IT forenzika · Podniky

Jak může společnost po kybernetickém útoku bezpečně posoudit přístupy třetích stran a poskytovatelů služeb?

Nach einem Cyberangriff stehen Dienstleisterzugänge doppelt im Fokus: Sie werden für die Wiederherstellung gebraucht – und sie sind ein häufiger Einfallsweg. Die Frage ist, ob ein bestimmter Zugang im Angriffszeitraum genutzt wurde und ob er bedenkenlos wieder aktiviert werden kann.

Nezávazná poptávka

Proč je tato otázka pro podnik důležitá

Ve fázi obnovy po kybernetickém incidentu se přijímají technická rozhodnutí, která mohou současně ovlivnit provozuschopnost, zachování důkazů, ochranu osobních údajů i pozdější prokazatelnost. Pečlivá dokumentace proto chrání nejen IT, ale vytváří také spolehlivý faktický základ pro vedení společnosti a právní poradenství.

Technischer Hintergrund

Typische Zugänge sind Fernwartungssoftware (z. B. TeamViewer, AnyDesk, ScreenConnect), RMM-Agenten von Managed Service Providern, Site-to-Site-VPNs, Gastkonten in Entra ID und Service-Accounts. Wurde ein Dienstleister selbst kompromittiert, kann der Angriff über dessen legitime Werkzeuge laufen.

Relevante Spuren und Datenquellen

• Verbindungsprotokolle der Fernwartungs- und RMM-Software
• VPN- und Firewall-Logs mit Quell-IP
• Anmeldeereignisse der Dienstleisterkonten (lokal, AD, Entra ID)
• Installations- und Ausführungsspuren auf Endpunkten (Prefetch, Amcache, Dienste)

Grenzen

• Ein vorhandener Zugang belegt keine Verantwortlichkeit des Dienstleisters.
• Logs beim Dienstleister selbst sind nur mit dessen Mitwirkung verfügbar.

Mögliche Ergebnisse

• Zugangsweg identifiziert bzw. ausgeschlossen (im geprüften Umfang)
• Liste der Zugänge mit Bewertung

Proč LanCologne?

Po závažném kybernetickém incidentu úkol nekončí zastavením útoku. Společnost musí systémy kontrolovaně uvést zpět do provozu, vyhodnotit data a zálohy, zabezpečit identity, zmapovat výpadky provozu a zároveň zajistit důkazy pro případné budoucí právní, pojistné či regulační záležitosti.

So gehen wir vor

• Inventar aller externen Zugänge und Konten.
• Abgleich der Nutzung im Angriffszeitraum mit dokumentierten Wartungsfenstern.
• Bewertung je Zugang: genutzt, nicht genutzt, nicht beurteilbar.
• Empfehlung zur kontrollierten Wiederfreigabe.

Obnova nesmí dodatečně zkreslit historické důkazy

Systém, který byl po incidentu řádně obnoven, automaticky nevypovídá o tom, v jakém stavu se systém nacházel před útokem nebo v jeho průběhu. Proto dokumentujeme historická zjištění a následná nápravná opatření odděleně. Tím se zabrání tomu, aby byl vylepšený stav po incidentu zpětně považován za důkaz dřívějších skutečností.

Právní a regulační rámec

Při zpracování osobních údajů platí i nadále zejména zásady uvedené v čl. 5 GDPR a požadavek na existenci dostatečného právního základu podle čl. 6 GDPR. Článek 32 GDPR vyžaduje s ohledem na riziko přijetí vhodných technických a organizačních opatření a uvádí mimo jiné důvěrnost, integritu, dostupnost, odolnost a schopnost včasného obnovení dostupnosti a přístupu po incidentu.

V případě porušení ochrany osobních údajů mohou být relevantní články 33 a 34 GDPR. Článek 33 stanoví za splnění příslušných podmínek ohlášení dozorovému úřadu v zásadě neprodleně a pokud možno do 72 hodin od zjištění porušení a podle odstavce 5 vyžaduje dokumentaci porušení, jeho dopadů a přijatých nápravných opatření. V případě předpokládaného vysokého rizika může článek 34 navíc vyžadovat informování dotčených osob. Splnění příslušných podmínek se posuzuje z hlediska právních předpisů o ochraně osobních údajů; forenzní analýza poskytuje technické skutečnosti.

Pro podniky, na které se vztahuje nově znějící zákon o BSI platný od prosince 2025, mohou platit dodatečné povinnosti pro zvláště důležité a důležité subjekty. Mezi ně patří, v závislosti na zařazení, požadavky na řízení kyberbezpečnostních rizik a na řešení či hlášení závažných bezpečnostních incidentů. Povinnosti vedení společnosti jsou v aktuálním zákoně o BSI výslovně uvedeny. Zda se zákon vztahuje na konkrétní společnost a jaké lhůty či povinnosti v daném případě platí, je třeba posoudit na základě aktuálního právního zařazení.

V případě údajů o zaměstnancích mohou mít význam také § 26 BDSG a práva na spolurozhodování v rámci podniku. Ani v případě kybernetického incidentu neznamená technická možnost přístupu neomezený rozsah vyšetřování.

LanCologne poskytuje technická zjištění a dokumentuje jejich odvození. Rozhodnutí o oznamovací povinnosti, odpovědnosti, opatřeních v oblasti pracovního práva nebo jiných právních důsledcích zůstávají v pravomoci příslušných orgánů společnosti, pověřenců pro ochranu osobních údajů a právních poradců.

LanCologne pro forenzní analýzu a řízenou obnovu

LanCologne spojuje technickou podrobnost s prezentací srozumitelnou pro osoby s rozhodovací pravomocí. Zaznamenáváme nejen to, jaká opatření byla provedena, ale také na jakých technických skutečnostech byla založena a jaké jsou meze jejich platnosti. To zajišťuje srozumitelnost pro vedení společnosti, právní poradenství, pojišťovnu a případnou pozdější odbornou kontrolu.

Často kladené otázky

🔗 Související témata