Als netwerkbeheerder aansprakelijk wanneer netwerk van klant gehackt wordt?

Beste mensen,

Als IT bedrijf doe je natuurlijk uitstekend je best om het netwerk van een klant te beschermen tegen bijvoorbeeld hackers.

Maar in hoeverre ben je aansprakelijk als een hacker bij jouw klant' netwerk binnen komt en bijvoorbeeld de bestanden verwijdert of zelfs ten nadele gebruikt?

Kan de klant in zo'n geval alle kosten op jouw verhalen?
Hoe dien je je als netwerkbeheerder hier tegen te beschermen?

[hoffit]

Gebruik je algemene voorwaarden? Ben je een inspannings- of een resultaatverplichting aangegaan in je contract? Wat is het niveau van kennis van de klant? Ben je verantwoordelijk of adviseer je?

Heel veel vragen die er allemaal op neer komen in welke mate jij juridisch en moreel verantwoordelijk kunt zijn voor beveiliging. Gezien het feit dat niemand kan garanderen dat het netwerk niet gehackt wordt, zou ik streven naar een inspanningsverplichting. D.w.z. dat je naar eer en geweten je uiterste best doet om het netwerk zo veilig mogelijk te maken. Garanties kun je m.i. nooit geven. E.e.a. moet je ook duidelijk met redenen omkleed naar je klant communiceren. Als die denkt een betere te vinden die wel waterdichte garanties geeft moet hij vooral in zee gaan met die ander.

Beste Hoffit,

Dank je voor je reaktie.

Ik begrijp dat het verstandig is dit in het contract/voorwaarden terug te laten komen. Het is natuurlijk een lastig verhaal, omdat je je klant ook niet wilt afschrikken natuurlijk.

Zijn er misschien verzekeringen die je voor dit soort calamiteiten indekken?

[René]

Oorspronkelijk geplaatst door Sneeuw

Zijn er misschien verzekeringen die je voor dit soort calamiteiten indekken?

Dit is typisch iets voor een beroepsaansprakelijkheidsverzekering.

Het is natuurlijk een lastig verhaal, omdat je je klant ook niet wilt afschrikken natuurlijk.

Een advocaat heeft me daarom weleens aanbevolen om in mijn voorwaarden op te nemen dat mijn aansprakelijkheid beperkt is tot het door de verzekering uit te keren bedrag. Zodoende hoef je niet al te veel uit te sluiten en loop je zelf weinig risico.

Dat komt op mij een tikje dubieus over, maar het is in de advocatuur zelf een heel gebruikelijke constructie.

[hoffit]

Een beroepsaansprakelijkheid verzekering lijkt me sowieso aan te bevelen, maar of dat ook dit soort schade dekt? Er is hier niet zozeer sprake van een fout van de consultant, als wel een vorm van overmacht. Een hacker die vastbesloten is zal altijd een weg vinden. Daar is nu eenmaal niets definitief tegen te beveiligen c.q. valt buiten de macht van de consultant.

Je kunt het hoogstens zo moeilijk mogelijk maken (inspanningsverplichting). Ik vraag me dan ook af of een verzekeraar dit soort schade wil dekken? Wie het weet mag het zeggen.

[René]

Oorspronkelijk geplaatst door hoffit

Een beroepsaansprakelijkheid verzekering lijkt me sowieso aan te bevelen, maar of dat ook dit soort schade dekt?

Hij dekt niet zozeer schade, hij dekt aansprakelijkheid. Met een paar mitsen en maren (eigen schuld, opzet e.d.) geldt: als je aansprakelijk bent voor een beroepsfout dan is dat gedekt, als je het niet bent dan heb je geen probleem

Een hacker die vastbesloten is zal altijd een weg vinden.

Hackers maken vrijwel altijd gebruik van fouten. Ontwerpfouten, programmeerfouten, procedurele fouten etc. Waar gehackt wordt is een fout gemaakt, waar een fout gemaakt is kan aansprakelijkheid in het geding zijn.

Maar niet per se van de installateur/consultant natuurlijk, het zal meestal een fout zijn in een hardware/software-product van een leverancier. Het lijkt me dat je daar normaliter niet aansprakelijk voor bent, tenzij het gaat om een fout waarvan je had moeten weten en waartegen je maatregelen had moeten nemen (bijvoorbeeld als er een 'security advisory' is gepubliceerd, en je hebt nagelaten daar iets mee te doen).

Ik vraag me dan ook af of een verzekeraar dit soort schade wil dekken?

Het vinden van een beroepsaansprakelijkheidsverzekering kan voor een ict'er inderdaad knap lastig zijn.

[hoffit]

Helemaal mee eens. Ik denk echter dat wij een andere scope hebben voor wat betreft de beveiliging. Ik zie beveiliging als meer dan alleen een firewall en software die het netwerk moet beschermen. Beveiliging is voor mij het hele pakket aan maatregelen die de data integriteit van de onderneming moet bewaken. Daaronder valt ook toegangsbeveiliging, password beleid, updaten van software, bewust maken van medewerkers, etc. Alleen wanneer het gehele pakket op orde is kun je spreken van een goed beveiligd systeem.

Gezien deze brede scope kun je als consultant m.i. niet meer doen dan je best. Wanneer er door een fout van de consultant schade ontstaat kan inderdaad een beroepsaansprakelijkheid verzekering de schade dekken. Wanneer er echter buiten de schuld om van de consultant schade ontstaat, b.v. door eigen personeel of anderen , ben je als consultant daar niet verantwoordelijk voor (en kun je ook niet zijn) mits je de juiste procedures voor de klant hebt opgesteld en medegedeeld.

Concreet, b.v. om te voorkomen dat de schoonmaker er vandoor gaat met concurrentiegevoelige gegevens (social engineering)* kun je als consultant niet meer doen dan het opstellen van procedures. Verantwoordelijkheid kun je hiervoor niet nemen. Beveiliging is ook opvoeden van de klant en medewerkers. Daar heb je wat mij betreft alleen een inspanningsverplichting, geen verantwoordelijkheid.

Er lijkt mij niets mee mis om duidelijk de grens tussen inspanning en verantwoordelijkheid te scheiden. Als de klant hier niet aan mee wil werken moet je je af vragen of je wel met deze klant in zee wilt gezien de risico's. De clausule zoals Rene die schetst vind ik eigenlijk wel een hele mooie. Die legt precies de grens tussen inspanningsverplichting en verantwoordelijkheid.

* zie ook: http://en.wikipedia.org/wiki/Social_...%28security%29 en http://en.wikipedia.org/wiki/Kevin_Mitnick.