Resumo

  • A Merck divulgou que o ciberataque de rede de 27 de junho de 2017 interrompeu operações mundiais, incluindo fabricação, pesquisa e vendas. Seu Formulário 10-K de 2017 informou que o ataque teve um efeito desfavorável nas vendas de 2017 de cerca de US$ 260 milhões e gerou US$ 285 milhões em despesas de fabricação e remediação, líquidas de cerca de US$ 45 milhões em recuperações de seguros.
  • O Formulário 10-K de 2018 da Merck informou posteriormente que as vendas de 2018 foram desfavoravelmente afetadas em cerca de US$ 150 milhões devido ao backlog residual, e que permaneciam disputas com certas seguradoras sobre alguma cobertura de seguro para reclamações relacionadas ao ciberataque de 2017.
  • A opinião do tribunal de apelação de Nova Jersey descreveu o programa de seguro como vinte e seis apólices de propriedade contra todos os riscos com US$ 1,75 bilhão em limites totais acima de uma franquia de US$ 150 milhões, e afirmou que a cobertura disputada na apelação totalizava US$ 699.475.000, pouco menos de quarenta por cento da cobertura total da Merck para o período da apólice.
  • A mesma opinião confirmou que a exclusão de ação hostil/de guerra não impedia a cobertura nas circunstâncias apresentadas. Essa foi uma decisão de cobertura, não uma prestação de contas pública final de todos os pagamentos, todas as seguradoras ou todas as categorias de perda.
  • O recurso ao Supremo Tribunal de Nova Jersey terminou posteriormente por acordo e arquivamento antes de uma decisão de mérito. Relatos públicos descreveram o acordo como confidencial ou não divulgado, portanto o acordo não deve ser tratado como uma alocação pública final de quem pagou o quê.
  • A lição de responsabilidade duradoura é mais restrita do que a lenda: o NotPetya tornou a resiliência empresarial, a continuidade do fornecimento farmacêutico, a contabilidade de perdas, a atribuição e a redação de seguros parte do mesmo registro de evidências.

NotPetya transformou a dependência empresarial comum em risco de fornecimento de medicamentos

A experiência da Merck com o NotPetya é importante porque liga uma interrupção global de domínio Windows a operações farmacêuticas e, em seguida, à cobertura de seguro. O incidente não foi meramente um problema do departamento de tecnologia. A Merck informou aos investidores que o ciberataque de rede de 27 de junho de 2017 interrompeu operações mundiais, incluindo fabricação, pesquisa e vendas. Uma empresa que fabrica vacinas, medicamentos prescritos e produtos de saúde animal não pode tratar esse tipo de interrupção como uma limpeza de rotina de endpoints.

O registro central da empresa começa no Formulário 10-K de 2017 da Merck. A Merck afirmou que o ciberataque levou a uma interrupção das operações mundiais, incluindo fabricação, pesquisa e vendas. Disse que todos os locais de fabricação estavam operacionais no momento do arquivamento e estavam fabricando ingrediente farmacêutico ativo, formulando, embalando e expedindo produtos. Também disse que a fabricação externa não foi impactada e que a Merck continuou a atender pedidos e expedir produtos. Essas declarações são importantes porque evitam exageros.

O arquivamento público não diz que a Merck interrompeu todo o fornecimento de medicamentos mundialmente indefinidamente. Diz que a empresa experimentou uma séria interrupção enquanto continuava a expedir produtos e posteriormente restaurou todos os locais de fabricação.

O mesmo arquivamento quantificou o efeito nos negócios. A Merck disse que não conseguiu atender pedidos de determinados produtos em certos mercados, o que teve um efeito desfavorável nas vendas de 2017 de aproximadamente US$ 260 milhões. Também registrou despesas relacionadas à fabricação, principalmente variações desfavoráveis de fabricação, além de despesas de remediação nas categorias administrativa e de pesquisa e desenvolvimento, totalizando US$ 285 milhões em 2017, líquidas de recuperações de seguros de aproximadamente US$ 45 milhões.

A Merck também antecipou que o backlog residual de pedidos afetaria desfavoravelmente as vendas de 2018 em certos mercados em aproximadamente US$ 200 milhões.

O canal de arquivamento público da Merck é importante porque essas não foram estimativas casuais em uma entrevista à imprensa. A página de arquivamentos da SEC para investidores da Merck direciona os investidores para o registro formal, e os relatórios anuais colocaram o ciberataque dentro da discussão de risco, resultados operacionais e seguros. Isso dá ao incidente uma camada de responsabilidade pública que muitos casos de ransomware não têm.

Os arquivamentos não mostram o arquivo interno de reclamações, mas mostram a visão pública da administração sobre o efeito nas vendas, reconhecimento de despesas, restauração da fabricação, recuperações de seguros e disputas de cobertura remanescentes. Para os conselhos, essa combinação é a forma mínima útil de divulgação de perda cibernética: categoria operacional, medida financeira, período de tempo, status de recuperação e incerteza.

Esse número antecipado mudou à medida que o registro amadureceu. Em seu Formulário 10-K de 2018, a Merck descreveu novamente o ciberataque de rede de 2017 e disse que as vendas de 2018 foram desfavoravelmente afetadas em certos mercados em aproximadamente US$ 150 milhões devido ao ciberataque. O arquivamento repetiu o efeito nas vendas de aproximadamente US$ 260 milhões em 2017 e o valor de despesas de US$ 285 milhões, líquido de cerca de US$ 45 milhões em recuperações de seguros.

Também disse que a Merck tinha cobertura de seguro contra custos resultantes de ciberataques, havia recebido pagamentos e tinha disputas com certas seguradoras sobre a disponibilidade de alguma cobertura de seguro para reclamações relacionadas ao ciberataque de 2017. Um Formulário 10-Q do terceiro trimestre de 2018 mostrou a transição: os efeitos nas vendas nos primeiros nove meses de 2018 foram de cerca de US$ 150 milhões, incluindo um impacto imaterial no terceiro trimestre, enquanto os custos de fabricação e remediação nos primeiros nove meses de 2018 foram imateriais.

Esses arquivamentos são mais úteis do que estimativas amplas de perdas porque dividem o problema em categorias operacionais. As perdas de vendas estavam ligadas a pedidos não atendidos em certos mercados. Os custos de fabricação estavam ligados a variações desfavoráveis e recuperação. Os custos de remediação estavam ligados a trabalho administrativo e de pesquisa. Os pagamentos de seguros foram recebidos, mas nem toda cobertura era incontestada.

Uma falha de continuidade farmacêutica tornou-se, portanto, um problema de prova: o que foi perdido, onde, por que, por quanto tempo, sob qual linguagem de apólice, com qual franquia e com quais exclusões?

O registro judicial deu à disputa de seguro uma espinha técnica

O registro de litígio público mais detalhado é a opinião da Divisão de Apelação de Nova Jersey de 2023, disponível através do PDF oficial dos Tribunais de Nova Jersey e da cópia da Justia de Merck & Co., Inc. v. ACE American Insurance Co.. A opinião não é um relatório técnico de incidente e não deve ser lida como o arquivo forense completo da Merck. No entanto, é excepcionalmente clara sobre as partes do registro que importaram para a disputa de seguro.

O tribunal descreveu a Merck como buscando julgamento declaratório sob vinte e seis apólices de propriedade contra todos os riscos por perdas causadas pelo ataque de malware de junho de 2017 conhecido como NotPetya. O programa de apólices vigorou de 1º de junho de 2017 a 1º de junho de 2018 e tinha US$ 1,75 bilhão em limites totais acima de uma franquia de US$ 150 milhões. O tribunal disse que as partes disputavam US$ 699.475.000 em cobertura, pouco menos de quarenta por cento da cobertura total da Merck para o período da apólice. Esses números não são o custo econômico total da Merck;

são o valor de cobertura disputado naquele registro de apelação. A distinção é importante porque uma perda pode ser maior ou menor do que o valor deixado para uma apelação legal específica.

A opinião também resumiu como o malware entrou e se espalhou de acordo com o registro perante o tribunal. Descreveu o M.E.Doc, um software de contabilidade ucraniano usado pela Merck e outras empresas que fazem negócios na Ucrânia, e um mecanismo de atualização comprometido. A opinião disse que a Merck recebeu atualizações maliciosas através de um servidor localizado na Ucrânia que verificava automaticamente novas versões do M.E.Doc. Descreveu o NotPetya como se apresentando como ransomware, criptografando certos dados, tornando os sistemas inacessíveis e deixando os sistemas infectados inoperáveis.

Em noventa segundos, de acordo com a opinião, cerca de 10.000 máquinas na rede global da Merck foram infectadas; em cinco minutos, cerca de 20.000 máquinas foram infectadas; no final, mais de 40.000 máquinas foram infectadas.

Essa escala explica por que este não foi apenas um problema local do escritório ucraniano. O malware alcançou uma rede corporativa global rápido o suficiente para tornar a resiliência central, identidade, correção, backup e segmentação de rede parte do mesmo registro de responsabilidade. O tribunal citou a posição da Merck de que o NotPetya causou a paralisação de instalações de produção e aplicações críticas e interrompeu massivamente as operações, incluindo fabricação, pesquisa e desenvolvimento, e vendas. Essa é uma linguagem de registro de litígio, não um substituto para detalhes operacionais fábrica por fábrica.

Mas está alinhada com os arquivamentos da Merck na SEC, que descreveram interrupção na fabricação, pesquisa e vendas.

Fontes técnicas públicas apoiam o contexto geral do NotPetya. O alerta da CISA sobre o ransomware Petya alertou em junho de 2017 sobre a campanha e medidas de mitigação. A análise da Microsoft de junho de 2017 descreveu o malware como combinando técnicas de ransomware com propagação tipo worm e abuso de credenciais. O Centro Nacional de Segurança Cibernética do Reino Unido posteriormente atribuiu o NotPetya à inteligência militar russa como parte de um registro público de atribuição mais amplo, e a declaração da Casa Branca descreveu o NotPetya como parte de um ciberataque imprudente e indiscriminado.

Essas declarações governamentais públicas são importantes para o contexto geopolítico. Elas não decidiram automaticamente a questão contratual de seguro em Nova Jersey.

Os controles operacionais implícitos por esse contexto técnico são familiares, mas difíceis em escala. O NIST SP 800-61 Rev. 2 descreve o tratamento de incidentes como preparação, detecção e análise, contenção, erradicação, recuperação e atividade pós-incidente. Em um evento na escala do NotPetya, essas fases não se alinham perfeitamente. Uma empresa pode ainda estar detectando hosts afetados enquanto está contendo segmentos de rede, restaurando sistemas de negócios urgentes, preservando evidências e informando a liderança. O ponto para a Merck não é que as fontes públicas provem como ela executou cada fase.

O ponto é que a escala do evento tornou o tratamento de incidentes uma função de governança empresarial em vez de uma fila de help desk.

As diretrizes de continuidade reforçam a mesma lição. O NIST SP 800-34 Rev. 1 enquadra o planejamento de contingência em torno do impacto nos negócios, prioridades de recuperação, processamento alternativo e teste do plano. O Guia de Ransomware da CISA enfatiza preparação, backups, contenção e recuperação para incidentes de ransomware, enquanto o caráter destrutivo do NotPetya significa que ele não deve ser tratado como ransomware recuperável comum. Essas fontes não encontram falhas na Merck.

Elas ajudam a explicar por que as operações farmacêuticas precisam de caminhos de recuperação testados para identidade, suporte à fabricação, documentação de liberação, sistemas de vendas e registros de embarque antes que o malware atinja dezenas de milhares de máquinas.

A decisão sobre a exclusão de guerra foi sobre linguagem da apólice, não atribuição moral

A batalha legal é muitas vezes simplificada como "o NotPetya foi um ato de guerra?" A opinião de apelação foi mais cuidadosa. As seguradoras invocaram uma exclusão de ação hostil/de guerra. Elas argumentaram que a cobertura era proibida porque o NotPetya foi supostamente orquestrado por atores que trabalhavam para ou em nome da Federação Russa. A Merck contestou a aplicação da exclusão. O tribunal de primeira instância concedeu julgamento sumário parcial para a Merck, concluindo que a exclusão não se aplicava para proibir a cobertura. A Divisão de Apelação confirmou.

O raciocínio da opinião é importante porque separa a atribuição da interpretação contratual. O tribunal observou que as partes disputavam a atribuição, e que o tribunal de primeira instância não precisava chegar à questão da atribuição ao conceder o julgamento sumário parcial. A Divisão de Apelação disse que a linguagem simples da exclusão não apoiava a interpretação das seguradoras. Explicou que a exclusão de danos causados por ação hostil ou de guerra por um governo ou poder soberano, em tempos de guerra ou paz, exigia envolvimento de ação militar.

A exclusão não dizia que danos decorrentes de qualquer ação governamental motivada por má vontade eram excluídos.

O tribunal também se concentrou na redação razoável da apólice. Concordou com o tribunal de primeira instância que as seguradoras estavam cientes de que ciberataques de várias formas, às vezes de Estados-nação, haviam se tornado mais comuns, mas não alteraram a linguagem da apólice para colocar razoavelmente o segurado em aviso de que os ciberataques seriam excluídos.

O tribunal de apelação afirmou que a linguagem simples da exclusão não incluía um ciberataque a uma empresa não militar que fornecia software de contabilidade para fins comerciais a consumidores não militares, independentemente de o ataque ter sido instigado por um ator privado ou um governo ou poder soberano. Concluiu que as seguradoras não haviam cumprido seu ônus de mostrar que a exclusão poderia ser aplicada de forma justa ao NotPetya.

Essa decisão deve ser descrita com precisão. Ela não diz que ciberataques nunca podem ser excluídos. Ela não diz que a atribuição governamental é irrelevante em todas as apólices. Ela não diz que exclusões de guerra não têm aplicação futura a operações cibernéticas. Ela não torna a Merck inocente de toda decisão de resiliência. Ela diz que, sob as apólices e circunstâncias perante o tribunal, as seguradoras não mostraram que a exclusão de ação hostil/de guerra impedia a cobertura.

Essa distinção é onde a responsabilidade do seguro se torna operacional. As seguradoras controlam a redação, exclusões, sublimites, endossos, perguntas de subscrição e precificação de prêmios. Os segurados controlam como descrevem ativos, exposição a interrupção, objetivos de recuperação e dependências cibernéticas. Os tribunais controlam a interpretação da linguagem da apólice após uma disputa. Se uma apólice vendida antes da perda não exclui claramente operações cibernéticas ligadas a estados, uma seguradora pode enfrentar o risco de que a linguagem comum de propriedade contra todos os riscos cubra mais do que ela pretendia posteriormente.

Se um segurado confia no seguro de propriedade como transferência de perda cibernética, pode enfrentar anos de litígio antes que o dinheiro se torne certo.

O caso Merck, portanto, não perguntou meramente se o NotPetya era ruim. Todos concordaram que era destrutivo. Perguntou quem havia convertido esse risco cibernético em um risco de propriedade alocado contratualmente e se a linguagem de exclusão era clara o suficiente para mover a perda de volta para a Merck. A resposta do tribunal favoreceu a Merck nessa exclusão. O acordo posterior encerrou a luta restante sem um mapa público final de pagamento.

O acordo encerrou a apelação, não a lacuna de evidências públicas

Após a decisão da Divisão de Apelação, as seguradoras buscaram revisão no Supremo Tribunal de Nova Jersey. Relatos públicos em janeiro de 2024 disseram que a Merck e as seguradoras haviam chegado a um acordo antes da argumentação agendada. A Reuters informou que a Merck fez um acordo com as seguradoras sobre a reclamação do ciberataque NotPetya, e o Insurance Journal informou que os termos do acordo não foram divulgados. O Cybersecurity Dive também informou que as partes resolveram a briga de seguro de alto perfil antes que o Supremo Tribunal de Nova Jersey pudesse se pronunciar.

A cobertura legal pública e o registro do tribunal descreveram o arquivamento após o acordo, em vez de uma opinião de mérito do mais alto tribunal do estado.

Esse estado final é importante. A opinião da Divisão de Apelação continua sendo uma importante decisão publicada sobre cobertura, mas o Supremo Tribunal não emitiu uma decisão final de mérito. O acordo não revelou publicamente quanto cada seguradora pagou, se toda categoria de cobertura disputada foi paga, como os custos de defesa e juros foram tratados, ou se algum lado preservou posições não públicas. Para a responsabilidade pública, o acordo é evidência de que as partes resolveram a disputa, não evidência de uma alocação pública completa de perdas.

É por isso que é arriscado citar um único número de manchete como "o custo do NotPetya para a Merck". O registro do tribunal descreveu US$ 699.475.000 em cobertura disputada na apelação. Relatos de notícias descreveram uma reclamação mais ampla que os relatos públicos frequentemente arredondavam para cerca de US$ 1,4 bilhão. Os arquivamentos da Merck deram separadamente efeitos de vendas e despesas para 2017 e 2018 e descreveram recuperações de seguros. Eles estão relacionados, mas não são a mesma medida. Uma reclamação de apólice pode incluir danos à propriedade, interrupção de negócios, despesas extras e outras categorias seguradas.

Um efeito de vendas é uma medida de receita. A variação de fabricação é uma categoria de despesa contábil. Um acordo é uma resolução negociada. Tratá-los como intercambiáveis tornaria o registro mais certo do que é.

A lacuna de evidências é especialmente importante para os mercados de risco cibernético. Seguradoras, corretores, gerentes de risco corporativo, conselhos e entidades do setor público observaram a Merck porque a decisão afetou as expectativas sobre a perda cibernética sob apólices de propriedade. Mas o acordo público não dá nenhuma regra judicial final do Supremo Tribunal de Nova Jersey e nenhuma contabilidade atuarial pública. As seguradoras ainda podem responder alterando a redação.

Os segurados ainda podem responder comprando cobertura cibernética dedicada, exigindo linguagem de guerra mais clara ou mapeando sobreposições de propriedade e cibernética com mais cuidado. A lição de mercado não é que o padrão de fatos da Merck sempre produzirá cobertura. É que a redação ambígua ou antiga pode deixar uma enorme alocação de perda cibernética não resolvida por anos.

A continuidade farmacêutica tinha um perfil de interesse público diferente

O registro do NotPetya é diferente de muitas histórias de malware corporativo porque o negócio afetado da Merck incluía vacinas e medicamentos. Os arquivamentos públicos identificam produtos farmacêuticos e produtos de saúde animal em mercados globais. Um fabricante farmacêutico não perde apenas produtividade de escritório quando um ciberataque atinge sistemas de fabricação e embarque. Pode enfrentar decisões de alocação de produtos, atrasos na liberação de lotes, escassez no mercado, incerteza de estoque, desafios logísticos com controle de temperatura, problemas de documentação regulatória e consequências para pacientes ou provedores.

O registro público não permite um mapa completo de danos produto por produto, mas os próprios arquivamentos da Merck mostram que certos pedidos em certos mercados não puderam ser atendidos.

O Formulário 10-K de 2017 também disse que a paralisação temporária da produção contribuiu para a incapacidade da Merck de atender à demanda maior do que o esperado por Gardasil 9. Essa declaração deve ser tratada com cuidado. Não significa que o NotPetya sozinho causou todo o desequilíbrio de oferta e demanda para essa vacina. Significa que a Merck identificou a paralisação como um fator contribuinte. O artigo não deve inflar isso para uma conclusão pública de dano ao paciente, violação regulatória ou escassez ampla de vacinas causada apenas por malware.

O ponto é mais preciso: a recuperação de malware pode colidir com a capacidade de produção e a demanda de maneiras que importam fora da própria contabilidade da empresa.

A continuidade do setor público faz parte desta história, embora a Merck seja uma empresa privada. Governos, programas de saúde pública, hospitais, clínicas, farmácias, escolas e pacientes podem depender de um fornecimento estável de medicamentos. Quando um fabricante não pode atender certos pedidos em certos mercados, as consequências podem passar para sistemas de compras e planejamento de serviços de saúde. O programa de escassez de medicamentos da FDA mostra como a disponibilidade de medicamentos é tratada como uma preocupação pública, embora a página da FDA não seja uma conclusão sobre o evento NotPetya da Merck.

A lente de interesse público é justificada pela natureza dos produtos, não por uma conclusão pública de que o NotPetya causou uma escassez estatutária específica.

Pequenas e médias entidades também aparecem a jusante. Clínicas independentes, farmácias, distribuidores, consultórios veterinários e provedores de saúde locais podem não ter acesso direto às evidências de recuperação operacional da Merck. Eles veem disponibilidade, substituições, pedidos pendentes e comunicação. Se um fabricante diz que pedidos em certos mercados não podem ser atendidos, as contrapartes menores precisam de status transparente e sinais de alocação justa. Elas não podem inspecionar um projeto de recuperação empresarial global.

Essa assimetria é a razão pela qual o registro de continuidade é importante para mais do que acionistas e seguradoras.

A linguagem de continuidade de negócios é útil aqui porque mantém a análise ligada à entrega, não ao drama. A ISO 22301 descreve a gestão de continuidade em torno da capacidade de uma organização de continuar entregando produtos e serviços dentro de prazos e capacidades aceitáveis. Para uma empresa farmacêutica, esse conceito é concreto: produção de ingrediente ativo, formulação, embalagem, liberação de qualidade, expedição, alocação de mercado, atendimento ao cliente e documentação regulatória têm que se reunir após um evento cibernético disruptivo.

O registro público não prova que cada uma dessas funções falhou na Merck, mas os próprios arquivamentos da Merck confirmam que a fabricação, pesquisa, vendas, pedidos e backlog foram afetados o suficiente para exigir divulgação pública.

A dimensão de saúde pública também complica a alocação de custos. Se uma empresa incorre em despesas extras para manter um produto disponível, isso pode parecer um custo financeiro em um registro e um sucesso de continuidade em outro. Se ela não pode atender pedidos em certos mercados, isso pode aparecer como vendas perdidas enquanto as contrapartes experimentam como estresse de compras. Se a fabricação externa não é impactada, como a Merck divulgou, isso pode ajudar a preservar o fornecimento, mas não elimina os custos internos de recuperação.

O seguro e a responsabilidade pública, portanto, fazem perguntas diferentes: a seguradora pergunta se a despesa se encaixa na apólice; o público pergunta se os produtos essenciais continuaram a fluir com informações justas e precisas.

Essa diferença deve moldar os exercícios de incidente. Um exercício cibernético farmacêutico que termina quando os sistemas são restaurados perde a questão do fornecimento. O exercício deve perguntar quais produtos estão restritos, quais mercados estão expostos, quais documentos de liberação regulatória estão atrasados, quais clientes precisam de orientação de alocação e quais agências públicas podem precisar de aviso prévio. Também deve perguntar quais evidências estão sendo preservadas para as seguradoras e quais evidências estão sendo preservadas para garantia de fornecimento. Elas são relacionadas, mas não são arquivos idênticos.

Uma seguradora pode precisar de faturas, custos de reconstrução de sistemas, cálculos de interrupção de negócios e suporte de causalidade. Um stakeholder de saúde pública ou compras pode precisar de status, fundamentação de alocação, tempo de substituição e confiança de que os registros de qualidade do produto permanecem intactos.

Manter esses arquivos separados evita dois erros. O primeiro erro é deixar a linguagem do seguro definir a história pública. A cobertura pode depender de redação de apólice, franquias, exclusões e categorias de prova que não se mapeiam perfeitamente para as consequências do paciente ou provedor. O segundo erro é deixar a garantia pública destruir as evidências da reclamação. Uma empresa sob pressão para dizer "o fornecimento está bem" pode simplificar demais o registro que precisa depois para explicar pedidos não atendidos, variações de fabricação ou despesas extras.

Um programa de recuperação maduro deve ser capaz de dizer, ao mesmo tempo, o que se sabe sobre a disponibilidade do produto e o que ainda está sendo documentado para recuperação financeira.

A resiliência empresarial controlou a primeira perda; as evidências controlaram a segunda

A primeira questão de responsabilidade da Merck é operacional: por que o NotPetya se espalhou tão rapidamente e interrompeu tanto? O registro público descreve um aplicativo de terceiros confiável, atualizações automáticas, capacidade de comando e controle oculta como verificações normais de atualização e rápida propagação dentro da rede global da Merck. Também descreve mais de 40.000 máquinas infectadas.

Isso aponta para questões comuns de resiliência empresarial: dependência de canais de atualização confiáveis, segmentação, exposição de credenciais, alcance do domínio Windows, acesso privilegiado, isolamento de backup, mapeamento de dependências de aplicativos e capacidade de restaurar operações principais enquanto contém o ataque.

Fontes públicas não fornecem detalhes suficientes para avaliar os controles pré-incidente da Merck com precisão. Elas não publicam a arquitetura de domínio, modelo de conta privilegiada, status de correção, topologia de backup, linha do tempo de detecção de endpoint, testes de recuperação de desastres ou design de segmentação de sistemas de fabricação. O registro judicial e os arquivamentos mostram que a consequência cruzou fabricação, pesquisa e vendas. Isso é suficiente para identificar as categorias de controle responsáveis sem fingir conhecer fatos internos.

Uma empresa do porte da Merck precisa saber quais caminhos empresariais podem tirar instalações de produção e aplicações críticas do ar, e com que rapidez esses caminhos podem ser cortados.

A segunda questão de responsabilidade é probatória: uma vez que a perda ocorreu, quem poderia provar o que era? A Merck precisava documentar sistemas danificados, operações interrompidas, despesas extras, efeitos de vendas, variações de fabricação, trabalho de restauração, recuperações de seguros e cobertura de apólice. As seguradoras precisavam avaliar causalidade, cobertura, exclusões, franquias, limites e atribuição. A disputa sobre a exclusão de ação hostil/de guerra mostra como as evidências técnicas e a linguagem da apólice se entrelaçam.

Se o NotPetya veio através do M.E.Doc, se estava ligado a um ator estatal, se danificou dados e software, se a perda foi direta e se a redação da apólice a excluía, tudo importava.

Esse ônus probatório pode moldar o comportamento de recuperação. Durante um incidente, uma empresa deve restaurar as operações rapidamente. Durante uma reclamação de seguro, ela deve preservar registros. Esses objetivos podem entrar em conflito. Os sistemas podem precisar ser reconstruídos antes que todos os artefatos sejam preservados. Soluções alternativas manuais podem não gerar automaticamente registros comerciais comuns. Os efeitos de vendas podem ser misturados com mudanças na demanda, restrições de estoque e comportamento do mercado. As variações de fabricação podem incluir múltiplas causas.

A recuperação do seguro, portanto, depende de uma disciplina de contabilidade de perdas que esteja pronta antes de um ciberataque, não inventada após o fato.

Os arquivamentos da Merck mostram um rastro de contabilidade pública maduro em comparação com muitos incidentes. Eles deram efeitos específicos de vendas e despesas, identificaram recuperações de seguros, revisaram o efeito esperado nas vendas de 2018 à medida que o ano avançava e divulgaram disputas com seguradoras. Ainda assim, o registro público não expôs o arquivo de reclamação subjacente. Não disse quais apólices pagaram quais valores, como cada categoria foi ajustada ou como os pagamentos do acordo foram alocados.

A responsabilidade pública pode respeitar a confidencialidade enquanto ainda pergunta se os conselhos e gerentes de risco têm evidências não públicas suficientes para aprender com o evento.

Essas evidências não públicas devem ser mais ricas do que os números públicos. Devem conectar uma paralisação de sistema a uma variação de fabricação, um backlog a um mercado, uma despesa extra a uma decisão de recuperação e uma reclamação de seguro à linguagem da apólice. Devem distinguir vendas perdidas por paralisação de mudanças na demanda, restrições de estoque, manutenção programada e volatilidade comercial comum. Devem preservar por que uma solução alternativa manual foi usada, quem a aprovou e se ela reduziu o risco de saúde pública ou apenas reduziu a perda financeira.

Sem esse tecido conjuntivo, a organização pode saber que gastou dinheiro, mas não se o gasto melhorou a resiliência.

As mesmas evidências podem apoiar uma melhor prevenção. Se as perdas mais caras vieram da reconstrução de endpoints, a segmentação e a capacidade de recuperação de endpoints sobem na lista de investimentos. Se o problema de prova mais difícil veio do backlog de vendas, os registros de pedidos e alocação precisam de captura mais resiliente. Se a maior disputa veio da redação da apólice, a transferência de risco precisa de uma revisão de colocação mais clara.

Se a preocupação pública mais profunda veio da disponibilidade de medicamentos, os exercícios de recuperação devem incluir fornecimento e comunicação com o cliente, não apenas restauração de servidores. Um arquivo de perdas que apenas apoia litígios é menos valioso do que um arquivo de perdas que também muda os controles do próximo ano.

A lição em nível de conselho é que o design de evidências deve ser definido antes da perda. As equipes jurídicas, financeiras, de seguros, de fabricação, de suprimentos, cibernéticas, de qualidade e de comunicação precisam de um vocabulário compartilhado para o que conta como início de paralisação, restauração de função, alocação de produto, despesa extra, venda perdida, solução alternativa manual e recuperação final. Se cada equipe inventar suas definições durante uma crise, a empresa pode restaurar as operações enquanto perde o fio necessário para melhorar os controles e apoiar as reclamações.

O NotPetya mostrou que a evidência de recuperação não é papelada após o fato; é parte da própria resiliência. Essa evidência deve sobreviver à rotatividade de liderança, pressão de litígio e memória de mercado.

A redação do seguro mudou porque o mercado aprendeu

Uma razão pela qual a disputa da Merck atraiu atenção é que revelou um descompasso entre o risco cibernético e a redação tradicional de propriedade. Antes de as apólices cibernéticas dedicadas amadurecerem, muitas empresas confiavam em parte em programas de propriedade para danos físicos, interrupção de negócios, despesas extras e perda de dados ou software. O NotPetya mostrou que o malware poderia produzir perdas semelhantes a propriedades em uma escala historicamente associada a catástrofes, enquanto ainda era entregue através de software e conflito geopolítico.

Os mercados de seguros responderam ao longo do tempo com redação mais explícita de guerra cibernética. A Lloyd's posteriormente emitiu orientações de mercado sobre exclusões de ciberataques, incluindo linguagem de ciberataque apoiado por estados, através de boletins de mercado públicos, como o Boletim de Mercado Y5381 da Lloyd's. O boletim da Lloyd's não faz parte da decisão judicial da Merck e não decide retroativamente as apólices da Merck. É relevante porque mostra o mercado tentando redigir regras de alocação mais explícitas após experiência de perda cibernética de alta gravidade.

Uma redação mais clara pode ajudar ambos os lados. As seguradoras precisam saber quais riscos cibernéticos sistêmicos estão precificando. Os segurados precisam saber se as apólices de propriedade, cibernéticas, de crime e especialidades respondem a malware que danifica sistemas e interrompe operações. Governos e clientes de infraestrutura crítica precisam saber se os fornecedores têm capacidade crível de transferência de risco ou autosseguro após catástrofe cibernética. A ambiguidade pode preservar flexibilidade de negócios na colocação, mas pode se tornar incerteza cara após a perda.

O ponto de responsabilidade não é que as seguradoras estavam erradas em se preocupar com o acúmulo cibernético ligado a estados. Elas tinham um problema real de agregação: um evento de malware poderia atingir muitos segurados através de fronteiras e setores. O ponto é que a preocupação de acúmulo de uma seguradora tem que ser traduzida em linguagem de apólice específica, clara, simples e proeminente. O tribunal de Nova Jersey considerou que a exclusão de ação hostil/de guerra perante ele não fez esse trabalho para o NotPetya.

Para os segurados, a lição é igualmente exigente. Comprar seguro não substitui a resiliência. A Merck ainda teve que restaurar operações, gerenciar pedidos, registrar perdas, preservar evidências e continuar fornecendo produtos. O litígio de seguro durou anos. Se o planejamento de continuidade assume que um pagamento de reclamação chegará rápido o suficiente para resolver a interrupção operacional, não é planejamento de continuidade. O seguro é uma ferramenta de recuperação financeira, não uma ferramenta de reinicialização de fábrica.

O processo de colocação também precisa de participação técnica. Um conselho pode aprovar uma torre de propriedade, uma apólice cibernética e uma estrutura cativa, mas as pessoas que entendem as dependências de fabricação muitas vezes conhecem os cenários reais de perda. O malware pode corromper dados de receita, lote, liberação ou embarque de uma forma que a redação de propriedade reconhece? A cobertura de interrupção de negócios segue danos a software e dados, ou apenas equipamentos físicos?

As despesas extras para produção alternativa, trabalho manual de qualidade, consultores externos, reconstrução de endpoints e comunicação com o cliente estão claramente cobertas? As exclusões cibernéticas ligadas a estados são redigidas de uma forma que o comitê de risco pode modelar? A disputa da Merck mostrou que essas perguntas devem ser feitas antes da renovação, não após um evento de malware destrutivo.

Um teste de responsabilidade melhor para o próximo NotPetya

O registro da Merck sugere uma lista de verificação prática para organizações com funções críticas de produção. Primeiro, mapeie caminhos de atualização confiáveis. O M.E.Doc era um aplicativo confiável no registro do tribunal. Um caminho confiável pode se tornar um caminho de ataque se for comprometido a montante. As empresas devem saber quais sistemas de atualização de terceiros têm alcance de rede e quais ambientes eles podem tocar. Segundo, mapeie o raio de explosão.

Até onde credenciais, confiança de domínio, administração remota, armazenamento compartilhado e ferramentas de gerenciamento de endpoints podem levar o malware antes que a segmentação o desacelere? Terceiro, mapeie a operação mínima viável. Quais funções de fabricação, liberação, pesquisa, vendas e embarque devem continuar, e quais sistemas limpos podem apoiá-las?

Quarto, ensaie a preservação de evidências. Logs de incidentes, backups restaurados, registros de reconstrução, notas de impacto na produção, efeitos de estoque, backlog de vendas e aprovações de despesas extras devem ser coletáveis sem atrasar a recuperação urgente. Quinto, alinhe a linguagem do seguro com a realidade técnica. Se espera-se que as apólices de propriedade cubram corrupção de dados, restauração de sistemas, despesas extras e interrupção de negócios de malware, essa expectativa deve ser explícita.

Se as seguradoras pretendem excluir eventos cibernéticos destrutivos apoiados por estados, essa exclusão deve ser explícita o suficiente para que os conselhos possam entender o risco retido antes da perda. Sexto, mantenha as declarações públicas limitadas. Os arquivamentos da Merck fizeram isso melhor do que muitas empresas ao usar números específicos e revisar expectativas.

O público também precisa de melhores distinções. Uma declaração de atribuição governamental não é o mesmo que uma exclusão de apólice. Uma decisão de julgamento ou apelação não é o mesmo que uma decisão do Supremo Tribunal. Um acordo não é uma admissão pública de responsabilidade. Um efeito de vendas não é o mesmo que uma perda segurada. Um nome de família de malware não é o mesmo que uma causa raiz completa. Um local de fabricação restaurado não é o mesmo que um impacto a jusante apagado. Tratar esses termos com cuidado não é legalismo; é como a responsabilidade permanece ligada às evidências.

O registro do NotPetya da Merck continua sendo um dos exemplos mais claros de risco cibernético se tornando risco empresarial, de interesse público e de seguro ao mesmo tempo. A empresa controlou partes da resiliência empresarial e recuperação operacional. As seguradoras controlaram a redação da apólice e as posições de cobertura. Os tribunais controlaram a interpretação da redação contestada. Os governos controlaram as declarações públicas de atribuição. Pacientes, provedores, distribuidores, funcionários e contrapartes menores viveram com consequências que não podiam diagnosticar independentemente.

É por isso que o caso ainda importa após o acordo. O acordo encerrou a briga pública, mas não apagou a lição operacional. Um evento de malware destrutivo pode passar de uma atualização de software confiável para dezenas de milhares de máquinas em minutos, interromper a fabricação e vendas farmacêuticas, gerar centenas de milhões de dólares em efeitos quantificados e deixar partes sofisticadas discutindo por anos se a antiga linguagem de guerra se aplica. A próxima organização não deve esperar por essa discussão para descobrir o que suas redes, planos de recuperação e palavras de seguro realmente significam.