IT forenzika · Poslovanje

Kako bi tvrtka trebala postupiti s forenzičkom istragom kada se prvi put posumnja na interni IT incident?

Ein erster Verdacht ist noch kein Beweis. Gerade bei möglichen Mitarbeiterhandlungen muss ein Unternehmen technische Aufklärung, Beweiserhalt, Datenschutz und arbeitsrechtliche Grenzen von Beginn an zusammen denken.

Upitajte bez obaveze

Zašto je ovo pitanje važno za poslovanje

U slučaju unutarnjih incidenata, komercijalni interesi, očuvanje dokaza i prava zaposlenika mogu biti istovremeno ugroženi. Istraga širokog tehničkog opsega stoga nije automatski dobra istraga. Ključno je jasno definirano pitanje dokaza i transparentno definirani opseg istrage.

Tehnički istraživački pristup

Wir definieren zunächst die konkrete Beweisfrage, sichern flüchtige und veränderliche Daten soweit erforderlich und grenzen anschließend die Untersuchung auf die tatsächlich relevanten Systeme, Accounts und Zeiträume ein.

Gdje leže granice onoga što se može reći

LanCologne untersucht keine Person ‚auf Verdacht‘. Technische Maßnahmen müssen auf einen zulässigen Zweck, eine geeignete Rechtsgrundlage und einen verhältnismäßigen Untersuchungsumfang gestützt werden.

Zašto LanCologne?

Interne istrage uključuju izravan sukob više interesa: tvrtka mora biti u stanju zaštititi svoje sustave, podatke, poslovne tajne i komercijalne interese. Istovremeno je potrebno uzeti u obzir zaštitu podataka zaposlenika, proporcionalnost, suodlučivanje i, gdje je primjenjivo, zaštitu privatnih podataka.

LanCologne stoga ne započinje prikupljanjem što više podataka. Polazna točka je specifičan tehnički problem koji treba istražiti. Tek tada se utvrđuje koji su uređaji, računi, vremenska razdoblja i vrste podataka zapravo potrebni. To često omogućuje provođenje istrage mnogo preciznije nego što bi to bila opsežna, sveobuhvatna analiza.

Tehnička dostupnost i zakonska dopuštenost namjerno su odvojene. Činjenica da administrator, MDM sustav ili korisnik u oblaku tehnički omogućuje pristup određenim informacijama sama po sebi ne odgovara na pitanje može li se te informacije obrađivati za dotičnu specifičnu svrhu.

Ključni nalazi, gdje je to potrebno, provjeravaju se na primarnim podacima. Automatska izvješća i forenzički softver su alati; oni ne zamjenjuju stručnu interpretaciju temeljnih artefakata. Također se ispituju alternativna tehnička objašnjenja.

Jednako je važno: interna istraga mora tretirati oslobađajuće činjenice jednako ozbiljno kao i one koje upućuju na krivnju. Ako analiza pokaže da se sumnja tehnički ne može potvrditi ili da se sumnjivi incident može objasniti standardnim sustavnim postupkom, to se mora izričito navesti u nalazima.

Kako radimo

1Definirajte specifične okolnosti i tehnički problem koji treba utvrditi.

2Razjasnite pravnu osnovu i interne odgovornosti s tvrtkom ili njezinim pravnim savjetnicima.

3Užite raspon potrebnih sustava, računa, tipova podataka i vremenskih razdoblja.

4Prioritetizirajte očuvanje dokaza i dokumentirajte promjenjive podatke.

5Zabilježite identifikaciju uređaja i podataka, kao i status sigurnosne kopije, na način koji omogućuje sljedivost.

6Odvojite sirove podatke od izvještaja i tumačenja korisničkog sučelja.

7Nemojte miješati dodjelu osoblja, uređaja, računa i sesija.

8Provjerite redovite sistemske procese i alternativna objašnjenja.

9Dokumentirajte pozitivne, negativne i neizvjesne nalaze jednako.

10Opseg istrage treba proširiti samo ako postoje novi, vjerodostojni povezujući činjenični podaci.

11Napišite tehničko izvješće koje je jasno i reproducibilno.

12Zaključke koji se odnose na radno pravo, pravo zaštite podataka, građansko pravo i kazneno pravo treba prepustiti nadležnim pravnim savjetnicima.

Nijedno predviđanje o zaposlenicima

Interna sumnja se ne proglašava jednostavno ishodom istrage. Istražujemo koje tehničke činjenice je podupiru, koje je opovrgavaju i koja postoje alternativna objašnjenja. Čak je i nalaz koji je nepovoljan ili oslobađajući za tvrtku u potpunosti dokumentiran.

Razumljivo višem menadžmentu i pravnom odjelu – reproducibilno za forenzičke stručnjake

Glavni dio objašnjava ključnu poruku bez nepotrebnog tehničkog žargona. Tehnički dio dokumentira izvore podataka, status kopija sigurnosti, identifikatore, informacije o integritetu, vremenske reference, lokacije artefakata i korake validacije. Time se osigurava da istraga ostane praćenja radi naknadne tehničke revizije.

LanCologne kao neovisna služba tehničke podrške za tvrtke

Ako interni incident zahtijeva tehničku istragu, LanCologne pruža podršku u obliku objektivne, nepristrane i transparentne IT forenzičke istrage. Fokus nije na željenom ishodu, već isključivo na onome što se zapravo može utvrditi na temelju digitalnih dokaza unutar dopuštenog opsega istrage.

Pravni okvir

U Njemačkoj se odredba članka 26. Saveznog zakona o zaštiti podataka (BDSG) mora posebno poštovati u pogledu podataka zaposlenika. Osobni podaci zaposlenika mogu se obrađivati u svrhu radnog odnosa ako je to nužno za svrhe navedene u tom članku. Članak 26. stavak 1. BDSG-a propisuje posebne uvjete za otkrivanje kaznenih djela: Moraju postojati dokumentirani činjenični razlozi koji opravdavaju sumnju da je subjekt podataka počinio kazneno djelo tijekom radnog odnosa; obrada mora biti nužna za otkrivanje kaznenog djela, a legitimni interesi zaposlenika ne smiju nadmašiti tu potrebu. Naročito, priroda i opseg obrade ne smiju biti nerazmjerni.

Osim toga, primjenjuju se opća načela GDPR-a. Članak 5. GDPR-a zahtijeva, između ostalog, zakonitost, ograničenje svrhe i minimizaciju podataka. Članak 6. GDPR-a zahtijeva valjan pravni osnov za obradu. Stoga činjenica da je neka analiza tehnički moguća ne znači automatski da je zakonito dopuštena.

U slučaju tehničke opreme, odjeljak 87(1)(6) Zakona o ustroju radnih odnosa (BetrVG) također može biti relevantan. Prema ovoj odredbi, u nedostatku zakonskih ili kolektivnih ugovornih odredbi, radničko vijeće ima pravo biti konzultirano o uvođenju i korištenju tehničkih sustava namijenjenih nadzoru ponašanja ili učinka zaposlenika. Ovisno o njihovoj izvedbi, to može biti relevantno, na primjer, u slučaju MDM-a, EDR-a, DLP-a, logiranja ili drugih sustava nadzora.

Članak 26. stavak 6. Saveznog zakona o zaštiti podataka (BDSG) izričito pojašnjava da prava sudjelovanja predstavničkih tijela zaposlenika ostaju nepromijenjena. Stoga se specifična dopuštenost istražne mjere prema radnom pravu i pravu o radničkim predstavništvima, kad su u pitanju zaposlenici, treba razjasniti s nadležnim pravnim savjetnicima i, po potrebi, s imenovanim tijelima društva prije njezina provođenja.

LanCologne ne zamjenjuje ovu pravnu procjenu. Naš je zadatak, nakon što je definiran dopušteni opseg istrage, ispitati tehničko pitanje dokaza na transparentan, proporcionalan i nepristran način.

Često postavljana pitanja

Kako bi tvrtka trebala postupiti s forenzičkom istragom kada se prvi put posumnja na interni IT incident?+

U slučaju unutarnjih incidenata, komercijalni interesi, očuvanje dokaza i prava zaposlenika mogu biti istovremeno ugroženi. Istraga širokog tehničkog opsega stoga nije automatski dobra istraga. Ključno je jasno definirano pitanje dokaza i transparentno definirani opseg istrage.

Kako se takva tehnička istraga provodi u praksi?+

Wir definieren zunächst die konkrete Beweisfrage, sichern flüchtige und veränderliche Daten soweit erforderlich und grenzen anschließend die Untersuchung auf die tatsächlich relevanten Systeme, Accounts und Zeiträume ein.

Donosi li istraga uvijek jasan rezultat, bilo za ili protiv uključene osobe?+

LanCologne untersucht keine Person ‚auf Verdacht‘. Technische Maßnahmen müssen auf einen zulässigen Zweck, eine geeignete Rechtsgrundlage und einen verhältnismäßigen Untersuchungsumfang gestützt werden.

Postoji li za ovo pravna osnova?+

Für Beschäftigtendaten ist in Deutschland insbesondere § 26 BDSG zu beachten. Personenbezogene Daten von Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die dort genannten Zwecke erforderlich ist. Zur Aufdeckung von Straftaten enthält § 26 Abs. 1 BDSG besondere Voraussetzungen: Es müssen zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat; die Verarbeitung muss zur Aufdeckung erforderlich sein und das schutzwürdige Interesse des Beschäftigten darf nicht überwiegen. Art und Ausmaß dürfen insbesondere nicht unverhältnismäßig sein. Daneben gelten die allgemeinen Grundsätze der DSGVO. Art. 5 DSGVO verlangt unter anderem Rechtmäßigkeit, Zweckbindung und Datenminimierung. Art. 6 DSGVO verlangt eine tragfähige Rechtsgrundlage für die Verarbeitung. Eine technisch mögliche Auswertung ist deshalb nicht automatisch eine rechtlich zulässige Auswertung. Bei technischen Einrichtungen kann außerdem § 87 Abs. 1 Nr. 6 BetrVG relevant sein. Danach hat der Betriebsrat, soweit keine gesetzliche oder tarifliche Regelung besteht, bei Einführung und Anwendung technischer Einrichtungen mitzubestimmen, die dazu bestimmt sind, Verhalten oder Leistung der Arbeitnehmer zu überwachen. Dies kann je nach Ausgestaltung beispielsweise bei MDM-, EDR-, DLP-, Logging- oder anderen Monitoring-Systemen relevant werden. § 26 Abs. 6 BDSG stellt ausdrücklich klar, dass Beteiligungsrechte der Interessenvertretungen der Beschäftigten unberührt bleiben. Die konkrete arbeits- und betriebsverfassungsrechtliche Zulässigkeit einer Untersuchungsmaßnahme sollte deshalb bei Mitarbeiterbezug vor Durchführung mit der zuständigen Rechtsberatung und gegebenenfalls den vorgesehenen betrieblichen Stellen geklärt werden. LanCologne ersetzt diese juristische Prüfung nicht. Unsere Aufgabe ist es, nach Festlegung des zulässigen Untersuchungsrahmens die technische Beweisfrage nachvollziehbar, verhältnismäßig und ergebnisoffen zu untersuchen.