IT forenzika · Poslovanje

Kako tvrtka može sigurno procijeniti pristup koji je trećim pružateljima usluga i servisnim pružateljima odobren nakon kibernetičkog napada?

Nach einem Cyberangriff stehen Dienstleisterzugänge doppelt im Fokus: Sie werden für die Wiederherstellung gebraucht – und sie sind ein häufiger Einfallsweg. Die Frage ist, ob ein bestimmter Zugang im Angriffszeitraum genutzt wurde und ob er bedenkenlos wieder aktiviert werden kann.

Upitajte bez obaveze

Zašto je ovo pitanje važno za poslovanje

Tijekom faze oporavka nakon kibernetičkog incidenta donose se tehničke odluke koje istovremeno mogu utjecati na operativnu sposobnost, očuvanje dokaza, zaštitu podataka i mogućnost pružanja dokaza u kasnijem roku. Temeljita dokumentacija stoga ne samo da štiti IT sustave, već i pruža čvrstu činjeničnu osnovu za upravljanje i pravne savjete.

Technischer Hintergrund

Typische Zugänge sind Fernwartungssoftware (z. B. TeamViewer, AnyDesk, ScreenConnect), RMM-Agenten von Managed Service Providern, Site-to-Site-VPNs, Gastkonten in Entra ID und Service-Accounts. Wurde ein Dienstleister selbst kompromittiert, kann der Angriff über dessen legitime Werkzeuge laufen.

Relevante Spuren und Datenquellen

• Verbindungsprotokolle der Fernwartungs- und RMM-Software
• VPN- und Firewall-Logs mit Quell-IP
• Anmeldeereignisse der Dienstleisterkonten (lokal, AD, Entra ID)
• Installations- und Ausführungsspuren auf Endpunkten (Prefetch, Amcache, Dienste)

Grenzen

• Ein vorhandener Zugang belegt keine Verantwortlichkeit des Dienstleisters.
• Logs beim Dienstleister selbst sind nur mit dessen Mitwirkung verfügbar.

Mögliche Ergebnisse

• Zugangsweg identifiziert bzw. ausgeschlossen (im geprüften Umfang)
• Liste der Zugänge mit Bewertung

Zašto LanCologne?

Nakon ozbiljnog kibernetičkog incidenta zadatak se ne završava zaustavljanjem napada. Organizacija mora kontrolirano vratiti svoje sustave u pogon, procijeniti podatke i sigurnosne kopije, osigurati identitete, analizirati utjecaj prekida usluga i istovremeno sačuvati dokaze za sve naknadne pravne, osiguravajuće ili regulatorne postupke.

So gehen wir vor

• Inventar aller externen Zugänge und Konten.
• Abgleich der Nutzung im Angriffszeitraum mit dokumentierten Wartungsfenstern.
• Bewertung je Zugang: genutzt, nicht genutzt, nicht beurteilbar.
• Empfehlung zur kontrollierten Wiederfreigabe.

Obnova ne smije retroaktivno iskriviti povijesni zapis.

Sustav koji je pravilno obnovljen nakon incidenta ne otkriva automatski kakvo je stanje sustava bilo prije ili tijekom napada. Stoga povijesne nalaze i naknadne korektivne mjere dokumentiramo odvojeno. Time se sprječava da se poboljšano stanje nakon incidenta retrospektivno tretira kao dokaz ranijih okolnosti.

Pravni i regulatorni okvir

Pri obradi osobnih podataka i dalje se primjenjuju načela iz članka 5. GDPR-a, kao i zahtjev za valjanom pravnom osnovom iz članka 6. GDPR-a. Članak 32. GDPR-a zahtijeva poduzimanje odgovarajućih tehničkih i organizacijskih mjera, uzimajući u obzir povezani rizik, te između ostalog propisuje povjerljivost, cjelovitost, dostupnost, otpornost i sposobnost brzog vraćanja dostupnosti i pristupa nakon incidenta.

U slučaju povrede osobnih podataka mogu se primijeniti članci 33. i 34. GDPR-a. Članak 33. propisuje, pod određenim uvjetima, da se povreda općenito mora prijaviti nadležnom tijelu bez nepotrebnog odgađanja, a kad je to moguće, u roku od 72 sata od saznanja; stavak 5. zahtijeva dokumentiranje povrede, njezinih učinaka i poduzetih korektivnih mjera. Ako je rizik vjerojatno visok, članak 34. može dodatno zahtijevati obavještavanje ispitanika. Postojanje relevantnih uvjeta procjenjuje se prema zakonu o zaštiti podataka; forenzička analiza pruža tehničke činjenice.

Za organizacije koje podliježu revidiranom Zakonu o BSI-ju, koji stupa na snagu u prosincu 2025., mogu se primijeniti dodatne obveze na iznimno važne i važne subjekte. Ovisno o njihovoj klasifikaciji, to uključuje zahtjeve koji se odnose na upravljanje rizikom kibernetičke sigurnosti te postupanje ili izvještavanje o značajnim sigurnosnim incidentima. Obveze višeg menadžmenta izričito su propisane u važećem Zakonu o BSI-ju. Pokrivenost određene tvrtke i primjenjivi rokovi ili obveze u svakom pojedinačnom slučaju moraju se procijeniti na temelju važeće pravne klasifikacije.

U slučaju podataka zaposlenika, odredba 26. Saveznog zakona o zaštiti podataka (BDSG) i prava na suodlučivanje na radnom mjestu također mogu biti relevantni. Čak i tijekom kibernetičkog incidenta, sama tehnička mogućnost pristupa ne daje neograničen opseg istrage.

LanCologne pruža tehnička utvrđenja i dokumentira razloge koji stoje iza njih. Odluke o obvezama izvještavanja, odgovornosti, mjerama prema radnom pravu ili drugim pravnim posljedicama rezervirane su za nadležna korporativna tijela, službenike za zaštitu podataka i pravne savjetnike.

LanCologne za forenzičku analizu i kontrolirano oporavak

LanCologne spaja tehničku dubinu s prezentacijom koja je jasna donositeljima odluka. Dokumentiramo ne samo koje su mjere provedene, nego i tehničke činjenice na kojima su se temeljile te ograničenja nalaza. To osigurava transparentnost za upravu, pravne savjetnike, osiguravatelje i svaku naknadnu tehničku reviziju.

Često postavljana pitanja

🔗 Povezane teme