Informática forense · Empresas

¿Cómo se puede reconstruir de forma comprensible el tiempo de recuperación técnicamente necesario tras un ciberataque?

Für die Betriebsunterbrechungsversicherung, für Schadensersatzansprüche und für die Bewertung der eigenen Notfallplanung ist entscheidend, wie lange Systeme tatsächlich nicht verfügbar waren und welche Schritte die Wiederherstellung bestimmt haben. Diese Zeiten lassen sich aus technischen Spuren belegen.

Solicitar información sin compromiso

Por qué esta cuestión es importante para una empresa

Durante la fase de recuperación tras un ciberincidente se toman decisiones técnicas que pueden afectar simultáneamente a la operatividad, la conservación de pruebas, la protección de datos y la trazabilidad posterior. Por lo tanto, una documentación rigurosa no solo protege el sistema informático, sino que también proporciona una base sólida de hechos para la dirección de la empresa y el asesoramiento jurídico.

Antecedentes técnicos

Es ist sinnvoll, zwischen technischer Erreichbarkeit, eingeschränktem Betrieb und vollständigem Regelbetrieb zu unterscheiden. Verzögerungen entstehen häufig durch nicht nutzbare Backups, Abhängigkeiten zwischen Systemen (AD vor ERP), forensische Sicherung vor Wiederaufbau oder fehlende Dokumentation.

Pistas y fuentes de datos relevantes

• Backup- und Restore-Protokolle (Start, Ende, Fehler)
• Systemstart- und Dienststatusereignisse
• Monitoring-Daten und Ticketsysteme
• Anmeldungen der ersten Nutzer in Fachanwendungen

Fronteras

• Wurden Systeme neu aufgebaut und alte Logs nicht gesichert, sind einzelne Zeitpunkte nur über Sekundärquellen belegbar.
• Die versicherungsrechtliche Bewertung erfolgt durch Versicherer bzw. Gutachter.

Posibles resultados

• Zeitlinie der Wiederherstellung je System
• Begründung von Verzögerungen

¿Por qué LanCologne?

Tras un incidente cibernético grave, la tarea no termina con la detención del ataque. La empresa debe volver a poner en funcionamiento los sistemas de forma controlada, evaluar los datos y las copias de seguridad, proteger las identidades, analizar las interrupciones en el servicio y, al mismo tiempo, conservar pruebas para posibles cuestiones legales, relacionadas con los seguros o normativas que puedan surgir posteriormente.

Así es como procedemos

• Definition der zu belegenden Zeitpunkte je kritischem System.
• Auswertung der Protokolle und Abgleich mit Ticket- und Kommunikationsdaten.
• Darstellung von Abhängigkeiten und Gründen für Verzögerungen.

La restauración no debe falsear a posteriori las pruebas históricas

El hecho de que un sistema se haya restaurado correctamente tras el incidente no implica automáticamente cuál era su estado antes o durante el ataque. Por eso documentamos por separado los hallazgos históricos y las medidas correctivas posteriores. De este modo se evita que el estado mejorado tras el incidente se considere retroactivamente como prueba de hechos anteriores.

Marco jurídico y normativo

En lo que respecta al tratamiento de datos personales, siguen siendo de aplicación, en particular, los principios del artículo 5 del RGPD, así como la necesidad de contar con una base jurídica sólida con arreglo al artículo 6 del RGPD. El artículo 32 del RGPD exige la adopción de medidas técnicas y organizativas adecuadas, teniendo en cuenta el riesgo, y menciona, entre otros aspectos, la confidencialidad, la integridad, la disponibilidad y la resiliencia, así como la capacidad de restablecer rápidamente la disponibilidad y el acceso tras un incidente.

En caso de violación de la protección de datos personales, pueden ser de aplicación los artículos 33 y 34 del RGPD. El artículo 33 establece, entre sus requisitos, la notificación a la autoridad de control, en principio de forma inmediata y, a ser posible, en un plazo de 72 horas desde que se tenga conocimiento de la misma, y exige, en su apartado 5, la documentación de la violación, sus consecuencias y las medidas correctoras adoptadas. En caso de que se prevea un riesgo elevado, el artículo 34 puede exigir además la notificación a los interesados. El cumplimiento de los requisitos correspondientes se evalúa desde el punto de vista de la legislación en materia de protección de datos; la pericia forense aporta los datos técnicos.

Las empresas sujetas a la nueva versión de la Ley BSI, que entrará en vigor en diciembre de 2025, pueden tener obligaciones adicionales en el caso de las entidades de especial importancia y de importancia. Entre ellas se incluyen, en función de la clasificación, requisitos relativos a la gestión de riesgos de ciberseguridad y al tratamiento o notificación de incidentes de seguridad significativos. Las obligaciones de la dirección se recogen expresamente en la actual Ley de Seguridad de la Información (BSIG). Para determinar si una empresa concreta está sujeta a dicha normativa y qué plazos u obligaciones se aplican en cada caso concreto, es necesario examinar su clasificación legal actual.

En lo que respecta a los datos de los empleados, también pueden ser relevantes el artículo 26 de la BDSG y los derechos de cogestión en la empresa. Incluso durante un ciberincidente, el hecho de que exista la posibilidad técnica de acceder a los datos no implica que el alcance de la investigación sea ilimitado.

LanCologne proporciona conclusiones técnicas y documenta su fundamentación. Las decisiones relativas a las obligaciones de notificación, la responsabilidad, las medidas en materia de derecho laboral u otras consecuencias jurídicas quedan reservadas a los órganos competentes de la empresa, a los delegados de protección de datos y a los asesores jurídicos.

LanCologne para el análisis forense y la recuperación controlada

LanCologne combina el detalle técnico con una presentación comprensible para los responsables de la toma de decisiones. No solo documentamos qué medidas se han llevado a cabo, sino también en qué fundamentos técnicos se basaban y cuáles son sus límites de fiabilidad. Esto garantiza la transparencia para la dirección, el asesoramiento jurídico, la aseguradora y una posible verificación técnica posterior.

Preguntas frecuentes

🔗 Temas relacionados