Informática forense · Empresas

¿Cómo debería actuar una empresa desde el punto de vista forense ante la primera sospecha de un incidente informático interno?

Ein erster Verdacht ist noch kein Beweis. Gerade bei möglichen Mitarbeiterhandlungen muss ein Unternehmen technische Aufklärung, Beweiserhalt, Datenschutz und arbeitsrechtliche Grenzen von Beginn an zusammen denken.

Solicitar información sin compromiso

Por qué esta cuestión es importante para una empresa

En el caso de incidentes internos, pueden verse afectados al mismo tiempo los intereses económicos, la conservación de pruebas y los derechos de los trabajadores. Por lo tanto, una investigación de amplio alcance técnico no es automáticamente una buena investigación. Lo decisivo es que la cuestión probatoria esté claramente definida y que el alcance de la investigación esté delimitado de forma comprensible.

Enfoque técnico de investigación

Wir definieren zunächst die konkrete Beweisfrage, sichern flüchtige und veränderliche Daten soweit erforderlich und grenzen anschließend die Untersuchung auf die tatsächlich relevanten Systeme, Accounts und Zeiträume ein.

Dónde está el límite de la expresión

LanCologne untersucht keine Person ‚auf Verdacht‘. Technische Maßnahmen müssen auf einen zulässigen Zweck, eine geeignete Rechtsgrundlage und einen verhältnismäßigen Untersuchungsumfang gestützt werden.

¿Por qué LanCologne?

En las investigaciones internas se enfrentan directamente varios intereses: la empresa debe poder proteger sus sistemas, datos, secretos comerciales e intereses económicos. Al mismo tiempo, hay que respetar la protección de datos de los trabajadores, el principio de proporcionalidad, el derecho de participación y, en su caso, la privacidad de los datos personales.

Por ello, LanCologne no comienza con una recopilación de datos lo más exhaustiva posible. El punto de partida es la cuestión técnica concreta que se pretende demostrar. Solo después se determina qué dispositivos, cuentas, periodos y tipos de datos se necesitan realmente. De este modo, la investigación suele poder llevarse a cabo con mucha mayor precisión que mediante un análisis global y generalizado.

Se distingue deliberadamente entre la disponibilidad técnica y la licitud jurídica. El hecho de que un administrador, un sistema MDM o un usuario de la nube permita técnicamente el acceso a determinada información no responde a la pregunta de si dicha información puede tratarse para ese fin concreto.

Los resultados decisivos se validan, en la medida en que sea necesario, con datos primarios. Los informes automatizados y el software forense son herramientas auxiliares; no sustituyen a la interpretación especializada de los artefactos en los que se basan. También se examinan las explicaciones técnicas alternativas.

Igualmente importante: una investigación interna debe tomar en serio los hechos exculpatorios tanto como los incriminatorios. Si el análisis revela que una sospecha no puede confirmarse técnicamente o que un suceso llamativo se explica por un proceso habitual del sistema, esto debe reflejarse exactamente así en el informe.

Nuestra forma de trabajar

1Definir el caso concreto y la cuestión probatoria técnica.
2Aclarar la base jurídica y las competencias internas a través de la empresa o del departamento jurídico.
3Limitar los sistemas, cuentas, tipos de datos y períodos necesarios.
4Dar prioridad a la conservación de pruebas y documentar los datos variables.
5Registrar de forma trazable la identidad de los dispositivos y los datos, así como el estado de seguridad.
6Separar los datos primarios de los informes y las interpretaciones de las interfaces de usuario.
7No hay que confundir la asignación de usuarios, dispositivos, cuentas y sesiones.
8Comprobar también los procesos habituales del sistema y las explicaciones alternativas.
9Documentar de forma equivalente los hallazgos incriminatorios, exculpatorios y sin concluir.
10Ampliar el alcance de la investigación únicamente en caso de que surjan nuevos hechos de referencia fundamentados.
11Elaborar un informe técnico que sea comprensible y reproducible.
12Las conclusiones en materia de derecho laboral, protección de datos, derecho civil y derecho penal se dejan en manos del servicio de asesoramiento jurídico competente.

No se deben prejuzgar a los trabajadores

Una sospecha interna no se declara como resultado de la investigación. Analizamos qué hechos técnicos la respaldan, cuáles la contradicen y qué explicaciones alternativas existen. También se documenta íntegramente cualquier resultado que resulte desfavorable o exculpatorio para la empresa.

Comprensible para la dirección y el departamento jurídico; reproducible para los peritos forenses

La parte principal explica la idea central sin utilizar jerga técnica innecesaria. La parte técnica documenta las fuentes de datos, los estados de seguridad, los identificadores, la información sobre la integridad, las referencias temporales, las ubicaciones de los artefactos y los pasos de validación. De este modo, el estudio resulta comprensible para una posterior verificación técnica.

LanCologne como servicio de asistencia técnica independiente para empresas

Cuando es necesario esclarecer técnicamente un incidente interno, LanCologne ofrece su apoyo mediante una investigación forense informática objetiva, imparcial y transparente. Lo determinante no es el resultado deseado, sino exclusivamente lo que realmente se pueda demostrar, dentro del marco de investigación permitido, a partir de las huellas digitales.

Marco jurídico

En Alemania, en lo que respecta a los datos de los trabajadores, hay que tener en cuenta, en particular, el artículo 26 de la BDSG. Los datos personales de los trabajadores pueden tratarse a efectos de la relación laboral cuando sea necesario para los fines allí mencionados. Para la detección de delitos, el artículo 26, apartado 1, de la BDSG establece requisitos específicos: Debe haber indicios fácticos, que deben documentarse, que justifiquen la sospecha de que la persona afectada ha cometido un delito en el marco de la relación laboral; el tratamiento debe ser necesario para la detección y el interés legítimo del trabajador no debe prevalecer. En particular, la naturaleza y el alcance del tratamiento no deben ser desproporcionados.

Además, se aplican los principios generales del RGPD. El artículo 5 del RGPD exige, entre otras cosas, la licitud, la limitación de la finalidad y la minimización de datos. El artículo 6 del RGPD exige una base jurídica sólida para el tratamiento. Por lo tanto, un análisis que sea técnicamente posible no es automáticamente un análisis legalmente admisible.

En el caso de los dispositivos técnicos, también puede ser aplicable el artículo 87, apartado 1, número 6, de la Ley de Participación Empresarial (BetrVG). Según esta disposición, salvo que exista una normativa legal o un convenio colectivo al respecto, el comité de empresa tiene derecho a participar en la toma de decisiones sobre la implantación y el uso de dispositivos técnicos destinados a supervisar el comportamiento o el rendimiento de los trabajadores. Esto puede ser relevante, por ejemplo, en el caso de sistemas de gestión de dispositivos móviles (MDM), registro de datos de uso (EDR), prevención de pérdida de datos (DLP), registro de actividades (logging) u otros sistemas de supervisión, dependiendo de su configuración.

El artículo 26, apartado 6, de la BDSG deja claro expresamente que los derechos de participación de los órganos de representación de los trabajadores no se ven afectados. Por lo tanto, cuando una medida de investigación afecte a los empleados, se deberá aclarar previamente su admisibilidad concreta, desde el punto de vista del Derecho laboral y del Derecho de organización empresarial, con el servicio de asesoramiento jurídico competente y, en su caso, con los órganos de la empresa previstos a tal efecto.

LanCologne no sustituye a este examen jurídico. Nuestra tarea consiste en, una vez definido el marco de investigación admisible, examinar la cuestión probatoria técnica de forma comprensible, proporcionada y sin prejuicios.

Preguntas frecuentes

¿Cómo debería actuar una empresa desde el punto de vista forense ante la primera sospecha de un incidente informático interno?+
En el caso de incidentes internos, pueden verse afectados al mismo tiempo los intereses económicos, la conservación de pruebas y los derechos de los trabajadores. Por lo tanto, una investigación de amplio alcance técnico no es automáticamente una buena investigación. Lo decisivo es que la cuestión probatoria esté claramente definida y que el alcance de la investigación esté delimitado de forma comprensible.
¿Cómo se lleva a cabo en la práctica una inspección técnica de este tipo?+
Wir definieren zunächst die konkrete Beweisfrage, sichern flüchtige und veränderliche Daten soweit erforderlich und grenzen anschließend die Untersuchung auf die tatsächlich relevanten Systeme, Accounts und Zeiträume ein.
¿La investigación siempre arroja un resultado inequívoco en contra o a favor de una de las personas implicadas?+
LanCologne untersucht keine Person ‚auf Verdacht‘. Technische Maßnahmen müssen auf einen zulässigen Zweck, eine geeignete Rechtsgrundlage und einen verhältnismäßigen Untersuchungsumfang gestützt werden.
¿Existe algún fundamento jurídico para ello?+
Für Beschäftigtendaten ist in Deutschland insbesondere § 26 BDSG zu beachten. Personenbezogene Daten von Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die dort genannten Zwecke erforderlich ist. Zur Aufdeckung von Straftaten enthält § 26 Abs. 1 BDSG besondere Voraussetzungen: Es müssen zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat; die Verarbeitung muss zur Aufdeckung erforderlich sein und das schutzwürdige Interesse des Beschäftigten darf nicht überwiegen. Art und Ausmaß dürfen insbesondere nicht unverhältnismäßig sein. Daneben gelten die allgemeinen Grundsätze der DSGVO. Art. 5 DSGVO verlangt unter anderem Rechtmäßigkeit, Zweckbindung und Datenminimierung. Art. 6 DSGVO verlangt eine tragfähige Rechtsgrundlage für die Verarbeitung. Eine technisch mögliche Auswertung ist deshalb nicht automatisch eine rechtlich zulässige Auswertung. Bei technischen Einrichtungen kann außerdem § 87 Abs. 1 Nr. 6 BetrVG relevant sein. Danach hat der Betriebsrat, soweit keine gesetzliche oder tarifliche Regelung besteht, bei Einführung und Anwendung technischer Einrichtungen mitzubestimmen, die dazu bestimmt sind, Verhalten oder Leistung der Arbeitnehmer zu überwachen. Dies kann je nach Ausgestaltung beispielsweise bei MDM-, EDR-, DLP-, Logging- oder anderen Monitoring-Systemen relevant werden. § 26 Abs. 6 BDSG stellt ausdrücklich klar, dass Beteiligungsrechte der Interessenvertretungen der Beschäftigten unberührt bleiben. Die konkrete arbeits- und betriebsverfassungsrechtliche Zulässigkeit einer Untersuchungsmaßnahme sollte deshalb bei Mitarbeiterbezug vor Durchführung mit der zuständigen Rechtsberatung und gegebenenfalls den vorgesehenen betrieblichen Stellen geklärt werden. LanCologne ersetzt diese juristische Prüfung nicht. Unsere Aufgabe ist es, nach Festlegung des zulässigen Untersuchungsrahmens die technische Beweisfrage nachvollziehbar, verhältnismäßig und ergebnisoffen zu untersuchen.

LanCologne – Informática forense para empresas

¿Tiene alguna duda relacionada con el ámbito digital? LanCologne le ofrece apoyo mediante una investigación forense informática objetiva y sin prejuicios.

Ponte en contacto con nosotros ahora