Un ciberataque suele plantear a las empresas, en muy poco tiempo, problemas técnicos, organizativos y jurídicos de gran alcance. Además de contener el incidente y restablecer el funcionamiento de la empresa, es necesario aclarar qué ha ocurrido realmente, qué sistemas se han visto afectados, hasta qué punto ha penetrado un posible atacante en la infraestructura y si se han consultado, modificado, eliminado o transferido datos.
Ciberataque en la empresa: ¿qué ha ocurrido realmente?
Tras un incidente de seguridad, las alertas individuales de un sistema de seguridad no suelen ser suficientes para evaluar el alcance real de un ataque. Una cuenta de usuario comprometida, una conexión de red sospechosa o un programa malicioso en un único sistema pueden ser solo una parte de un incidente mucho más amplio.
Por ello, la investigación forense informática adopta un enfoque integral. En función de las pruebas disponibles, se pueden analizar, entre otras, las siguientes cuestiones:
- ¿Cuándo se pueden detectar los primeros indicios de una intrusión?
- ¿Cómo podría haberse producido el acceso inicial a la infraestructura?
- ¿Qué sistemas y cuentas de usuario se vieron afectados?
- ¿Se han utilizado cuentas administrativas o con privilegios?
- ¿Se ha desplazado un atacante por la infraestructura?
- ¿Se han establecido accesos adicionales o mecanismos de persistencia?
- ¿Qué archivos y conjuntos de datos se han consultado?
- ¿Existen indicios técnicos de una transferencia o filtración de datos?
- ¿Se han modificado, cifrado o eliminado datos?
- ¿Qué mecanismos de seguridad podrían haberse eludido o manipulado?
- ¿Qué sistemas externos o direcciones IP participaron en la comunicación?
- ¿Qué indicadores de compromiso se pueden identificar?
- ¿Es posible reconstruir técnicamente la vía de entrada original?
- ¿Qué consecuencias del incidente pueden demostrarse a partir de las pruebas disponibles?
Una investigación forense rigurosa debe señalar también aquellas cuestiones que no pueden responderse de forma inequívoca a partir de los datos disponibles. No toda anomalía técnica constituye una prueba. Por ello, distinguimos entre hechos constatados, indicios técnicos, conclusiones que se pueden deducir de ellos y circunstancias que, a la luz de los datos disponibles, no pueden evaluarse de forma definitiva.
Por qué es importante realizar un examen forense lo antes posible
Las huellas digitales son, en parte, efímeras. Los archivos de registro se sobrescriben, los sistemas en la nube y de seguridad tienen plazos de conservación limitados, la memoria RAM cambia continuamente y, debido a intervenciones administrativas, los rastros relevantes pueden modificarse o destruirse.
Por ello, cuando se da a conocer un ciberataque, suele producirse un conflicto entre tres objetivos: Contener el ataque – Garantizar la continuidad de las operaciones – Conservar las huellas digitales.
Una investigación forense no debe retrasar de forma indebida las medidas necesarias para contener un ataque en curso. Al mismo tiempo, siempre que sea posible, se deben realizar copias de seguridad de los sistemas y fuentes de datos relevantes antes de llevar a cabo nuevas instalaciones, limpiezas u otros cambios de gran alcance.
LanCologne puede ayudar, ya desde una fase temprana, a identificar fuentes de datos relevantes desde el punto de vista forense y a priorizar los siguientes pasos de la investigación. ¿Cómo se Coordinar la obtención de pruebas y las medidas de contención, es una de las primeras cuestiones prácticas que se plantean.
Evaluación forense inicial del incidente de seguridad
En primer lugar, se recopilan los datos conocidos hasta el momento. Entre ellos se incluyen, por ejemplo, la fecha y el tipo de descubrimiento, las anomalías ya detectadas, los sistemas afectados, los avisos de seguridad existentes, las cuentas de usuario conocidas, las medidas correctivas aplicadas y la infraestructura informática existente.
A continuación, se definen los objetivos concretos de la investigación junto con el cliente. En el caso de incidentes de gran envergadura, este procedimiento permite establecer un orden de prioridad entre los sistemas y las fuentes de datos más relevantes.
¿Qué sistemas y fuentes de datos se analizan?
En función de la infraestructura y del incidente, pueden verse afectados, por ejemplo, sistemas Windows, Linux y macOS; Server y ordenadores de sobremesa; Active Directory e infraestructuras de identidad; sistemas virtuales; cortafuegos; sistemas VPN; componentes de red; Microsoft 365; Azure; otros servicios en la nube; sistemas de correo electrónico, datos de EDR, XDR y SIEM, registros de seguridad y del sistema, datos de red y de conexión, soportes de datos, soportes de almacenamiento externos, memoria RAM y sistemas de copia de seguridad.
Lo decisivo no es el número de sistemas analizados, sino su relevancia forense para la reconstrucción del incidente.
En función de la plataforma en cuestión, recurrimos a la disciplina especializada correspondiente, como por ejemplo la Análisis forense de sistemas Windows, el análisis de Linux-Servern, Análisis forense de macOS o el análisis dispositivos móviles.
Conservación y obtención de pruebas digitales
En la medida en que la situación lo requiera y sea técnicamente posible, se realizará una copia de seguridad forense de los datos pertinentes. De este modo, se podrán documentar los valores de integridad y separar los datos originales de las copias de trabajo utilizadas para la investigación.
En los análisis relevantes a efectos probatorios, se puede llevar además una cadena de custodia documentada. El objetivo es documentar de forma trazable el origen y la integridad de los datos relevantes del análisis.
Una cuestión práctica que surge durante el funcionamiento es:, qué datos de registro deben conservarse como pruebas – y al igual que con archivos de registro borrados o manipulados cómo actuar.
Análisis de vulnerabilidades
Los datos recuperados se analizan en busca de indicios de una posible violación de la seguridad. Entre ellos pueden figurar:
- procesos y programas sospechosos
- inicios de sesión inusuales y cuentas de nueva creación
- Modificaciones de los permisos
- Accesos remotos, así como actividades en PowerShell o en la línea de comandos
- Tareas programadas, servicios y mecanismos de inicio automático
- Conexiones de red y software malicioso
- archivos del sistema manipulados y otros elementos relevantes
Una cuestión clave al respecto es:, qué sistemas se vieron realmente afectados – y aquellos de los que solo se sospecha que se han visto afectados.
Reconstrucción del desarrollo del ataque – Cronología del incidente
Una de las tareas fundamentales de las investigaciones forenses informáticas exhaustivas consiste en reconstruir la cronología del incidente. Para ello, se establecen correlaciones entre los sucesos de distintos sistemas y fuentes de datos.
De este modo, se puede ir formando una visión global: ¿Cuándo comenzó el ataque? ¿Qué sistema fue el primero en verse afectado? ¿Qué cuentas se utilizaron a continuación? ¿A qué sistemas se accedió después? ¿Cuándo se consultaron, modificaron o cifraron los datos?
Cómo una tal Cronología de un ciberataque Analizaremos por separado cómo surge y cuáles son sus límites. Si intervienen varios prestadores de servicios, surge además la cuestión de una línea de tiempo común.
Acceso inicial y análisis de la causa raíz
En la medida en que los rastros disponibles lo permitan, se investigará cómo podría haberse producido el acceso inicial a la infraestructura. Las posibles causas pueden ser datos de acceso comprometidos, servicios expuestos, vulnerabilidades de seguridad, correos electrónicos manipulados, accesos remotos u otras vías de ataque técnico.
Una causa no se considera demostrada por el mero hecho de que parezca técnicamente plausible. Lo decisivo es qué conclusión se ve respaldada por los indicios realmente existentes.
Para profundizar: Análisis de la causa raíz de un ciberataque, Determinar de forma forense la vía de entrada y Comprobar técnicamente si se trata de un posible caso de phishing.
Movimiento lateral, ampliación de privilegios y persistencia
En el caso de ataques más complejos, es frecuente que el atacante no se limite al sistema comprometido inicialmente. Por ello, se puede investigar si se ha accedido a otros sistemas, si se han utilizado datos de acceso, si se han comprometido cuentas con privilegios o si se han empleado herramientas administrativas. De este modo, a menudo es posible determinar con mucha mayor precisión el alcance real de un incidente.
Movimiento lateral
Se está investigando si se accedió a otros sistemas dentro de la infraestructura y, en caso afirmativo, de qué manera. Para más información: reconstruir la movilidad lateral dentro de la empresa.
Cuentas privilegiadas
El uso de cuentas administrativas modifica considerablemente el alcance de un incidente. Para más información: Compromiso de cuentas de administrador y datos de acceso robados.
Persistencia
Las tareas programadas, los servicios, los mecanismos de inicio automático y los accesos adicionales configurados pueden permitir a un atacante obtener acceso permanente. Para más información: Demostrar los mecanismos de persistencia.
Acceso a los datos y posible filtración de datos
Una de las preguntas más importantes tras un ciberataque suele ser si se han sustraído datos de la empresa. En este sentido, hay que distinguir claramente entre:
- Los datos eran accesible
- Los datos se han consultado
- Los datos se han recogido o bien preparado para una posible transferencia
- existen Notas técnicas a una transmisión
- una transmisión puede comprendido desde el punto de vista técnico ser
LanCologne documenta cuáles de estas afirmaciones están respaldadas por las pruebas disponibles. Si no se puede demostrar que se haya producido realmente una transferencia de datos, no se deduce una supuesta fuga de datos a partir de un acceso teóricamente posible.
Para profundizar: Comprobar si hay indicios de filtración de datos, Delimitar el alcance de los datos que podrían haberse filtrado y Datos personales afectados.
Solicitar un análisis forense de un incidente cibernético
¿Se trata de un incidente cibernético actual o ya pasado? Hable con nosotros sobre la infraestructura afectada y las cuestiones que hay que aclarar.
Análisis forense informático tras un ataque de ransomware
Un ataque de ransomware no tiene por qué comenzar necesariamente con el cifrado visible de los datos. Entre el acceso inicial y el cifrado pueden transcurrir horas, días o, en determinados casos, períodos de tiempo aún más largos.
Durante esta fase, es posible que se hayan recopilado datos de acceso, se hayan comprometido otros sistemas, se hayan ampliado los permisos, se hayan modificado los mecanismos de seguridad o se hayan analizado bases de datos. Por lo tanto, el cifrado visible puede ser únicamente la fase final de un ataque mucho más amplio.
Por lo tanto, una investigación forense sobre ransomware puede incluir, entre otras cosas:
- Vía de ataque inicial y cuentas de usuario afectadas
- accesos privilegiados y movimientos laterales
- Mecanismos de persistencia
- Manipulación de soluciones de seguridad
- Consultas a Server y bases de datos
- Indicios de filtración de datos
- Secuencia temporal hasta el cifrado
El objetivo es reconstruir el incidente, en la medida en que sea técnicamente posible, desde el primer hecho detectable hasta las consecuencias visibles.
Para profundizar: Periodo transcurrido entre el primer ataque y el cifrado, Determinar el alcance del cifrado y Ransomware en sistemas Linux.
Microsoft 365, la nube y las infraestructuras de identidad
Microsoft 365, Azure, otros servicios en la nube, así como Active Directory y otras infraestructuras de identidad, se encuentran entre las fuentes de datos que pueden recopilarse y analizarse en el marco de una investigación. Las conclusiones que se puedan extraer dependen de los datos de auditoría y de inicio de sesión disponibles, así como del tiempo que se hayan conservado.
Para profundizar: Investigar la filtración de Microsoft 365, Sesiones activas en la nube tras un ataque, Robo de tokens de sesión y Restablecimiento de datos de acceso y tokens comprometidos.
Investigación forense para seguros cibernéticos
Tras un ciberincidente, la causa, el alcance y las repercusiones de un suceso de seguridad también pueden ser relevantes para la liquidación de siniestros de un seguro cibernético. LanCologne presta apoyo a las empresas y —dependiendo del mandato— a las aseguradoras o a los organismos designados por estas en el análisis técnico.
En particular, se pueden documentar la causa y la cronología de los hechos, los sistemas informáticos afectados, el alcance de la vulneración detectable, los indicios de accesos no autorizados, los accesos a los datos y la posible fuga de datos, la manipulación o el cifrado de datos, las repercusiones técnicas en el funcionamiento de la empresa, así como las medidas de investigación y seguridad aplicadas.
El alcance concreto de la investigación puede acordarse con las partes implicadas y dividirse en fases del proyecto claramente definidas. No nos pronunciamos sobre la cobertura del seguro, el derecho a indemnización ni la responsabilidad jurídica.
Para profundizar: Informática forense para compañías de seguros y Comprobar si hay fuga de datos antes del cifrado.
Informática forense en el contexto de NIS2 y BSIG
En el caso de las instalaciones de especial importancia e importancia, el artículo 32 de la BSIG establece obligaciones de notificación escalonadas en caso de incidentes de seguridad graves, que comienzan con una notificación inicial en un plazo de 24 horas tras tener conocimiento del incidente, seguida de otra notificación en un plazo de 72 horas y, posteriormente, de una notificación final.
El hecho de que una empresa esté obligada a notificarlo en un caso concreto y cuáles son los plazos que se aplican realmente es una cuestión de interpretación jurídica. Nosotros no nos ocupamos de ello. Nuestra tarea consiste en el análisis técnico.
Un análisis forense informático puede aportar información sobre el momento y el desarrollo del incidente, los sistemas afectados, las repercusiones técnicas, los indicadores de compromiso, la posible causa y el alcance del compromiso; es decir, los hechos técnicos en los que debe basarse una notificación.
Fecha de actualización de la información normativa: agosto de 2026. Este texto no sustituye al asesoramiento jurídico.
Investigar de forma estructurada incidentes cibernéticos de gran envergadura
No todos los incidentes cibernéticos requieren el mismo nivel de profundidad en la investigación. Un único puesto de trabajo comprometido difiere considerablemente de un incidente en el que podrían verse afectadas varias sedes, Server, Active Directory, servicios en la nube y cientos de dispositivos finales.
Por ello, los estudios de gran envergadura se dividen en fases de proyecto bien definidas. Tras una primera evaluación técnica, se pueden establecer los objetivos del estudio, las prioridades, los sistemas relevantes y los recursos necesarios.
De este modo, incluso en casos complejos, resulta claro qué cuestiones se están investigando, qué sistemas son necesarios para ello, qué datos se dispone ya y qué pasos adicionales de investigación son pertinentes desde el punto de vista técnico.
Resultados para la dirección y los responsables de la toma de decisiones
Un incidente cibernético no debe entenderse únicamente desde un punto de vista técnico. La dirección, el departamento jurídico, las aseguradoras y otros responsables de la toma de decisiones suelen necesitar una explicación diferente a la que ofrecen los especialistas en TI directamente implicados.
Por ello, en el caso de estudios de gran envergadura, la documentación técnica detallada puede complementarse con un resumen ejecutivo. Este resume de forma clara las conclusiones esenciales y distingue entre las constataciones contrastadas, los indicios técnicos, las valoraciones que pueden deducirse de ellos y las incertidumbres restantes.
Para profundizar: Informe final con fundamentación técnica sólida para la dirección y Documentación de las decisiones de la dirección.
Qué pueden obtener las empresas tras la investigación
Informe de investigación forense
Documentación del encargo de estudio, la base de datos, el procedimiento, los resultados relevantes y las conclusiones técnicas.
Cronología de los incidentes
Exposición cronológica de los hechos relevantes para el incidente de seguridad.
Resumen ejecutivo
Resumen de los resultados más importantes para la dirección y los responsables de la toma de decisiones.
Resumen de los sistemas y cuentas afectados
Descripción de los componentes detectados en el marco del estudio o que probablemente se hayan visto afectados.
Indicadores de compromiso
Documentación de los indicadores técnicos de compromiso pertinentes, en la medida en que estén disponibles.
Análisis de causas
Evaluación de la vía de entrada técnicamente plausible y de la causa subyacente, en la medida en que sea posible a partir de los indicios disponibles.
Evaluación de posibles accesos a los datos y fugas de datos
Exposición detallada de lo que realmente se ha podido determinar a partir de los datos disponibles.
Documentación de la conservación de las pruebas
En la medida en que forme parte del encargo: documentación de las copias de seguridad, los valores de integridad y la cadena de custodia.
Instalaciones técnicas
Elementos relevantes, tablas, extractos de registros, capturas de pantalla y demás pruebas técnicas.
¿Por qué utilizar LanCologne para el análisis forense informático?
Análisis forense en lugar de una mera resolución de averías
Nuestro objetivo no se limita exclusivamente a restablecer el funcionamiento de un sistema afectado. Analizamos las huellas digitales con el fin de reconstruir de forma comprensible el desarrollo real del incidente.
Laboratorio forense propio
La recogida de pruebas y los análisis pueden llevarse a cabo en nuestras propias instalaciones forenses.
Diferentes fuentes de datos: una visión global
A menudo, un incidente de seguridad no puede explicarse a partir de un único archivo de registro. Por eso, es posible correlacionar entre sí los datos procedentes de dispositivos finales, Servern, sistemas de identidad, componentes de red, servicios en la nube y soluciones de seguridad.
Los resultados de las herramientas se evalúan de forma crítica
Las herramientas forenses y de seguridad facilitan la investigación, pero no sustituyen a la evaluación técnica. Los hallazgos relevantes se verifican, en la medida de lo posible, mediante artefactos y fuentes de datos adicionales.
Límites transparentes de las declaraciones
El hecho de que una acción sea técnicamente posible no significa que se haya producido realmente. Por eso, no solo documentamos las constataciones, sino también su valor probatorio y sus limitaciones técnicas.
Sobre la clasificación: Perito informático forense certificado por TÜV en Colonia.
Se ha detectado un ciberataque: ¿y ahora qué?
En caso de un incidente cibernético en curso o detectado recientemente, deben coordinarse las medidas de contención, recuperación y conservación de pruebas.
En la medida en que la situación de riesgo concreta lo permita, no se deben modificar innecesariamente los sistemas y datos potencialmente relevantes. En particular, las nuevas instalaciones descoordinadas, las limpiezas, la eliminación de cuentas de usuario o de datos de registro, así como los cambios de gran alcance en los sistemas afectados, pueden dificultar la reconstrucción posterior.
Al mismo tiempo, la contención de un ataque activo tiene una alta prioridad. Por eso, lo primero que hay que aclarar es:
- qué sistemas se ven afectados
- qué medidas son necesarias de forma inmediata
- qué fuentes de datos deben obtenerse a corto plazo
- qué sistemas tienen el mayor valor informativo desde el punto de vista forense
- qué medidas se han llevado a cabo ya
Para profundizar: Aislar los sistemas tras un ciberataque y Limpieza o reconstrucción de un sistema comprometido.
Informática forense tras ciberataques: con sede en Colonia, opera en todo el territorio federal
En caso de un incidente cibernético grave, estamos disponibles las 24 horas del día, los 7 días de la semana, los 365 días del año: +49 (0)221 64306610. El horario habitual de atención al público es de lunes a viernes, de 08:00 a 18:00 horas.
LanCologne tiene su sede en la calle Horbeller Straße 31, en 50858 Colonia. Llevamos realizando estudios en todo el territorio federal desde 2015.
Para las empresas de la zona metropolitana de Colonia, la ubicación supone distancias cortas: los soportes de datos pueden entregarse en persona y, si es necesario, se puede realizar una copia de seguridad de los sistemas afectados in situ, por ejemplo, cuando el transporte no sea posible por motivos operativos o no resulte adecuado desde el punto de vista forense.
La base técnica es una cualificación en análisis forense de dispositivos móviles y Windows, certificada por TÜV Rheinland, que puede consultarse públicamente en la base de datos de certificados Certipedia con el número de certificado 0000067863.
Preguntas frecuentes
¿Cuánto cuesta una investigación forense informática tras un ciberataque?
En el caso de incidentes cibernéticos complejos, no es posible ofrecer un presupuesto global fiable. El esfuerzo necesario depende, entre otras cosas, del número y el tipo de sistemas afectados, el volumen de datos, la infraestructura, el periodo de investigación, los registros disponibles y la cuestión concreta que se plantee. Tras una primera evaluación técnica, se puede definir el alcance de la investigación y, en el caso de incidentes de mayor envergadura, dividirlo en distintas fases del proyecto.
¿Con qué rapidez debería iniciarse una investigación tras un incidente cibernético?
En principio, lo antes posible, ya que ciertos rastros digitales son efímeros o pueden modificarse o sobrescribirse debido al funcionamiento habitual del sistema. Al mismo tiempo, deben tenerse en cuenta las medidas necesarias para contener un ataque en curso.
¿Se puede determinar cómo ha logrado acceder un atacante a la empresa?
En muchos casos, es posible reconstruir la posible vía de entrada a partir de diversos indicios. Sin embargo, la posibilidad de llegar a una conclusión inequívoca depende de los datos disponibles y de los cambios que se hayan producido entretanto.
¿Se puede determinar si se han sustraído datos de la empresa?
Eso depende de las pruebas disponibles. En algunos casos, es posible rastrear transferencias de datos concretas. En otros, solo se puede determinar que se accedió a determinados datos o que se consultaron. En nuestra evaluación, estos hechos se distinguen claramente entre sí.
¿Se puede reconstruir un ataque de ransomware?
En la medida en que las pistas disponibles lo permitan, sí. Entre otras cosas, se pueden investigar la vía de ataque inicial, las cuentas de usuario afectadas, los accesos con privilegios, los movimientos laterales, los mecanismos de persistencia, los accesos a los conjuntos de datos, los indicios de exfiltración de datos, así como la cronología de los acontecimientos hasta el cifrado.
¿Se pueden investigar también los ciberataques que ya han tenido lugar?
Sí. También se pueden investigar incidentes ocurridos en el pasado. Sin embargo, el alcance de la investigación depende, entre otras cosas, de qué sistemas siguen existiendo, durante cuánto tiempo se han conservado los datos de registro y qué cambios se han realizado desde que se produjo el incidente.
¿Qué sistemas se investigan en caso de un ciberincidente?
En función de la infraestructura y del incidente, se pueden examinar, entre otros, sistemas Windows, Linux y macOS; Server y ordenadores de sobremesa; Active Directory e infraestructuras de identidad; sistemas virtuales; cortafuegos; componentes de VPN y de red; Microsoft 365 y otros servicios en la nube, sistemas de correo electrónico, datos de EDR, XDR y SIEM, datos de registro, soportes de datos, memoria RAM y sistemas de copia de seguridad. Lo decisivo no es el número, sino la relevancia forense.
¿Qué datos necesita un perito informático forense?
Para la evaluación inicial, son relevantes, en primer lugar, los hechos conocidos, el momento y el tipo de descubrimiento, las anomalías ya detectadas, los avisos de seguridad existentes, los sistemas y cuentas afectados, así como las medidas correctivas ya aplicadas. Los datos que se van a proteger posteriormente se determinan en función de los objetivos de la investigación definidos conjuntamente.
¿Se puede someter a Microsoft 365 a un análisis forense?
Sí, dependiendo de los datos de registro disponibles. Microsoft 365, Azure y otros servicios en la nube se encuentran entre las fuentes de datos que pueden recopilarse y analizarse en el marco de una investigación. Las conclusiones que se puedan extraer dependen de los datos de auditoría y de inicio de sesión disponibles en el cliente concreto, así como del tiempo durante el que se hayan conservado.
¿Se puede investigar un Active Directory que haya sido objeto de un ataque?
Active Directory y otras infraestructuras de identidad se encuentran entre las fuentes de datos relevantes desde el punto de vista forense. Se pueden examinar, por ejemplo, los procesos de inicio de sesión, las cuentas de nueva creación, los cambios en los permisos y el uso de cuentas con privilegios. Que esto permita obtener una visión completa depende de los datos de registro disponibles y de su periodo de conservación.
¿Qué papel desempeña la informática forense en un seguro cibernético?
El informe técnico de peritaje puede estructurarse, en función del encargo, de tal manera que las conclusiones técnicas relevantes se presenten de forma clara y comprensible para las aseguradoras o para los organismos por ellas designados. La información necesaria en cada caso concreto de siniestro depende del contrato de seguro y del encargo. No nos pronunciamos sobre la cobertura.
¿Qué papel desempeña la informática forense en los incidentes de seguridad relacionados con la Directiva NIS2?
Podemos investigar y documentar los hechos técnicos que subyacen a un incidente de seguridad. La evaluación jurídica de la obligación concreta de notificación debería correr a cargo de los organismos competentes o del departamento de asesoramiento jurídico de la empresa.
¿Se puede utilizar un informe forense con fines jurídicos posteriormente?
Si esto se conoce ya en el momento de la contratación, la obtención de pruebas, la documentación y el desarrollo de la investigación pueden orientarse en consecuencia. Sin embargo, no sería serio ofrecer una garantía general sobre la valoración judicial posterior; en última instancia, es el tribunal competente el que decide sobre el valor probatorio.
No solo resolver un incidente cibernético, sino también comprenderlo
Tras un incidente de seguridad, las decisiones técnicas pueden tener consecuencias de gran alcance. LanCologne ayuda a preservar las huellas digitales relevantes, a investigar el incidente de forma estructurada y a documentar los hallazgos disponibles de manera transparente.