Ansvar, når kundens red team angriber jeres systemer og medarbejdere

Når en kunde lader sit hold angribe jer som leverandør, er I den part, hvis drift, kunder og medarbejdere kan blive ramt, men I har ikke nødvendigvis selv valgt holdet. Hvem der bærer følgerne af en skade, er et juridisk spørgsmål, som afhænger af jeres aftaler og af omstændighederne, og det kan denne side ikke besvare. Det, siden kan, er at beskrive de spørgsmål, I skal have stillet og fået afklaret med jeres egen rådgiver, før I giver tilladelse til øvelsen.

Teksten er ikke juridisk rådgivning. Lad en jurist læse aftalen med kunden, og lad jeres forsikringsrådgiver vurdere dækningen. Hvordan et softwarehus forholder sig til ansvaret, når en kunde kun vil teste produktet, er beskrevet på pentestrapport.dk.

Den samme problemstilling set fra den organisation, der selv bestiller en øvelse, er beskrevet for sig. → Ansvar og forsikring ved en red team-øvelse

Parterne og deres aftaler

Tegn først op, hvem der er involveret, og hvilke aftaler der binder dem. En øvelse, hvor kunden angriber jer, kan omfatte:

Kunden · som bestiller øvelsen og har en kontrakt med jer.
Kundens hold · som enten er kundens egne medarbejdere eller en leverandør med en aftale med kunden, men ikke med jer.
Jer · som giver tilladelse og har ansvaret over for jeres medarbejdere og jeres andre kunder.
Jeres andre kunder · som har aftaler med jer om drift og sikkerhed, men intet med kunden eller holdet.
Jeres egne leverandører · hostingpartner, udlejer og vagtselskab, som har deres egne vilkår.

Kortet viser, hvor der mangler en aftale. Der er som udgangspunkt ingen direkte aftale mellem jer og kundens hold, og ingen mellem jeres andre kunder og den kunde, der bestilte øvelsen. Det er i de huller, spørgsmålene opstår.

Skader, der kan ramme jer

Gennemgå de situationer, øvelsen kan føre til hos jer. Listen er et udgangspunkt for spørgsmålene, ikke en vurdering af, hvor sandsynlige de er:

Driftsforstyrrelse · en handling fra holdet påvirker et af jeres systemer mere end ventet.
Skade hos andre kunder · en forstyrrelse eller et brud rammer kunder, der ikke har sagt ja til noget.
Medarbejdere · en medarbejder bliver udsat for en ubehagelig oplevelse, en konfrontation eller en belastning, der varer ved.
Fysisk skade · en dør, en lås eller udstyr bliver beskadiget.
Oplysninger · holdet ser eller kopierer oplysninger om jer, jeres medarbejdere eller andre kunder.

Forebyggelsen ligger i afgrænsningen og stopreglerne, som er beskrevet for sig. → Kunden vil red teame jer

Spørgsmål om kundens og holdets ansvar

Tag disse spørgsmål med til jeres rådgiver:

Holdets handlinger · står kunden over for jer inde for det, holdet gør, også når holdet er en leverandør til kunden?
Brud på rammerne · ændrer ansvaret sig, hvis holdet går ud over den tilladelse, I har givet?
Begrænsninger · indeholder jeres kontrakt med kunden en ansvarsbegrænsning, og passer den til de skader, en øvelse kan give?
Holdets forsikring · skal kunden dokumentere, at holdet har en forsikring, der dækker handlinger i en tredjeparts systemer og bygninger?
Følgeskader · hvordan håndteres en skade, der først viser sig efter øvelsen, fx en ændring, holdet ikke fik ført tilbage?

Spørgsmål om jeres andre kunder

Jeres andre kunder vil henvende sig til jer, ikke til den kunde, der bestilte øvelsen. Spørgsmålene er derfor:

Jeres løfter · hvad siger jeres aftaler med de andre kunder om driftsforstyrrelser og sikkerhedsbrud, og er en øvelse, I selv har tilladt, en undtagelse?
Krav videre · kan I gøre krav gældende over for den kunde, der bestilte øvelsen, hvis andre kunder retter krav mod jer?
Underretning · skal de andre kunder have besked, hvis en øvelse har berørt deres data eller drift?

DORA, forordning (EU) 2022/2554, artikel 28, stk. 1, litra a, siger, at en finansiel virksomhed til enhver tid har det fulde ansvar for at overholde sine forpligtelser, også når den bruger IKT-tjenester fra andre. Bestemmelsen handler om den finansielle virksomheds ansvar over for reglerne og flytter ikke i sig selv ansvar mellem jer og kunden. Om den har betydning for jeres aftale, er et spørgsmål for rådgiveren.

Spørgsmål om forsikringer, egne leverandører og medarbejdere

Spørg jeres forsikringsrådgiver, om jeres policer dækker skader, der opstår under en øvelse, I selv har givet tilladelse til, og om selskabet skal have besked på forhånd. Spørg også, om der er vilkår om aktiviteter, der bevidst udfordrer sikkerheden. → Cyberforsikringen og red teaming

Jeres egne leverandører rejser de samme spørgsmål et led længere ude. Hvis holdet beskadiger en dør i en lejet bygning, udløser en alarm hos vagtselskabet eller belaster en platform hos jeres hostingpartner, er det jer, de henvender sig til. Spørg, om jeres aftaler med dem kræver varsling før den slags aktiviteter, og om manglende varsling kan påvirke, hvem der skal betale. Spørg også, om kunden skal stå inde for de krav, jeres leverandører kan rejse.

For medarbejderne er spørgsmålet, hvilke pligter I som arbejdsgiver har, når I har sagt ja til, at en anden må kontakte dem under falske forudsætninger. Inddrag HR og eventuelle medarbejderrepræsentanter, og afklar, hvordan oplysninger om navngivne medarbejdere må behandles. → Medarbejderhensyn

Hvis skaden sker

Aftal på forhånd, at holdet stopper og giver jeres kontaktperson besked, og at I genopretter driften først. Dokumentér, hvad der skete, hvornår og hvem der blev ramt, mens det er frisk. Dokumentationen er grundlaget for enhver senere drøftelse med kunden og forsikringsselskaberne. Gem også tilladelsen, afgrænsningen og den kommunikation med kundens white team, der viser, hvad der var aftalt på tidspunktet. → Når holdet bliver stoppet

Det skal I lade være med

At give tilladelse, før ansvaret er afklaret · spørgsmålene er sværere at stille bagefter.
At gå ud fra, at kunden hæfter for holdet · det afhænger af aftalen.
At glemme jeres andre kunder · de har kun en aftale med jer.
At antage, at jeres forsikring dækker · spørg konkret og få svaret skriftligt.
At skrive ansvarsbestemmelser uden rådgiver · ordlyden har betydning.

Hvad kan og ikke kan konkluderes

En gennemgang af parterne, skaderne og spørgsmålene viser, hvor jeres aftaler er tavse, og hvad der skal afklares, før I siger ja. Den afgør ikke, hvem der hæfter i en konkret sag. Det afhænger af ordlyden, af omstændighederne og af en juridisk vurdering, som kun jeres rådgiver kan give.