angrebene kan få omfattende konsekvenser for både økonomi og omdømme.

Praktisk betyder det én talsperson og én kanal udadtil. Brug faste, forudsigelige opdateringer og en fast skabelon: hvad er sket, hvad er berørt, hvad har I gjort, og hvad sker der nu.

Skelnen mellem det bekræftede, det undersøgte og det endnu ukendte skal fremgå tydeligt. Så må ingen oplysninger senere trækkes tilbage.

Afstå fra at gætte på bagvedliggende aktører, metode eller omfang af kompromitterede data, før undersøgelsen understøtter det.

Internt bør medarbejderne have en kort besked med, hvad de må sige, hvad de ikke må sige, og hvem de skal henvise presse, kunder og samarbejdspartnere til.

Rettes henvendelser mod enkelte medarbejdere på deres private kanaler, skal de ikke svare, men sende videre til talspersonen.

Når driften er genoprettet, bør I følge op med en kort orientering om årsag og varige ændringer i procedurerne. Kunder og samarbejdspartnere kan da se, hvilke tiltag deres data nu er beskyttet af.

Gendan data og genoptag driften kontrolleret

Gendannelse består ifølge DI i at gendanne beskadigede data fra sikkerhedskopier for at genoprette normal drift.

Før en sikkerhedskopi bruges, skal I kontrollere, at den er intakt og ikke selv indeholder angriberens adgang. Kontrollér også, at gendannelsen kan gennemføres på den aftalte tid, og at den ikke overskriver bevismateriale, der stadig er nødvendigt.

Gendan først isoleret og verificerbart — for eksempel på et adskilt netværkssegment — og først derefter i produktion. Så geninficeres et kompromitteret system ikke.

Prioriteringsrækkefølgen bør følge risikovurderingen: systemer, der er kritiske for kunde- og produktionsprocesser, genoprettes først. De bør have strammere adgangskontrol end før hændelsen.

Øvelser i gendannelse og kendskab til, hvor lang tid det tager at genoprette fra backup, er en forudsætning for at planlægge nedetiden realistisk.

Parallelt med den tekniske gendannelse bør forsikringssagen køres. Söderberg & Partners fremhæver, at hurtig reaktion er vigtig, hvis skaden er sket. En cyberforsikring og en håndteringsplan kan minimere konsekvenserne.

Overdrag løbende dokumentation for nedetid, nedbrudte systemer og eksterne konsulentomkostninger til forsikringsselskabet, mens hændelsen er frisk. Rekonstruér den ikke senere.

Evaluer indsatsen og luk svagheder

DI anbefaler at evaluere jeres respons på angrebet og identificere eventuelle svagheder i sikkerhedsberedskabet.

En brugbar evaluering begynder med en tidslinje fra det første indicium til normal drift igen. Tidslinjen skal vise, hvornår noget blev set, og af hvem.

Den skal også vise, hvornår det blev meldt videre, hvornår der blev isoleret, hvornår data var gendannet, og hvor mange timer der gik i alt.

På den baggrund kan I pege på, hvor forsinkelsen reelt opstod — i opdagelsen, beslutningsvejen, backup eller kommunikationen.

Svaghederne skal omsættes til ændringer i de dokumenter, der allerede findes: risikovurderingen, adgangskontrol og passwordpolitikker, krisestyringsplanen med procedurer for isolering og gendannelse samt kontaktlisterne.

Logiva understreger, at sikkerhedsprocedurer regelmæssigt skal evalueres og opdateres for at imødekomme nye trusler. Evalueringen er derfor ikke afsluttet, før planen er revideret, og ansvar og deadline for hvert tiltag er fordelt på navngivne personer.

Evalueringen bør også omfatte det økonomiske og forsikringsmæssige forløb: hvilke omkostninger blev dækket, hvilke konsulenter blev sat ind, og hvor lang tid tog det.

Resultatet bør løftes til direktion og bestyrelse sammen med en kort angivelse af, hvilke tiltag der er gennemført, og hvilke der stadig mangler. Det er også her, eventuelle tilsynsforhold og forsikringsvilkår holdes op mod den faktiske hændelse.

Tidslinje for hændelseshåndtering – fra opdagelse til gendannelse

Træn medarbejderne i at rapportere og reagere

DI anbefaler, at medarbejderne gennem løbende træning og opdateringer er opmærksomme på cybersikkerhedsrisici og ved, hvordan de skal reagere.

Træningen skal ikke kun handle om at genkende onde mails. Den skal også handle om fremgangsmåden i jeres organisation.

Det gælder, hvem man melder til, hvad man skal skrive, hvad man ikke må gøre ved den ramte maskine, og hvilken beslutning man ikke selv skal tage.

Logiva fremhæver, at phishing-forsøg er et almindeligt angreb, hvor hackere forsøger at narre medarbejdere til at afsløre følsomme oplysninger eller downloade skadelig software.

Mange af disse angreb kan forhindres ved at uddanne medarbejderne til at være skeptiske over for mistænkelige e-mails og links.

Træningen bør derfor indeholde øvelser frem for kun gennemgang af regler: udsendte testmails, hvor meldingen skal gå gennem den rigtige rapporteringskanal, og en måling af, hvor hurtigt meldingen når frem.

Rapporteringskanalen skal være let at bruge og kendt af alle. Den skal udformes, så ingen frygter et bebrejdende svar — ellers påvirker man den tilbageholdenhed, der er krisehåndteringens største fjende.

Rollespil for ledelse og kriseteam hører med: test beslutningsvejen, aktivering af backup-proceduren og den udskrevne kontaktliste. Lad NIS2-guiden eller it-beredskabsplanen være et levende dokument, der opdateres, når organisationen, leverandørerne eller trusselsbilledet ændrer sig.

Når evalueringen efter en hændelse har ført til ændringer i planen, skal ændringerne straks indgå i næste træningsrunde. Medarbejderne skal trænes i den gældende version, ikke den tidligere.