IT forenzika · Poslovanje

Kako bi tvrtka trebala koordinirati očuvanje dokaza i ograničavanje štete odmah nakon otkrivanja kibernetičkog napada?

U tekućem kibernetičkom incidentu potrebno je uskladiti potrebu za brzim obuzdavanjem i naknadnom sljedivošću. Rezervna kopija koja je idealna iz forenzičke perspektive ne smije nepotrebno produljiti tekuću štetu.

Upitajte bez obaveze

Zašto je ovo pitanje važno za poslovanje

Tijekom faze oporavka nakon kibernetičkog incidenta donose se tehničke odluke koje istovremeno mogu utjecati na operativnu sposobnost, očuvanje dokaza, zaštitu podataka i mogućnost pružanja dokaza u kasnijem roku. Temeljita dokumentacija stoga ne samo da štiti IT sustave, već i pruža čvrstu činjeničnu osnovu za upravljanje i pravne savjete.

Tehnički istraživački pristup

Prioritet dajemo nestabilnim i osobito informativnim izvorima podataka, dokumentiramo neizbježne promjene i usklađujemo sigurnosne mjere s operativnim timom za odgovor na incidente.

Gdje leže granice onoga što se može reći

Ne mora svako računalo biti potpuno forenzički osigurano prije izolacije. Prioritetizacija ovisi o prirodi napada, potrebnim dokazima i operativnom riziku.

Zašto LanCologne?

Nakon ozbiljnog kibernetičkog incidenta zadatak se ne završava zaustavljanjem napada. Organizacija mora kontrolirano vratiti svoje sustave u pogon, procijeniti podatke i sigurnosne kopije, osigurati identitete, analizirati utjecaj prekida usluga i istovremeno sačuvati dokaze za sve naknadne pravne, osiguravajuće ili regulatorne postupke.

LanCologne stoga razlikuje operativni odgovor na incidente i forenzičku rekonstrukciju, a da pritom ne izolira ta dva pojma jedan od drugog. Suzbijanje i oporavak štite organizaciju; forenzika dokumentira što se dogodilo i tehničke činjenice koje su stajale u temelju poduzetih mjera.

Ne radimo po načelu izrade sigurnosnih kopija što većeg broja sustava u cijelosti. Odlučujući čimbenici su konkretno pitanje dokaza, prolazna priroda izvora podataka, uloga sustava u napadu i načelo proporcionalnosti. Primarni podaci koji su osobito informativni imaju prednost.

Kad je riječ o oporavku, razlikujemo tehničku dostupnost, funkcionalnost sustava, poslovnu upotrebljivost i puni operativni status. Slično tome, postojanje sigurnosnih kopija, integritet sigurnosnih kopija i stvarna mogućnost oporavka ne smatraju se istom stvari.

Dokumentacija ostavlja zaključak otvorenim. Ako je preventivno gašenje bilo tehnički opravdano, iako naknadno nije moglo biti dokazano nikakvo narušavanje, oba zaključka mogu biti ispravna istovremeno. Upravo takve razlike čine naknadnu procjenu pouzdanom.

Kako radimo

1Koordinirati ograničavanje i očuvanje dokaza na temelju rizika.

2Prioritetizirajte kritične i nestabilne izvore podataka.

3Dokumentirajte početne uvjete i sve neizbježne promjene.

4Istragite osnovni uzrok i vidljivi čin štete odvojeno.

5Procijenite kompromitirane identitete, sesije i privilegirani pristup.

6Razlikujte status sigurnosne kopije, pouzdanost i oporavljivost.

7Dokumentirajte odluke o ponovnoj izgradnji i obnavljanju u tehničkim terminima.

8Zabilježite trajanje faza ponovnog pokretanja i ovisnosti sustava.

9Razlikujte hitni način rada, ograničeni način rada i normalni način rada.

10Uključite ovisnosti trećih strana i ovisnosti u oblaku u rekonstrukciju.

11Čuvajte prateće podatke na način koji omogućuje njihovo praćenje za određene svrhe u kasnijem roku.

12Osigurajte da je glavni izvještaj jasan i da je tehnički prilog reproducibilan.

Obnova ne smije retroaktivno iskriviti povijesni zapis.

Sustav koji je pravilno obnovljen nakon incidenta ne otkriva automatski kakvo je stanje sustava bilo prije ili tijekom napada. Stoga povijesne nalaze i naknadne korektivne mjere dokumentiramo odvojeno. Time se sprječava da se poboljšano stanje nakon incidenta retrospektivno tretira kao dokaz ranijih okolnosti.

Pravni i regulatorni okvir

Pri obradi osobnih podataka i dalje se primjenjuju načela iz članka 5. GDPR-a, kao i zahtjev za valjanom pravnom osnovom iz članka 6. GDPR-a. Članak 32. GDPR-a zahtijeva poduzimanje odgovarajućih tehničkih i organizacijskih mjera, uzimajući u obzir povezani rizik, te između ostalog propisuje povjerljivost, cjelovitost, dostupnost, otpornost i sposobnost brzog vraćanja dostupnosti i pristupa nakon incidenta.

U slučaju povrede osobnih podataka mogu se primijeniti članci 33. i 34. GDPR-a. Članak 33. propisuje, pod određenim uvjetima, da se povreda općenito mora prijaviti nadležnom tijelu bez nepotrebnog odgađanja, a kad je to moguće, u roku od 72 sata od saznanja; stavak 5. zahtijeva dokumentiranje povrede, njezinih učinaka i poduzetih korektivnih mjera. Ako je rizik vjerojatno visok, članak 34. može dodatno zahtijevati obavještavanje ispitanika. Postojanje relevantnih uvjeta procjenjuje se prema zakonu o zaštiti podataka; forenzička analiza pruža tehničke činjenice.

Za organizacije koje podliježu revidiranom Zakonu o BSI-ju, koji stupa na snagu u prosincu 2025., mogu se primijeniti dodatne obveze na iznimno važne i važne subjekte. Ovisno o njihovoj klasifikaciji, to uključuje zahtjeve koji se odnose na upravljanje rizikom kibernetičke sigurnosti te postupanje ili izvještavanje o značajnim sigurnosnim incidentima. Obveze višeg menadžmenta izričito su propisane u važećem Zakonu o BSI-ju. Pokrivenost određene tvrtke i primjenjivi rokovi ili obveze u svakom pojedinačnom slučaju moraju se procijeniti na temelju važeće pravne klasifikacije.

U slučaju podataka zaposlenika, odredba 26. Saveznog zakona o zaštiti podataka (BDSG) i prava na suodlučivanje na radnom mjestu također mogu biti relevantni. Čak i tijekom kibernetičkog incidenta, sama tehnička mogućnost pristupa ne daje neograničen opseg istrage.

LanCologne pruža tehnička utvrđenja i dokumentira razloge koji stoje iza njih. Odluke o obvezama izvještavanja, odgovornosti, mjerama prema radnom pravu ili drugim pravnim posljedicama rezervirane su za nadležna korporativna tijela, službenike za zaštitu podataka i pravne savjetnike.

LanCologne za forenzičku analizu i kontrolirano oporavak

LanCologne spaja tehničku dubinu s prezentacijom koja je jasna donositeljima odluka. Dokumentiramo ne samo koje su mjere provedene, nego i tehničke činjenice na kojima su se temeljile te ograničenja nalaza. To osigurava transparentnost za upravu, pravne savjetnike, osiguravatelje i svaku naknadnu tehničku reviziju.

Često postavljana pitanja

Kako bi tvrtka trebala koordinirati očuvanje dokaza i ograničavanje štete odmah nakon otkrivanja kibernetičkog napada?+

Kako se takva tehnička istraga provodi u praksi?+

Prioritet dajemo nestabilnim i osobito informativnim izvorima podataka, dokumentiramo neizbježne promjene i usklađujemo sigurnosne mjere s operativnim timom za odgovor na incidente.

Donosi li istraga uvijek jasan rezultat, bilo za ili protiv uključene osobe?+

Ne mora svako računalo biti potpuno forenzički osigurano prije izolacije. Prioritetizacija ovisi o prirodi napada, potrebnim dokazima i operativnom riziku.

Postoji li za ovo pravna osnova?+

Pri obradi osobnih podataka i dalje se primjenjuju načela iz članka 5. GDPR-a, kao i zahtjev za valjanom pravnom osnovom iz članka 6. GDPR-a. Članak 32. GDPR-a zahtijeva odgovarajuće tehničke i organizacijske mjere, uzimajući u obzir razinu rizika, te između ostalog propisuje povjerljivost, cjelovitost, dostupnost, otpornost i sposobnost brzog vraćanja dostupnosti i pristupa nakon incidenta. U slučaju povrede osobnih podataka mogu se primijeniti članci 33. i 34. GDPR-a. Članak 33., podložan svojim uvjetima, propisuje obavještavanje nadležnog tijela načelno bez nepotrebnog odgađanja, a kad je to moguće, u roku od 72 sata od saznanja za povredu; stavak 5. zahtijeva dokumentiranje povrede, njezinih učinaka i poduzetih korektivnih mjera. Kada se predviđa visok rizik, članak 34. može dodatno zahtijevati obavještavanje ispitanika. Postojanje relevantnih uvjeta procjenjuje se prema zakonu o zaštiti podataka; forenzička analiza pruža tehničke činjenice. Za organizacije koje podliježu revidiranom Zakonu o BSI-ju, koji stupa na snagu u prosincu 2025., na posebno važne i važne organizacije mogu se primijeniti dodatne obveze. Ovisno o njihovoj klasifikaciji, to uključuje zahtjeve koji se odnose na upravljanje rizikom kibernetičke sigurnosti te postupanje sa značajnim sigurnosnim incidentima ili njihovo prijavljivanje. Obveze višeg menadžmenta izričito su propisane u važećem Zakonu o BSI-ju. Pokriva li se određena tvrtka tim zakonom i koji rokovi ili obveze vrijede u pojedinačnim slučajevima, mora se procijeniti na temelju važeće pravne klasifikacije. U slučaju podataka o zaposlenicima, relevantni mogu biti i članak 26. Saveznog zakona o zaštiti podataka (BDSG) te prava na suodlučivanje na radnom mjestu. Čak i tijekom kibernetičkog incidenta, tehnički pristup ne daje neograničen opseg istrage. LanCologne pruža tehnička otkrića i dokumentira kako su dobivena. Odluke o obvezama izvještavanja, odgovornosti, mjerama iz radnog prava ili drugim pravnim posljedicama ostaju u nadležnosti relevantnih korporativnih tijela, službenika za zaštitu podataka i pravnih savjetnika.