Informática forense · Empresas

¿Cómo puede una empresa evaluar de forma segura los accesos de terceros y de los proveedores de servicios tras un ciberataque?

Nach einem Cyberangriff stehen Dienstleisterzugänge doppelt im Fokus: Sie werden für die Wiederherstellung gebraucht – und sie sind ein häufiger Einfallsweg. Die Frage ist, ob ein bestimmter Zugang im Angriffszeitraum genutzt wurde und ob er bedenkenlos wieder aktiviert werden kann.

Solicitar información sin compromiso

Por qué esta cuestión es importante para una empresa

Durante la fase de recuperación tras un ciberincidente se toman decisiones técnicas que pueden afectar simultáneamente a la operatividad, la conservación de pruebas, la protección de datos y la trazabilidad posterior. Por lo tanto, una documentación rigurosa no solo protege el sistema informático, sino que también proporciona una base sólida de hechos para la dirección de la empresa y el asesoramiento jurídico.

Antecedentes técnicos

Typische Zugänge sind Fernwartungssoftware (z. B. TeamViewer, AnyDesk, ScreenConnect), RMM-Agenten von Managed Service Providern, Site-to-Site-VPNs, Gastkonten in Entra ID und Service-Accounts. Wurde ein Dienstleister selbst kompromittiert, kann der Angriff über dessen legitime Werkzeuge laufen.

Pistas y fuentes de datos relevantes

• Verbindungsprotokolle der Fernwartungs- und RMM-Software
• VPN- und Firewall-Logs mit Quell-IP
• Anmeldeereignisse der Dienstleisterkonten (lokal, AD, Entra ID)
• Installations- und Ausführungsspuren auf Endpunkten (Prefetch, Amcache, Dienste)

Fronteras

• Ein vorhandener Zugang belegt keine Verantwortlichkeit des Dienstleisters.
• Logs beim Dienstleister selbst sind nur mit dessen Mitwirkung verfügbar.

Posibles resultados

• Zugangsweg identifiziert bzw. ausgeschlossen (im geprüften Umfang)
• Liste der Zugänge mit Bewertung

¿Por qué LanCologne?

Tras un incidente cibernético grave, la tarea no termina con la detención del ataque. La empresa debe volver a poner en funcionamiento los sistemas de forma controlada, evaluar los datos y las copias de seguridad, proteger las identidades, analizar las interrupciones en el servicio y, al mismo tiempo, conservar pruebas para posibles cuestiones legales, relacionadas con los seguros o normativas que puedan surgir posteriormente.

Así es como procedemos

• Inventar aller externen Zugänge und Konten.
• Abgleich der Nutzung im Angriffszeitraum mit dokumentierten Wartungsfenstern.
• Bewertung je Zugang: genutzt, nicht genutzt, nicht beurteilbar.
• Empfehlung zur kontrollierten Wiederfreigabe.

La restauración no debe falsear a posteriori las pruebas históricas

El hecho de que un sistema se haya restaurado correctamente tras el incidente no implica automáticamente cuál era su estado antes o durante el ataque. Por eso documentamos por separado los hallazgos históricos y las medidas correctivas posteriores. De este modo se evita que el estado mejorado tras el incidente se considere retroactivamente como prueba de hechos anteriores.

Marco jurídico y normativo

En lo que respecta al tratamiento de datos personales, siguen siendo de aplicación, en particular, los principios del artículo 5 del RGPD, así como la necesidad de contar con una base jurídica sólida con arreglo al artículo 6 del RGPD. El artículo 32 del RGPD exige la adopción de medidas técnicas y organizativas adecuadas, teniendo en cuenta el riesgo, y menciona, entre otros aspectos, la confidencialidad, la integridad, la disponibilidad y la resiliencia, así como la capacidad de restablecer rápidamente la disponibilidad y el acceso tras un incidente.

En caso de violación de la protección de datos personales, pueden ser de aplicación los artículos 33 y 34 del RGPD. El artículo 33 establece, entre sus requisitos, la notificación a la autoridad de control, en principio de forma inmediata y, a ser posible, en un plazo de 72 horas desde que se tenga conocimiento de la misma, y exige, en su apartado 5, la documentación de la violación, sus consecuencias y las medidas correctoras adoptadas. En caso de que se prevea un riesgo elevado, el artículo 34 puede exigir además la notificación a los interesados. El cumplimiento de los requisitos correspondientes se evalúa desde el punto de vista de la legislación en materia de protección de datos; la pericia forense aporta los datos técnicos.

Las empresas sujetas a la nueva versión de la Ley BSI, que entrará en vigor en diciembre de 2025, pueden tener obligaciones adicionales en el caso de las entidades de especial importancia y de importancia. Entre ellas se incluyen, en función de la clasificación, requisitos relativos a la gestión de riesgos de ciberseguridad y al tratamiento o notificación de incidentes de seguridad significativos. Las obligaciones de la dirección se recogen expresamente en la actual Ley de Seguridad de la Información (BSIG). Para determinar si una empresa concreta está sujeta a dicha normativa y qué plazos u obligaciones se aplican en cada caso concreto, es necesario examinar su clasificación legal actual.

En lo que respecta a los datos de los empleados, también pueden ser relevantes el artículo 26 de la BDSG y los derechos de cogestión en la empresa. Incluso durante un ciberincidente, el hecho de que exista la posibilidad técnica de acceder a los datos no implica que el alcance de la investigación sea ilimitado.

LanCologne proporciona conclusiones técnicas y documenta su fundamentación. Las decisiones relativas a las obligaciones de notificación, la responsabilidad, las medidas en materia de derecho laboral u otras consecuencias jurídicas quedan reservadas a los órganos competentes de la empresa, a los delegados de protección de datos y a los asesores jurídicos.

LanCologne para el análisis forense y la recuperación controlada

LanCologne combina el detalle técnico con una presentación comprensible para los responsables de la toma de decisiones. No solo documentamos qué medidas se han llevado a cabo, sino también en qué fundamentos técnicos se basaban y cuáles son sus límites de fiabilidad. Esto garantiza la transparencia para la dirección, el asesoramiento jurídico, la aseguradora y una posible verificación técnica posterior.

Preguntas frecuentes

🔗 Temas relacionados