Informatique légale · Entreprises

Comment une entreprise peut-elle évaluer de manière sécurisée les accès des fournisseurs tiers et des prestataires de services après une cyberattaque ?

Nach einem Cyberangriff stehen Dienstleisterzugänge doppelt im Fokus: Sie werden für die Wiederherstellung gebraucht – und sie sind ein häufiger Einfallsweg. Die Frage ist, ob ein bestimmter Zugang im Angriffszeitraum genutzt wurde und ob er bedenkenlos wieder aktiviert werden kann.

Demande sans engagement

Pourquoi cette question est-elle importante pour une entreprise ?

Au cours de la phase de rétablissement suite à un incident cybernétique, des décisions techniques sont prises qui peuvent avoir une incidence simultanée sur la continuité des opérations, la conservation des preuves, la protection des données et la traçabilité ultérieure. Une documentation rigoureuse permet donc non seulement de protéger le service informatique, mais aussi de constituer une base factuelle solide pour la direction et les conseillers juridiques.

Technischer Hintergrund

Typische Zugänge sind Fernwartungssoftware (z. B. TeamViewer, AnyDesk, ScreenConnect), RMM-Agenten von Managed Service Providern, Site-to-Site-VPNs, Gastkonten in Entra ID und Service-Accounts. Wurde ein Dienstleister selbst kompromittiert, kann der Angriff über dessen legitime Werkzeuge laufen.

Relevante Spuren und Datenquellen

• Verbindungsprotokolle der Fernwartungs- und RMM-Software
• VPN- und Firewall-Logs mit Quell-IP
• Anmeldeereignisse der Dienstleisterkonten (lokal, AD, Entra ID)
• Installations- und Ausführungsspuren auf Endpunkten (Prefetch, Amcache, Dienste)

Grenzen

• Ein vorhandener Zugang belegt keine Verantwortlichkeit des Dienstleisters.
• Logs beim Dienstleister selbst sind nur mit dessen Mitwirkung verfügbar.

Mögliche Ergebnisse

• Zugangsweg identifiziert bzw. ausgeschlossen (im geprüften Umfang)
• Liste der Zugänge mit Bewertung

Pourquoi LanCologne ?

Après un incident cybernétique grave, la mission ne s'arrête pas à la neutralisation de l'attaque. L'entreprise doit remettre ses systèmes en service de manière contrôlée, analyser les données et les sauvegardes, sécuriser les identités, évaluer les interruptions d'activité et, parallèlement, conserver les preuves nécessaires en vue d'éventuelles questions juridiques, liées aux assurances ou réglementaires.

So gehen wir vor

• Inventar aller externen Zugänge und Konten.
• Abgleich der Nutzung im Angriffszeitraum mit dokumentierten Wartungsfenstern.
• Bewertung je Zugang: genutzt, nicht genutzt, nicht beurteilbar.
• Empfehlung zur kontrollierten Wiederfreigabe.

La restauration ne doit pas fausser a posteriori les preuves historiques

Un système correctement reconfiguré après l'incident ne permet pas automatiquement de déterminer quel était son état avant ou pendant l'attaque. C'est pourquoi nous consignons séparément les constatations historiques et les mesures correctives prises par la suite. Cela permet d'éviter que l'état amélioré après l'incident ne soit considéré rétrospectivement comme une preuve de faits antérieurs.

Cadre juridique et réglementaire

En matière de traitement des données à caractère personnel, les principes énoncés à l'article 5 du RGPD continuent de s'appliquer, ainsi que l'exigence d'une base juridique valable conformément à l'article 6 du RGPD. L'article 32 du RGPD exige la mise en œuvre de mesures techniques et organisationnelles appropriées, compte tenu du risque, et mentionne notamment la confidentialité, l'intégrité, la disponibilité, la résilience ainsi que la capacité à rétablir rapidement la disponibilité et l'accès après un incident.

En cas de violation de la protection des données à caractère personnel, les articles 33 et 34 du RGPD peuvent s'appliquer. L'article 33 prévoit, sous certaines conditions, une notification à l'autorité de contrôle en principe sans délai et, si possible, dans les 72 heures suivant la prise de connaissance de la violation, et exige, en vertu du paragraphe 5, une documentation relative à la violation, à ses conséquences et aux mesures correctives prises. En cas de risque présumé élevé, l’article 34 peut en outre exiger la notification des personnes concernées. Le respect des conditions requises est évalué au regard de la législation sur la protection des données ; la criminalistique fournit les éléments factuels techniques.

Pour les entreprises relevant de la nouvelle loi sur la sécurité informatique (BSIG), qui entrera en vigueur en décembre 2025, des obligations supplémentaires peuvent s'appliquer aux entités particulièrement importantes et importantes. Selon leur classification, celles-ci comprennent des exigences en matière de gestion des risques liés à la cybersécurité, ainsi que de traitement et de signalement des incidents de sécurité majeurs. Les obligations de la direction sont expressément mentionnées dans la version actuelle de la loi BSIG. Pour déterminer si une entreprise donnée est concernée et quels sont les délais ou obligations applicables dans chaque cas particulier, il convient de se référer à la classification légale en vigueur.

En ce qui concerne les données relatives aux salariés, l'article 226 de la BDSG et les droits de cogestion au sein de l'entreprise peuvent également s'appliquer. Même lors d'un incident cybernétique, la possibilité technique d'accéder aux données ne confère pas pour autant un champ d'enquête illimité.

LanCologne fournit des conclusions techniques et en documente le raisonnement. Les décisions relatives aux obligations de déclaration, à la responsabilité, aux mesures relevant du droit du travail ou à toute autre conséquence juridique restent du ressort des organes compétents de l'entreprise, des délégués à la protection des données et des conseillers juridiques.

LanCologne pour l'analyse judiciaire et la restauration contrôlée

LanCologne allie la rigueur technique à une présentation compréhensible pour les décideurs. Nous documentons non seulement les mesures qui ont été mises en œuvre, mais aussi les faits techniques sur lesquels elles se fondaient et leurs limites d’interprétation. Cela garantit la traçabilité pour la direction, les conseillers juridiques, les assureurs et un éventuel contre-contrôle technique ultérieur.

Foire aux questions

🔗 Sujets connexes