Informatique légale · Entreprises

Comment une entreprise peut-elle reconstituer le point d'entrée réel après une cyberattaque ?

Der Zeitpunkt, an dem ein Angriff entdeckt wird, ist häufig nicht der Zeitpunkt der ersten Kompromittierung.

Pourquoi cette question est-elle importante pour une entreprise ?

À la suite d'une cyberattaque, les décisions d'ordre technique, économique, relatives à la protection des données et réglementaires peuvent dépendre d'un même état de fait. Une reconstitution solide doit donc établir une distinction claire entre l'activité avérée, la possibilité technique et la simple supposition.

Approche technique d'analyse

Wir korrelieren Endpoint-, Authentifizierungs-, Netzwerk-, Cloud- und Systemartefakte und arbeiten zeitlich rückwärts bis zum frühesten belastbaren Anknüpfungspunkt.

Où se situe la limite de l'expression

Ein frühestes noch vorhandenes Artefakt ist nicht automatisch der tatsächliche Angriffsbeginn. Fehlende Retention kann frühere Aktivitäten unsichtbar machen.

Pourquoi LanCologne ?

Après une cyberattaque, une entreprise a avant tout besoin de sécurité et de continuité d'activité. Cependant, pour prendre des décisions ultérieures, il ne suffit pas de savoir simplement qu‚‘ une attaque a eu lieu ». La direction, les services chargés de la protection des données, les conseillers juridiques, les assureurs et, le cas échéant, les autorités ont besoin de réponses fiables à des questions factuelles précises.

LanCologne distingue donc la découverte, l'accès initial, la compromission, la persistance, le déplacement latéral, l'accès aux données, l'exfiltration potentielle et l'acte de nuisance concret. Ces phases peuvent être très espacées dans le temps et ne doivent pas être assimilées les unes aux autres.

Dans la mesure du possible, les constatations déterminantes sont recoupées à partir de plusieurs sources de données indépendantes. Les données relatives aux terminaux, au réseau, aux identités, au cloud et aux systèmes ont chacune leurs propres limites en termes de fiabilité. Pour nous, une alerte automatisée ou un rapport de produit ne constitue pas une source de preuve en soi, mais un point de départ pour vérifier les données primaires sous-jacentes.

Les hypothèses contraires font également partie de l'enquête. Une connexion inhabituelle peut par exemple s'expliquer par une intervention administrative légitime, une infrastructure VPN, des services automatisés ou des identifiants compromis. Seule la corrélation d'autres indices permet d'établir une conclusion fiable.

En cas d'absence de données essentielles, cette lacune n'est pas comblée par des suppositions. En particulier dans le cas des cyberincidents, l'affirmation ‚ il n'est pas possible de l'établir avec certitude à partir des données disponibles ‘ a davantage de valeur technique qu'un scénario d'attaque apparemment sans équivoque, mais qui ne peut être prouvé de manière reproductible.

Notre méthode de travail

1Coordonner les mesures de confinement essentielles à l'activité et la conservation des preuves à des fins d'enquête.

2Définir des questions techniques concrètes nécessitant des preuves.

3Hiérarchiser les sources de données et les risques liés à la rétention.

4Consigner l'origine, l'intégrité et la date de sauvegarde.

5Normaliser les horodatages et les fuseaux horaires en fonction de la source.

6Reconstituer séparément l'attaque initiale et l'activité ultérieure des attaquants.

7Distinguer l'attribution des comptes, des appareils, des sessions et des personnes.

8Il ne faut pas mettre sur le même plan la compromission, l'accès, l'exfiltration et les dommages.

9Corréler les données du cloud, des terminaux, du réseau et d'identité.

10Examiner également les autres explications techniques courantes.

11Identifier les lacunes dans les données et leur incidence sur chaque message clé.

12Présenter les résultats de manière claire et les documenter de manière reproductible dans l'annexe technique.

La réponse aux incidents et la criminalistique poursuivent des objectifs différents mais complémentaires

La maîtrise d'une attaque en cours vise avant tout à protéger l'entreprise. La reconstitution informatique permet ensuite, ou en parallèle, de déterminer ce qui s'est réellement passé. Les mesures de sécurité nécessaires ne sont donc pas négligées dans le seul but de préserver un état idéal des preuves ; les modifications inévitables sont documentées dans la mesure du possible.

Pourquoi « LanCologne » après une cyberattaque ?

LanCologne n'oriente pas l'enquête en fonction d'un scénario d'attaque présumé. Ce qui importe, ce sont les conclusions techniques que permettent réellement de tirer les données primaires recueillies. Les éléments à charge, à décharge et les points non élucidés sont documentés de manière transparente, afin que la direction et les conseillers juridiques puissent prendre leurs décisions sur la base de faits vérifiables.

Cadre juridique

L'article 32 du RGPD impose aux responsables du traitement et aux sous-traitants d'assurer un niveau de protection adapté au risque. Sont notamment mentionnés la confidentialité, l'intégrité, la disponibilité et la résilience, ainsi que la capacité à rétablir rapidement la disponibilité et l'accès après un incident technique ou physique.

Si un incident cybernétique a entraîné une violation de la protection des données à caractère personnel, l'article 33 du RGPD peut s'appliquer. En vertu de cet article, une violation soumise à l’obligation de notification doit en principe être signalée sans délai et, dans la mesure du possible, dans les 72 heures suivant sa découverte à l’autorité de contrôle compétente, à moins qu’elle ne soit susceptible de ne pas présenter de risque pour les droits et libertés des personnes physiques. L'article 33, paragraphe 5, exige en outre que la violation, ses conséquences et les mesures correctives prises soient documentées. En cas de risque élevé probable, l’article 34 du RGPD peut en outre exiger la notification des personnes concernées. La vérification du respect de ces conditions relève d’une évaluation au regard de la protection des données ; la criminalistique informatique fournit à cet égard des éléments factuels techniques.

Depuis le 6 décembre 2025, la loi révisée sur le BSI (BSIG), qui transpose les exigences de la directive NIS 2, s’applique à certaines entreprises privées. Pour déterminer si une entreprise est considérée comme une entité particulièrement importante ou importante, il convient de procéder à une évaluation concrète sur la base de la BSIG en vigueur, en tenant compte des secteurs, des types d’entités et des critères de taille. Pour les entités concernées, la loi BSIG prévoit notamment des obligations en matière de gestion des risques liés à la cybersécurité et d'incidents de sécurité ; l'article 38 de la loi BSIG impose aux directions des entités particulièrement importantes et importantes des obligations relatives à la mise en œuvre et au suivi des mesures de gestion des risques.

Les obligations légales en matière de déclaration et de documentation peuvent être soumises à des délais stricts. LanCologne ne se prononce toutefois pas de manière définitive sur les obligations de déclaration, la responsabilité ou les obligations en matière de responsabilité civile. Nous fournissons les éléments factuels techniquement vérifiables sur lesquels la direction, les délégués à la protection des données et les conseillers juridiques peuvent fonder leurs décisions.

Foire aux questions

Comment une entreprise peut-elle reconstituer le point d'entrée réel après une cyberattaque ?+

Comment se déroule concrètement un tel examen technique ?+

Wir korrelieren Endpoint-, Authentifizierungs-, Netzwerk-, Cloud- und Systemartefakte und arbeiten zeitlich rückwärts bis zum frühesten belastbaren Anknüpfungspunkt.

L'enquête aboutit-elle toujours à un résultat sans équivoque, défavorable ou favorable à l'une des personnes concernées ?+

Ein frühestes noch vorhandenes Artefakt ist nicht automatisch der tatsächliche Angriffsbeginn. Fehlende Retention kann frühere Aktivitäten unsichtbar machen.

Existe-t-il une base juridique à cet effet ?+

Art. 32 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter zu einem dem Risiko angemessenen Schutzniveau. Genannt werden unter anderem Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit sowie die Fähigkeit, Verfügbarkeit und Zugang nach einem technischen oder physischen Zwischenfall zeitnah wiederherzustellen. Ist bei einem Cybervorfall eine Verletzung des Schutzes personenbezogener Daten eingetreten, kann Art. 33 DSGVO einschlägig sein. Danach ist eine meldepflichtige Verletzung grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde zu melden, sofern sie voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Art. 33 Abs. 5 verlangt zudem die Dokumentation der Verletzung, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen. Bei voraussichtlich hohem Risiko kann zusätzlich Art. 34 DSGVO eine Benachrichtigung betroffener Personen verlangen. Ob diese Voraussetzungen vorliegen, ist eine datenschutzrechtliche Bewertung; die IT-Forensik liefert hierzu technische Tatsachen. Für bestimmte private Unternehmen gilt seit dem 6. Dezember 2025 das neu gefasste BSI-Gesetz zur Umsetzung der NIS-2-Anforderungen. Ob ein Unternehmen als besonders wichtige oder wichtige Einrichtung erfasst ist, muss anhand des aktuellen BSIG, der Sektoren, Einrichtungsarten und Größenkriterien konkret geprüft werden. Für erfasste Einrichtungen enthält das BSIG unter anderem Pflichten zum Cybersicherheitsrisikomanagement und zu Sicherheitsvorfällen; § 38 BSIG weist den Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen Pflichten zur Umsetzung und Überwachung der Risikomanagementmaßnahmen zu. Die gesetzlichen Melde- und Dokumentationspflichten können zeitkritisch sein. LanCologne trifft jedoch keine abschließende rechtliche Entscheidung über Meldepflichten, Verantwortlichkeit oder Haftung. Wir liefern die technisch nachvollziehbare Tatsachengrundlage, auf der Geschäftsführung, Datenschutzbeauftragte und Rechtsberatung entscheiden können.