Informatique légale · Entreprises

Wie kann ein Unternehmen prüfen lassen, ob ein Cyberangriff über einen externen Dienstleister oder Fernwartungszugang erfolgte?

MSP-, Support- und Fernwartungszugänge können legitime und privilegierte Verbindungen in Unternehmensnetze bereitstellen.

Demande sans engagement

Pourquoi cette question est-elle importante pour une entreprise ?

À la suite d'une cyberattaque, les décisions d'ordre technique, économique, relatives à la protection des données et réglementaires peuvent dépendre d'un même état de fait. Une reconstitution solide doit donc établir une distinction claire entre l'activité avérée, la possibilité technique et la simple supposition.

Approche technique d'analyse

Wir korrelieren Dienstleisteraccounts, Remote-Sessions, Gegenstellen, Administrationshandlungen und Zeitbezüge mit internen Ereignissen.

Où se situe la limite de l'expression

Ein vorhandener Drittzugang beweist nicht, dass der Dienstleister Ursache oder Verantwortlicher des Angriffs war.

Pourquoi LanCologne ?

Après une cyberattaque, une entreprise a avant tout besoin de sécurité et de continuité d'activité. Cependant, pour prendre des décisions ultérieures, il ne suffit pas de savoir simplement qu‚‘ une attaque a eu lieu ». La direction, les services chargés de la protection des données, les conseillers juridiques, les assureurs et, le cas échéant, les autorités ont besoin de réponses fiables à des questions factuelles précises.

LanCologne distingue donc la découverte, l'accès initial, la compromission, la persistance, le déplacement latéral, l'accès aux données, l'exfiltration potentielle et l'acte de nuisance concret. Ces phases peuvent être très espacées dans le temps et ne doivent pas être assimilées les unes aux autres.

Dans la mesure du possible, les constatations déterminantes sont recoupées à partir de plusieurs sources de données indépendantes. Les données relatives aux terminaux, au réseau, aux identités, au cloud et aux systèmes ont chacune leurs propres limites en termes de fiabilité. Pour nous, une alerte automatisée ou un rapport de produit ne constitue pas une source de preuve en soi, mais un point de départ pour vérifier les données primaires sous-jacentes.

Les hypothèses contraires font également partie de l'enquête. Une connexion inhabituelle peut par exemple s'expliquer par une intervention administrative légitime, une infrastructure VPN, des services automatisés ou des identifiants compromis. Seule la corrélation d'autres indices permet d'établir une conclusion fiable.

En cas d'absence de données essentielles, cette lacune n'est pas comblée par des suppositions. En particulier dans le cas des cyberincidents, l'affirmation ‚ il n'est pas possible de l'établir avec certitude à partir des données disponibles ‘ a davantage de valeur technique qu'un scénario d'attaque apparemment sans équivoque, mais qui ne peut être prouvé de manière reproductible.

Notre méthode de travail

La réponse aux incidents et la criminalistique poursuivent des objectifs différents mais complémentaires

La maîtrise d'une attaque en cours vise avant tout à protéger l'entreprise. La reconstitution informatique permet ensuite, ou en parallèle, de déterminer ce qui s'est réellement passé. Les mesures de sécurité nécessaires ne sont donc pas négligées dans le seul but de préserver un état idéal des preuves ; les modifications inévitables sont documentées dans la mesure du possible.

Pourquoi « LanCologne » après une cyberattaque ?

LanCologne n'oriente pas l'enquête en fonction d'un scénario d'attaque présumé. Ce qui importe, ce sont les conclusions techniques que permettent réellement de tirer les données primaires recueillies. Les éléments à charge, à décharge et les points non élucidés sont documentés de manière transparente, afin que la direction et les conseillers juridiques puissent prendre leurs décisions sur la base de faits vérifiables.

L'article 32 du RGPD impose aux responsables du traitement et aux sous-traitants d'assurer un niveau de protection adapté au risque. Sont notamment mentionnés la confidentialité, l'intégrité, la disponibilité et la résilience, ainsi que la capacité à rétablir rapidement la disponibilité et l'accès après un incident technique ou physique.

Si un incident cybernétique a entraîné une violation de la protection des données à caractère personnel, l'article 33 du RGPD peut s'appliquer. En vertu de cet article, une violation soumise à l’obligation de notification doit en principe être signalée sans délai et, dans la mesure du possible, dans les 72 heures suivant sa découverte à l’autorité de contrôle compétente, à moins qu’elle ne soit susceptible de ne pas présenter de risque pour les droits et libertés des personnes physiques. L'article 33, paragraphe 5, exige en outre que la violation, ses conséquences et les mesures correctives prises soient documentées. En cas de risque élevé probable, l’article 34 du RGPD peut en outre exiger la notification des personnes concernées. La vérification du respect de ces conditions relève d’une évaluation au regard de la protection des données ; la criminalistique informatique fournit à cet égard des éléments factuels techniques.

Depuis le 6 décembre 2025, la loi révisée sur le BSI (BSIG), qui transpose les exigences de la directive NIS 2, s’applique à certaines entreprises privées. Pour déterminer si une entreprise est considérée comme une entité particulièrement importante ou importante, il convient de procéder à une évaluation concrète sur la base de la BSIG en vigueur, en tenant compte des secteurs, des types d’entités et des critères de taille. Pour les entités concernées, la loi BSIG prévoit notamment des obligations en matière de gestion des risques liés à la cybersécurité et d'incidents de sécurité ; l'article 38 de la loi BSIG impose aux directions des entités particulièrement importantes et importantes des obligations relatives à la mise en œuvre et au suivi des mesures de gestion des risques.

Les obligations légales en matière de déclaration et de documentation peuvent être soumises à des délais stricts. LanCologne ne se prononce toutefois pas de manière définitive sur les obligations de déclaration, la responsabilité ou les obligations en matière de responsabilité civile. Nous fournissons les éléments factuels techniquement vérifiables sur lesquels la direction, les délégués à la protection des données et les conseillers juridiques peuvent fonder leurs décisions.

Foire aux questions

🔗 Sujets connexes