IT-rikostutkinta · Yritykset

Miten voidaan laatia kattava hyökkäyksen aikajana kyberhyökkäyksen jälkeen?

Kyberhyökkäys koostuu yleensä monista tapahtumista eri järjestelmissä ja eri aikavyöhykkeillä.

Miksi tämä kysymys on tärkeä yritykselle

Kyberhyökkäyksen jälkeen tekniset, taloudelliset, tietosuojalain mukaiset ja sääntelyyn liittyvät päätökset voivat riippua samasta tosiseikasta. Luotettavassa tapahtumien rekonstruoinnissa on siksi tehtävä selkeä ero todistetun toiminnan, teknisen mahdollisuuden ja pelkkän oletuksen välillä.

Tekninen tutkimuslähestymistapa

Normalisoi aikaviittaukset, dokumentoi kunkin aikaleiman merkityksen ja yhdistää riippumattomat tietolähteet yhtenäiseksi aikajananaksi.

Missä todistusraja kulkee

Aikajana ei saa luoda näennäistä tarkkuutta. Aikapoikkeamat, tietojen säilyttäminen ja erilaiset lokisemantiikat otetaan nimenomaisesti huomioon.

Miksi LanCologne?

Kyberhyökkäyksen jälkeen yritys tarvitsee ensisijaisesti turvallisuutta ja toimintakykyä. Myöhempien päätösten kannalta ei kuitenkaan riitä, että tiedetään vain, että ‚hyökkäys on tapahtunut‘. Yrityksen johto, tietosuojavastaavat, lakiasiainneuvonantajat, vakuutusyhtiöt ja tarvittaessa viranomaiset tarvitsevat luotettavia vastauksia konkreettisiin tosiseikkoihin.

LanCologne erottaa siksi toisistaan havaitsemisen, ensimmäisen tunkeutumisen, järjestelmän vaarantumisen, pysyvyyden, sivuttaisliikkeen, tietojen käyttämisen, mahdollisen tietojen vuotamisen ja konkreettisen vahingonteon. Nämä vaiheet voivat ajallisesti olla kaukana toisistaan, eikä niitä saa pitää keskenään samanarvoisina.

Keskeiset havainnot verrataan mahdollisuuksien mukaan useista riippumattomista tietolähteistä saatuihin tietoihin. Endpoint-, verkko-, identiteetti-, pilvi- ja järjestelmätiedoilla on kullakin omat rajoituksensa. Automaattinen hälytys tai tuoteraportti ei ole meille todisteen lähde sinänsä, vaan lähtökohta taustalla olevien primaaritietojen tarkastelulle.

Myös vastahypoteesit kuuluvat tutkimukseen. Epätavallinen kirjautuminen voi johtua esimerkiksi laillisista järjestelmänvalvojan toimista, VPN-infrastruktuurista, automatisoiduista palveluista tai vaarantuneista tunnuksista. Vasta muiden johtolankojen yhdistämisen avulla voidaan tehdä luotettava johtopäätös.

Jos ratkaisevia tietoja puuttuu, tätä aukkoa ei täytetä oletuksilla. Erityisesti kyberhyökkäysten yhteydessä lausunto ‚saadun tiedon perusteella ei voida varmuudella todeta‘ on ammatillisesti arvokkaampi kuin näennäisesti yksiselitteinen hyökkäyskertomus, jota ei voida todistaa toistettavasti.

Toimintatapamme

1Liiketoiminnan kannalta kriittisten tilanteiden hallinnan ja rikosteknisten todisteiden keräämisen koordinointi.

2Määritellään konkreettiset tekniset todistettavat kysymykset.

3Tietolähteiden ja säilyttämiseen liittyvien riskien priorisointi.

4Dokumentoida alkuperä, eheys ja turvaamisajankohta.

5Aikaleimat ja aikavyöhykkeet normalisoidaan lähteittäin.

6Ensimmäisen hyökkäyksen ja myöhemmän hyökkääjän toiminnan rekonstruoiminen erikseen.

7Erotetaan toisistaan tilien, laitteiden, istuntojen ja henkilöiden liittämiset.

8Tietoturvaloukkausta, pääsyä, tietojen vuotamista ja vahinkoa ei pidä asettaa samalle tasolle.

9Pilvi-, päätelaitteiden, verkon ja identiteettitietojen välinen korrelaatio.

10Tarkastellaan myös tavanomaisia teknisiä vaihtoehtoisia selityksiä.

11Tunnista tietojen puutteet ja niiden vaikutus kuhunkin keskeiseen väitteeseen.

12Esitä tulos ymmärrettävästi ja dokumentoi se toistettavissa olevalla tavalla teknisessä liitteessä.

Tapahtumien hallinta ja tietotekninen rikostutkinta pyrkivät erilaisiin, mutta toisiaan täydentäviin tavoitteisiin

Käynnissä olevan hyökkäyksen torjuminen palvelee ensisijaisesti yrityksen suojaamista. Rikostutkinnallinen rekonstruktio selvittää tämän jälkeen tai samanaikaisesti, mitä todellisuudessa on tapahtunut. Tarvittavia turvatoimenpiteitä ei siis jätetä toteuttamatta pelkästään ihanteellisen todistusaineiston säilyttämiseksi; väistämättömät muutokset dokumentoidaan mahdollisuuksien mukaan.

Miksi LanCologne kyberhyökkäyksen jälkeen?

LanCologne ei suuntaa tutkimusta halutun hyökkäysskenaarion mukaan. Ratkaisevaa on se, mitä teknisiä tietoja saadut primaaritiedot tosiasiassa sisältävät. Syyllisyyttä tukevat, syyllisyyttä lieventävät ja avoimet havainnot dokumentoidaan ymmärrettävästi, jotta johto ja lakiasiainosasto voivat tehdä päätöksiä todennettavissa olevien tosiseikkojen perusteella.

Oikeudellinen kehys

Jos kyberhyökkäyksessä on tapahtunut henkilötietojen suojan loukkaus, GDPR:n 33 artikla voi olla sovellettavissa. Sen mukaan ilmoitusvelvollisuuden alainen loukkaus on periaatteessa ilmoitettava viipymättä ja mahdollisuuksien mukaan 72 tunnin kuluessa sen tultua tietoon toimivaltaiselle valvontaviranomaiselle, ellei loukkaus todennäköisesti aiheuta riskiä luonnollisten henkilöiden oikeuksille ja vapauksille. GDPR:n 33 artiklan 5 kohdassa vaaditaan lisäksi, että loukkaus, sen vaikutukset ja toteutetut korjaavat toimenpiteet dokumentoidaan. Jos riskin arvioidaan olevan suuri, GDPR:n 34 artikla voi lisäksi edellyttää rekisteröityjen ilmoittamista. Näiden edellytysten täyttyminen on tietosuojalain mukainen arviointi; IT-rikostutkinta toimittaa tähän liittyen tekniset tosiseikat.

Tiettyihin yksityisiin yrityksiin sovelletaan 6. joulukuuta 2025 alkaen uudistettua BSI-lakia, jolla pannaan täytäntöön NIS 2 -vaatimukset. Se, kuuluuko yritys erityisen tärkeiden tai tärkeiden laitosten piiriin, on tarkasteltava konkreettisesti nykyisen BSIG-lain, toimialojen, laitostyyppien ja kokokriteerien perusteella. BSIG-laissa säädetään luetteloon kuuluville laitoksille muun muassa velvoitteita kyberturvallisuusriskien hallintaan ja tietoturvaloukkauksiin liittyen; BSIG-lain 38 §:ssä määrätään erityisen tärkeiden ja tärkeiden laitosten johdolle velvollisuudet riskienhallintatoimenpiteiden toteuttamisesta ja seurannasta.

Lakisääteiset ilmoitus- ja dokumentointivelvollisuudet voivat olla aikataulultaan kriittisiä. LanCologne ei kuitenkaan tee lopullisia oikeudellisia päätöksiä ilmoitusvelvollisuuksista, vastuusta tai korvausvastuusta. Tarjoamme teknisesti todennettavissa olevan tosiasiapohjan, jonka perusteella johto, tietosuojavastaavat ja oikeudelliset neuvonantajat voivat tehdä päätöksiä.

Usein kysyttyjä kysymyksiä

Miten voidaan laatia kattava hyökkäyksen aikajana kyberhyökkäyksen jälkeen?

Miten tällainen tekninen tutkimus käytännössä toteutetaan?

Normalisoi aikaviittaukset, dokumentoi kunkin aikaleiman merkityksen ja yhdistää riippumattomat tietolähteet yhtenäiseksi aikajananaksi.

Antaako tutkimus aina yksiselitteisen tuloksen, joka on joko osapuolen vahingoksi tai eduksi?

Aikajana ei saa luoda näennäistä tarkkuutta. Aikapoikkeamat, tietojen säilyttäminen ja erilaiset lokisemantiikat otetaan nimenomaisesti huomioon.

Onko tälle lainsäädännöllistä perustaa?

GDPR:n 32 artikla velvoittaa rekisterinpitäjät ja henkilötietojen käsittelijät varmistamaan riskiin suhteutetun suojan tason. Siinä mainitaan muun muassa luottamuksellisuus, eheys, saatavuus ja kestävyys sekä kyky palauttaa saatavuus ja pääsy nopeasti teknisen tai fyysisen häiriön jälkeen.
Jos kyberhyökkäyksessä on tapahtunut henkilötietojen suojan loukkaus, GDPR:n 33 artikla voi olla sovellettavissa. Sen mukaan ilmoitusvelvollisuuden alainen loukkaus on periaatteessa ilmoitettava viipymättä ja mahdollisuuksien mukaan 72 tunnin kuluessa sen tultua tietoon toimivaltaiselle valvontaviranomaiselle, ellei loukkaus todennäköisesti aiheuta riskiä luonnollisten henkilöiden oikeuksille ja vapauksille. GDPR:n 33 artiklan 5 kohdassa vaaditaan lisäksi, että loukkaus, sen vaikutukset ja toteutetut korjaavat toimenpiteet dokumentoidaan. Jos riskin arvioidaan olevan suuri, GDPR:n 34 artikla voi lisäksi edellyttää rekisteröityjen ilmoittamista. Näiden edellytysten täyttyminen on tietosuojalain mukainen arviointi; IT-rikostutkinta toimittaa tähän liittyen tekniset tosiseikat.
Tiettyihin yksityisiin yrityksiin sovelletaan 6. joulukuuta 2025 alkaen uudistettua BSI-lakia, jolla pannaan täytäntöön NIS 2 -vaatimukset. Se, kuuluuko yritys erityisen tärkeiden tai tärkeiden laitosten piiriin, on tarkasteltava konkreettisesti nykyisen BSIG-lain, toimialojen, laitostyyppien ja kokokriteerien perusteella. BSIG-laissa säädetään luetteloon kuuluville laitoksille muun muassa velvoitteita kyberturvallisuusriskien hallintaan ja tietoturvaloukkauksiin liittyen; BSIG-lain 38 §:ssä määrätään erityisen tärkeiden ja tärkeiden laitosten johdolle velvollisuudet riskienhallintatoimenpiteiden toteuttamisesta ja seurannasta.
Lakisääteiset ilmoitus- ja dokumentointivelvollisuudet voivat olla aikataulultaan kriittisiä. LanCologne ei kuitenkaan tee lopullisia oikeudellisia päätöksiä ilmoitusvelvollisuuksista, vastuusta tai korvausvastuusta. Tarjoamme teknisesti todennettavissa olevan tosiasiapohjan, jonka perusteella johto, tietosuojavastaavat ja oikeudelliset neuvonantajat voivat tehdä päätöksiä.