IT forenzika · Poslovanje

Kako tvrtka može uskladiti potrebu za očuvanjem dokaza s potrebom za brzim suzbijanjem u slučaju kibernetičkog napada?

Tijekom tekućeg napada sustavi se moraju zaštititi, dok se prolazni tragovi mogu brzo izgubiti.

Zašto je ovo pitanje važno za poslovanje

Nakon kibernetičkog napada, tehničke, ekonomske, odluke o zaštiti podataka i regulatorne odluke mogu ovisiti o istom skupu činjenica. Stoga robusna rekonstrukcija mora jasno razlikovati dokazanu aktivnost, tehničku izvedivost i puku pretpostavku.

Tehnički istraživački pristup

Radimo s timom za odgovor na incidente kako bismo prioritetizirali podatke relevantne za istragu, dokumentirali sve neizbježne promjene i izbjegli forenzičke mjere koje bi mogle ugroziti napore na suzbijanju.

Gdje leže granice onoga što se može reći

Forenzička ispitivanja ne smiju dopustiti da se postojeća šteta nastavi u interesu potpunog očuvanja dokaza. U hitnim slučajevima sigurnost i kontrola štete imaju praktični prioritet.

Zašto LanCologne?

Nakon kibernetičkog napada, neposredni prioriteti tvrtke su sigurnost i operativni kontinuitet. Međutim, za daljnje odluke nije dovoljno jednostavno znati da je ‚napad izvršen‘. Više rukovodstvo, službenici za zaštitu podataka, pravni savjetnici, osiguravatelji i, gdje je primjenjivo, nadležne vlasti zahtijevaju pouzdane odgovore na konkretna činjenična pitanja.

LanCologne stoga razlikuje otkrivanje, početni pristup, kompromitiranje, trajnost, bočno kretanje, pristup podacima, potencijalnu eksfiltraciju i stvarnu štetu. Ove faze mogu se odvijati s velikim vremenskim razmakom i ne smiju se poistovjećivati.

Gdje je to moguće, ključni nalazi provjeravaju se u odnosu na nekoliko neovisnih izvora podataka. Podaci o krajnjim točkama, mreži, identitetu, oblaku i sustavu imaju svoja ograničenja u pogledu zaključaka koji se iz njih mogu izvući. Za nas automatizirano upozorenje ili izvješće o proizvodu nije samo po sebi izvor dokaza, već polazišna točka za provjeru temeljnih primarnih podataka.

Protuhipoteze su također dio istrage. Neobičan prijem, na primjer, može se objasniti legitimnom administrativnom aktivnošću, VPN infrastrukturom, automatiziranim uslugama ili kompromitiranim vjerodajnicama. Pouzdana procjena može se donijeti samo korelacijom dodatnih dokaza.

Ako nedostaju ključni podaci, taj se jaz ne popunjava spekulacijama. Posebno u slučaju kibernetičkih incidenata, izjava ‚ne može se sa sigurnošću utvrditi na temelju primljenih podataka‘ ima veću tehničku vrijednost od naizgled jasnog opisa napada koji se ne može potvrditi na reproducibilan način.

Kako radimo

1Koordinirajte poslovno kritične mjere obuzde i očuvanje forenzičkih dokaza.

2Definirajte specifična tehnička pitanja u vezi s dokazima.

3Prioritetizirajte izvore podataka i rizike zadržavanja.

4Dokumentirajte podrijetlo, integritet i vrijeme sigurnosti.

5Normalizirajte vremenske oznake i vremenske zone za svaki izvor zasebno.

6Rekonstruirajte početni pristup i naknadne aktivnosti napadača odvojeno.

7Razlikujte dodjele računa, uređaja, sesija i korisnika.

8Ne izjednačavajte kompromis, pristup, eksfiltraciju i štetu.

9Korelirajte podatke o oblaku, krajnjim točkama, mreži i identitetu.

10Također razmotrite i druga vjerojatna tehnička objašnjenja.

11Identificirajte praznine u podacima i njihov utjecaj na svaku ključnu poruku.

12Predstavite rezultate na jasan i razumljiv način i dokumentirajte ih u tehničkom prilogu na način koji omogućuje njihovu reprodukciju.

Odgovor na incidente i forenzika imaju različite, ali komplementarne ciljeve.

Primarni cilj obuzdavanja tekućeg napada jest zaštita organizacije. Forenzička rekonstrukcija potom razjašnjava, bilo naknadno ili paralelno, što se zapravo dogodilo. Stoga se potrebne sigurnosne mjere ne poduzimaju samo radi očuvanja idealnog stanja dokaza; neizbježne promjene dokumentiraju se što je više moguće.

Zašto LanCologne nakon kibernetičkog napada?

LanCologne ne temelji svoju istragu na hipotetičkom slijedu događaja. Ono što je važno jest što tehnički dokazi zapravo otkrivaju iz primarnih podataka. Nalazi koji su optužujući, oslobađajući ili neodređeni dokumentirani su na transparentan način kako bi više rukovodstvo i pravni savjetnici mogli donositi odluke na temelju provjerljivih činjenica.

Pravni okvir

Ako je kibernetički incident doveo do povrede osobnih podataka, može se primijeniti članak 33. GDPR-a. Prema ovoj odredbi, povreda koja podliježe obavješćivanju načelno se mora prijaviti nadležnom nadzornom tijelu bez nepotrebnog odgađanja, a kad je to moguće, u roku od 72 sata od njezina otkrivanja, pod uvjetom da se ne može očekivati da će dovesti do rizika za prava i slobode fizičkih osoba. Članak 33. stavak 5. također zahtijeva da se povreda, njezine posljedice i poduzete mjere otklanjanja dokumentiraju. Kada postoji vjerojatnost visokog rizika, članak 34. GDPR-a može dodatno zahtijevati obavještavanje ispitanika. Pitanje ispunjavaju li se ti uvjeti predmet je procjene prema zakonu o zaštiti podataka; IT forenzika pruža tehničke činjenice u tu svrhu.

Od 6. prosinca 2025. revidirani Zakon o BSI-ju primjenjuje se na određene privatne tvrtke radi provedbe zahtjeva NIS 2. Je li se tvrtka klasificira kao organizacija od posebnog značaja ili važna organizacija, mora se procijeniti od slučaja do slučaja u skladu s važećim Zakonom o BSI-ju, uzimajući u obzir sektore, vrste organizacija i kriterije veličine. Za obuhvaćene organizacije, BSIG propisuje, između ostalog, obveze u vezi s upravljanjem rizikom kibernetičke sigurnosti i sigurnosnim incidentima; članak 38. BSIG-a nameće upravi iznimno važnih i važnih organizacija obvezu provedbe i nadzora mjera upravljanja rizikom.

Zakonski zahtjevi za izvještavanje i dokumentaciju mogu biti vremenski osjetljivi. Međutim, LanCologne ne donosi nikakve konačne pravne odluke u vezi s obvezama izvještavanja, odgovornošću ili odgovornošću. Pružamo tehnički provjerljivu činjeničnu osnovu na kojoj menadžment, službenici za zaštitu podataka i pravni savjetnici mogu donositi odluke.

Često postavljana pitanja

Kako tvrtka može uskladiti potrebu za očuvanjem dokaza s potrebom za brzim suzbijanjem u slučaju kibernetičkog napada?

Kako se takva tehnička istraga provodi u praksi?

Donosi li istraga uvijek jasan rezultat, bilo za ili protiv uključene osobe?

Forenzička ispitivanja ne smiju dopustiti da se postojeća šteta nastavi u interesu potpunog očuvanja dokaza. U hitnim slučajevima sigurnost i kontrola štete imaju praktični prioritet.

Postoji li za ovo pravna osnova?

Članak 32. GDPR-a zahtijeva od voditelja obrade i obrađivača da osiguraju razinu zaštite primjerenu riziku. To uključuje, između ostalog, povjerljivost, cjelovitost, dostupnost i otpornost, kao i sposobnost pravovremenog obnavljanja dostupnosti i pristupa nakon tehničkog ili fizičkog incidenta.
Ako je kibernetički incident doveo do povrede osobnih podataka, može se primijeniti članak 33. GDPR-a. Prema ovoj odredbi, povreda koja podliježe obavješćivanju načelno se mora prijaviti nadležnom nadzornom tijelu bez nepotrebnog odgađanja, a kad je to moguće, u roku od 72 sata od njezina otkrivanja, pod uvjetom da se ne može očekivati da će dovesti do rizika za prava i slobode fizičkih osoba. Članak 33. stavak 5. također zahtijeva da se povreda, njezine posljedice i poduzete mjere otklanjanja dokumentiraju. Kada postoji vjerojatnost visokog rizika, članak 34. GDPR-a može dodatno zahtijevati obavještavanje ispitanika. Pitanje ispunjavaju li se ti uvjeti predmet je procjene prema zakonu o zaštiti podataka; IT forenzika pruža tehničke činjenice u tu svrhu.
Od 6. prosinca 2025. revidirani Zakon o BSI-ju primjenjuje se na određene privatne tvrtke radi provedbe zahtjeva NIS 2. Je li se tvrtka klasificira kao organizacija od posebnog značaja ili važna organizacija, mora se procijeniti od slučaja do slučaja u skladu s važećim Zakonom o BSI-ju, uzimajući u obzir sektore, vrste organizacija i kriterije veličine. Za obuhvaćene organizacije, BSIG propisuje, između ostalog, obveze u vezi s upravljanjem rizikom kibernetičke sigurnosti i sigurnosnim incidentima; članak 38. BSIG-a nameće upravi iznimno važnih i važnih organizacija obvezu provedbe i nadzora mjera upravljanja rizikom.
Zakonski zahtjevi za izvještavanje i dokumentaciju mogu biti vremenski osjetljivi. Međutim, LanCologne ne donosi nikakve konačne pravne odluke u vezi s obvezama izvještavanja, odgovornošću ili odgovornošću. Pružamo tehnički provjerljivu činjeničnu osnovu na kojoj menadžment, službenici za zaštitu podataka i pravni savjetnici mogu donositi odluke.