IT forenzika · Podniky

Jak by měla společnost bezprostředně po odhalení kybernetického útoku koordinovat zajištění důkazů a omezení škod?

V případě probíhajícího kybernetického incidentu je třeba současně zajistit jak rychlé omezení jeho dopadů, tak možnost pozdější rekonstrukce událostí. Forenzně ideální záloha nesmí zbytečně prodlužovat trvání škod.

Nezávazná poptávka

Proč je tato otázka pro podnik důležitá

Ve fázi obnovy po kybernetickém incidentu se přijímají technická rozhodnutí, která mohou současně ovlivnit provozuschopnost, zachování důkazů, ochranu osobních údajů i pozdější prokazatelnost. Pečlivá dokumentace proto chrání nejen IT, ale vytváří také spolehlivý faktický základ pro vedení společnosti a právní poradenství.

Technický přístup k výzkumu

Upřednostňujeme nestálé a obzvláště výmluvné zdroje dat, dokumentujeme nevyhnutelné změny a koordinujeme bezpečnostní opatření s operačním týmem pro reakci na incidenty.

Kde leží hranice výpovědi

Ne každý počítač musí být před izolací kompletně forenzně zajištěn. Stanovení priorit závisí na situaci útoku, povaze důkazů a provozním riziku.

Proč LanCologne?

Po závažném kybernetickém incidentu úkol nekončí zastavením útoku. Společnost musí systémy kontrolovaně uvést zpět do provozu, vyhodnotit data a zálohy, zabezpečit identity, zmapovat výpadky provozu a zároveň zajistit důkazy pro případné budoucí právní, pojistné či regulační záležitosti.

LanCologne proto odděluje operativní reakci na incidenty od forenzní rekonstrukce, aniž by tyto dvě oblasti uměle izolovalo jedna od druhé. Omezení dopadů a obnova chrání podnik; forenzní analýza dokumentuje, co se stalo a jaké technické skutečnosti byly základem přijatých opatření.

Neřídíme se zásadou, že je třeba kompletně zajistit co nejvíce systémů. Rozhodující jsou konkrétní důkazní otázka, pomíjivost zdroje dat, role systému při útoku a zásada přiměřenosti. Přednost mají zejména výmluvná primární data.

Při obnově rozlišujeme mezi technickou dostupností, funkčností systému, odbornou použitelností a plným běžným provozem. Stejně tak se existence zálohy, integrita zálohy a skutečná možnost obnovy nepovažují za totéž.

Zpráva ponechává závěr otevřený. Pokud bylo preventivní odpojení technicky odůvodněné, i když se později nepodařilo prokázat žádné ohrožení, mohou být obě skutečnosti správné zároveň. Právě takovéto rozlišení zajišťuje spolehlivost pozdějšího hodnocení.

Náš způsob práce

1Koordinovat omezení šíření a zajištění důkazů na základě posouzení rizik.

2Upřednostnit kritické a nestálé zdroje dat.

3Zaznamenávat výchozí stavy a nevyhnutelné změny.

4Základní příčinu a zjevný škodlivý čin je třeba vyšetřovat odděleně.

5Vyhodnotit kompromitované identity, relace a privilegované přístupy.

6Rozlišovat mezi stavem zálohy, spolehlivostí a možností obnovy.

7Technicky zdokumentovat rozhodnutí týkající se obnovy a zálohování.

8Zaznamenat časové údaje o fázích opětovného spuštění a systémových závislostech.

9Rozlišovat mezi nouzovým provozem, omezeným provozem a běžným provozem.

10Do rekonstrukce zahrnout závislosti na třetích stranách a na cloudu.

11Uchovávat důkazní údaje tak, aby byly srozumitelné pro pozdější konkrétní účely.

12Vypracovat srozumitelnou hlavní zprávu a technickou přílohu, kterou lze reprodukovat.

Obnova nesmí dodatečně zkreslit historické důkazy

Systém, který byl po incidentu řádně obnoven, automaticky nevypovídá o tom, v jakém stavu se systém nacházel před útokem nebo v jeho průběhu. Proto dokumentujeme historická zjištění a následná nápravná opatření odděleně. Tím se zabrání tomu, aby byl vylepšený stav po incidentu zpětně považován za důkaz dřívějších skutečností.

Právní a regulační rámec

Při zpracování osobních údajů platí i nadále zejména zásady uvedené v čl. 5 GDPR a požadavek na existenci dostatečného právního základu podle čl. 6 GDPR. Článek 32 GDPR vyžaduje s ohledem na riziko přijetí vhodných technických a organizačních opatření a uvádí mimo jiné důvěrnost, integritu, dostupnost, odolnost a schopnost včasného obnovení dostupnosti a přístupu po incidentu.

V případě porušení ochrany osobních údajů mohou být relevantní články 33 a 34 GDPR. Článek 33 stanoví za splnění příslušných podmínek ohlášení dozorovému úřadu v zásadě neprodleně a pokud možno do 72 hodin od zjištění porušení a podle odstavce 5 vyžaduje dokumentaci porušení, jeho dopadů a přijatých nápravných opatření. V případě předpokládaného vysokého rizika může článek 34 navíc vyžadovat informování dotčených osob. Splnění příslušných podmínek se posuzuje z hlediska právních předpisů o ochraně osobních údajů; forenzní analýza poskytuje technické skutečnosti.

Pro podniky, na které se vztahuje nově znějící zákon o BSI platný od prosince 2025, mohou platit dodatečné povinnosti pro zvláště důležité a důležité subjekty. Mezi ně patří, v závislosti na zařazení, požadavky na řízení kyberbezpečnostních rizik a na řešení či hlášení závažných bezpečnostních incidentů. Povinnosti vedení společnosti jsou v aktuálním zákoně o BSI výslovně uvedeny. Zda se zákon vztahuje na konkrétní společnost a jaké lhůty či povinnosti v daném případě platí, je třeba posoudit na základě aktuálního právního zařazení.

V případě údajů o zaměstnancích mohou mít význam také § 26 BDSG a práva na spolurozhodování v rámci podniku. Ani v případě kybernetického incidentu neznamená technická možnost přístupu neomezený rozsah vyšetřování.

LanCologne poskytuje technická zjištění a dokumentuje jejich odvození. Rozhodnutí o oznamovací povinnosti, odpovědnosti, opatřeních v oblasti pracovního práva nebo jiných právních důsledcích zůstávají v pravomoci příslušných orgánů společnosti, pověřenců pro ochranu osobních údajů a právních poradců.

LanCologne pro forenzní analýzu a řízenou obnovu

LanCologne spojuje technickou podrobnost s prezentací srozumitelnou pro osoby s rozhodovací pravomocí. Zaznamenáváme nejen to, jaká opatření byla provedena, ale také na jakých technických skutečnostech byla založena a jaké jsou meze jejich platnosti. To zajišťuje srozumitelnost pro vedení společnosti, právní poradenství, pojišťovnu a případnou pozdější odbornou kontrolu.

Často kladené otázky

Jak by měla společnost bezprostředně po odhalení kybernetického útoku koordinovat zajištění důkazů a omezení škod?+

Jak taková technická prohlídka probíhá v praxi?+

Upřednostňujeme nestálé a obzvláště výmluvné zdroje dat, dokumentujeme nevyhnutelné změny a koordinujeme bezpečnostní opatření s operačním týmem pro reakci na incidenty.

Přináší vyšetřování vždy jednoznačný výsledek v neprospěch nebo ve prospěch dotčené osoby?+

Ne každý počítač musí být před izolací kompletně forenzně zajištěn. Stanovení priorit závisí na situaci útoku, povaze důkazů a provozním riziku.

Existuje pro to právní základ?+

Při zpracování osobních údajů platí i nadále zejména zásady stanovené v článku 5 GDPR a požadavek na existenci dostatečného právního základu podle článku 6 GDPR. Článek 32 GDPR vyžaduje s ohledem na riziko přijetí vhodných technických a organizačních opatření a uvádí mimo jiné důvěrnost, integritu, dostupnost, odolnost a schopnost včas obnovit dostupnost a přístup po incidentu. V případě porušení ochrany osobních údajů mohou být relevantní články 33 a 34 GDPR. Článek 33 za splnění stanovených podmínek stanoví, že oznámení dozorovému úřadu musí být zásadně podáno neprodleně, nejpozději do 72 hodin od zjištění porušení, a podle odstavce 5 vyžaduje dokumentaci o porušení, jeho dopadech a přijatých nápravných opatřeních. V případě předpokládaného vysokého rizika může článek 34 navíc vyžadovat informování dotčených osob. Splnění příslušných podmínek se posuzuje z hlediska právních předpisů o ochraně osobních údajů; forenzní analýza poskytuje technické skutečnosti. Pro podniky, na které se vztahuje nově znějící zákon o BSI platný od prosince 2025, mohou existovat dodatečné povinnosti pro zvláště důležité a důležité subjekty. Mezi ně patří v závislosti na zařazení požadavky na řízení kyberbezpečnostních rizik a na řešení či hlášení závažných bezpečnostních incidentů. Povinnosti vedení jsou v aktuálním zákoně BSIG výslovně uvedeny. Zda se konkrétní podnik nachází v působnosti tohoto zákona a jaké lhůty či povinnosti v daném případě platí, je třeba posoudit na základě aktuální právní klasifikace. V případě údajů o zaměstnancích mohou být relevantní také § 26 BDSG a práva na spolurozhodování v rámci podniku. Ani během kybernetického incidentu neznamená technická možnost přístupu neomezený rozsah vyšetřování. LanCologne poskytuje technická zjištění a dokumentuje jejich odvození. Rozhodnutí o oznamovacích povinnostech, odpovědnosti, opatřeních v oblasti pracovního práva nebo jiných právních důsledcích zůstávají v kompetenci příslušných orgánů společnosti, pověřenců pro ochranu osobních údajů a právních poradců.