IT-rikostutkinta · Yritykset

Miten kyberhyökkäyksen jälkeinen, teknisesti välttämätön palautumisaika voidaan rekonstruoida jäljitettävällä tavalla?

Für die Betriebsunterbrechungsversicherung, für Schadensersatzansprüche und für die Bewertung der eigenen Notfallplanung ist entscheidend, wie lange Systeme tatsächlich nicht verfügbar waren und welche Schritte die Wiederherstellung bestimmt haben. Diese Zeiten lassen sich aus technischen Spuren belegen.

Pyydä sitoumukseton tarjous

Miksi tämä kysymys on tärkeä yritykselle

Kyberhyökkäyksen jälkeisessä palautusvaiheessa tehdään teknisiä päätöksiä, jotka voivat vaikuttaa samanaikaisesti toimintakykyyn, todisteiden säilyttämiseen, tietosuojaan ja myöhempään todistettavuuteen. Huolellinen dokumentointi ei siis suojaa pelkästään IT-järjestelmää, vaan luo myös luotettavan tosiasiapohjan johdolle ja oikeudelliselle neuvonnalle.

Technischer Hintergrund

Es ist sinnvoll, zwischen technischer Erreichbarkeit, eingeschränktem Betrieb und vollständigem Regelbetrieb zu unterscheiden. Verzögerungen entstehen häufig durch nicht nutzbare Backups, Abhängigkeiten zwischen Systemen (AD vor ERP), forensische Sicherung vor Wiederaufbau oder fehlende Dokumentation.

Relevante Spuren und Datenquellen

• Backup- und Restore-Protokolle (Start, Ende, Fehler)
• Systemstart- und Dienststatusereignisse
• Monitoring-Daten und Ticketsysteme
• Anmeldungen der ersten Nutzer in Fachanwendungen

Grenzen

• Wurden Systeme neu aufgebaut und alte Logs nicht gesichert, sind einzelne Zeitpunkte nur über Sekundärquellen belegbar.
• Die versicherungsrechtliche Bewertung erfolgt durch Versicherer bzw. Gutachter.

Mögliche Ergebnisse

• Zeitlinie der Wiederherstellung je System
• Begründung von Verzögerungen

Miksi LanCologne?

Vakavan kyberhyökkäyksen jälkeen tehtävä ei pääty hyökkäyksen pysäyttämiseen. Yrityksen on otettava järjestelmät hallitusti uudelleen käyttöön, arvioitava tiedot ja varmuuskopiot, varmistettava käyttäjien identiteetit, selvitettävä toiminnan keskeytykset ja samalla kerättävä todisteita myöhempiä oikeudellisia, vakuutus- tai sääntelykysymyksiä varten.

So gehen wir vor

• Definition der zu belegenden Zeitpunkte je kritischem System.
• Auswertung der Protokolle und Abgleich mit Ticket- und Kommunikationsdaten.
• Darstellung von Abhängigkeiten und Gründen für Verzögerungen.

Palauttaminen ei saa vääristää historiallista todistusaineistoa jälkikäteen

Tapauksen jälkeen asianmukaisesti palautettu järjestelmä ei automaattisesti kerro, millainen järjestelmä oli ennen hyökkäystä tai sen aikana. Siksi dokumentoimme aiemmat havainnot ja myöhemmät korjaustoimenpiteet erikseen. Näin vältetään se, että tapauksen jälkeinen parannettu tila tulkitaan takautuvasti todisteeksi aikaisemmista tosiseikoista.

Oikeudellinen ja sääntelykehys

Henkilötietojen käsittelyssä sovelletaan edelleen erityisesti GDPR:n 5 artiklan periaatteita sekä GDPR:n 6 artiklan mukaista vaatimusta vankasta oikeusperustasta. GDPR:n 32 artikla edellyttää riskin huomioon ottamista ja asianmukaisia teknisiä ja organisatorisia toimenpiteitä sekä mainitsee muun muassa luottamuksellisuuden, eheyden, saatavuuden, kestävyyden sekä kyvyn palauttaa saatavuus ja pääsy nopeasti onnettomuuden jälkeen.

Henkilötietojen suojan loukkaustapauksessa voivat tulla sovellettaviksi GDPR:n 33 ja 34 artikla. 33 artiklan mukaan ilmoitus valvontaviranomaiselle on periaatteessa tehtävä viipymättä ja mahdollisuuksien mukaan 72 tunnin kuluessa loukkauksen havaitsemisesta, ja 5 kohdan mukaan loukkauksesta, sen vaikutuksista ja toteutetuista korjaavista toimenpiteistä on laadittava dokumentaatio. Jos riskin arvioidaan olevan suuri, 34 artikla voi lisäksi edellyttää asianomaisten henkilöiden ilmoittamista. Tietosuojalainsäädännön mukaisesti arvioidaan, täyttyvätkö asiaankuuluvat edellytykset; rikostekninen tutkimus toimittaa tekniset tosiseikat.

Yrityksille, jotka kuuluvat joulukuusta 2025 lähtien voimaan tulevan uudistetun BSI-lain piiriin, voi olla lisävelvoitteita erityisen tärkeiden ja tärkeiden laitosten osalta. Näihin kuuluvat luokittelusta riippuen vaatimukset kyberturvallisuusriskien hallinnalle sekä merkittävien turvallisuuspoikkeamien käsittelylle ja ilmoittamiselle. Johtoryhmän velvollisuudet on nimenomaisesti mainittu nykyisessä BSIG-laissa. Se, kuuluuko tietty yritys lain piiriin ja mitkä määräajat tai velvollisuudet kussakin tapauksessa ovat voimassa, on tarkasteltava nykyisen lainsäädännöllisen luokituksen perusteella.

Työntekijätietojen osalta merkitystä voivat olla myös BDSG:n 26 § ja yrityksen sisäiset osallistumisoikeudet. Myöskään kyberhyökkäyksen aikana tekninen pääsy tietoihin ei anna oikeutta rajoittamattomaan tutkimuksen laajuuteen.

LanCologne esittää tekniset havainnot ja dokumentoi niiden perustelut. Päätökset ilmoitusvelvollisuuksista, vastuusta, työlainsäädännön mukaisista toimenpiteistä tai muista oikeudellisista seurauksista kuuluvat toimivaltaisille yrityksen elimille, tietosuojavastaaville ja oikeudellisille neuvonantajille.

LanCologne rikostekniseen tutkintaan ja hallittuun palauttamiseen

LanCologne yhdistää teknisen yksityiskohtaisuuden ja päätöksentekijöille ymmärrettävän esitystavan. Dokumentoimme paitsi toteutetut toimenpiteet myös niiden tekniset perustelut sekä niiden tulkinnan rajat. Tämä takaa läpinäkyvyyden johdolle, oikeudellisille neuvonantajille, vakuutusyhtiöille sekä mahdolliselle myöhemmälle asiantuntijatarkastukselle.

Usein kysyttyjä kysymyksiä

🔗 Aiheeseen liittyvät aiheet