Informatica forense · Assicurazioni
Come è possibile determinare in modo oggettivo la quantità di dati aziendali che potrebbero essere trapelati?
Le informazioni fornite da un aggressore in merito alla quantità di dati presumibilmente sottratti non costituiscono una fonte di prova imparziale e non devono essere accettate senza essere verificate.
Perché questa domanda è importante per un'assicurazione
I sinistri relativi alle assicurazioni contro i rischi informatici possono avere conseguenze economiche significative. È quindi ancora più importante operare una chiara distinzione tra un presunto attacco, una compromissione accertata e un danno tecnico effettivamente verificatosi. Solo una ricostruzione tracciabile può fornire una base solida per l’ulteriore valutazione del sinistro.
Questione tecnica da dimostrare e approccio analitico
In caso di sinistro assicurativo informatico, la questione concreta delle prove tecniche costituisce il punto di partenza dell'indagine. Un'analisi forense non deve mirare né a confermare in modo vincolante la denuncia di sinistro, né a giustificare tecnicamente un rifiuto di indennizzo.
LanCologne esamina quindi i dati primari disponibili senza pregiudizi. A seconda della questione probatoria, ciò può includere protocolli di sistema e di sicurezza, artefatti degli endpoint, dati di rete, eventi di autenticazione, informazioni relative al cloud e agli audit, strutture dei file system, informazioni sui backup o altre fonti tecnicamente idonee. La scelta delle fonti effettivamente esaminate dipende dal caso specifico, dalla loro disponibilità e dalla loro ammissibilità giuridica.
La ricostruzione cronologica riveste particolare importanza. È necessario distinguere tra momento della scoperta, primo accesso, compromissione, possibile persistenza, atto concreto di danno, isolamento e ripristino. Il momento in cui scatta l’allarme non coincide automaticamente con l’inizio di un attacco. Allo stesso modo, la compromissione di un sistema non dimostra automaticamente una fuga di dati o la crittografia di tutti i dati accessibili.
Le constatazioni fondamentali vengono, per quanto possibile, correlate con diverse fonti di dati indipendenti tra loro. I report automatizzati e le rappresentazioni software non vengono equiparati, senza previa verifica, alla fonte di prova effettiva. In caso di affermazioni decisive, si fa riferimento agli artefatti e ai dati primari su cui si basano.
Anche una constatazione negativa va formulata in modo differenziato. Se, ad esempio, non è possibile dimostrare alcuna fuga di dati, ciò costituisce un’esclusione attendibile solo se la telemetria disponibile consente effettivamente tale esclusione. In assenza di registri pertinenti, è necessario indicare espressamente i limiti della constatazione.
Per gli assicuratori ciò costituisce una solida base tecnica: cosa è stato dimostrato? Cosa è tecnicamente plausibile, ma non dimostrato? Quale ipotesi è stata confutata? E a quale domanda non è più possibile rispondere in modo affidabile sulla base dei dati ottenuti?
Il nostro modo di lavorare
Perché LanCologne?
LanCologne non mira a un risultato normativo desiderato. È determinante esclusivamente la questione probatoria tecnica concreta. Un riscontro che confermi le dichiarazioni del contraente ha lo stesso valore di una contraddizione dimostrabile. Laddove i dati non consentano di trarre conclusioni certe, non si sostituisce una presunzione alla prova.
Tracciabilità e riproducibilità
Le conclusioni principali vengono illustrate con un linguaggio comprensibile. La parte tecnica documenta le fonti di dati rilevanti, lo stato delle misure di sicurezza e delle indagini, le informazioni sull’integrità, i riferimenti temporali, gli artefatti e le fasi di convalida. Ciò consente a un altro esperto qualificato in informatica forense di verificare dal punto di vista tecnico le affermazioni fondamentali.
LanCologne come supporto tecnico indipendente in caso di sinistri relativi alle assicurazioni contro i rischi informatici
In caso di sinistri informatici e aziendali complessi, LanCologne affianca gli assicuratori con una ricostruzione oggettiva, imparziale e tecnicamente verificabile. L’attenzione non è rivolta al software utilizzato né a un risultato prestabilito, bensì alla questione di cosa sia effettivamente possibile dimostrare sulla base delle tracce digitali disponibili.
Quadro giuridico
Per la verifica tecnica del danno, l’articolo 31 della VVG costituisce un importante punto di partenza. In base a tale disposizione, dopo il verificarsi del sinistro, l’assicuratore può richiedere le informazioni necessarie per accertare l’esistenza del sinistro o l’entità del proprio obbligo di prestazione. È possibile richiedere la documentazione giustificativa alle condizioni ivi previste. Da ciò non deriva tuttavia un diritto illimitato a effettuare un'analisi forense completa di tutti i dati aziendali o personali.
Per quanto riguarda gli interventi successivi al verificarsi del sinistro, può essere rilevante anche l’articolo 82 della Legge tedesca sul contratto di assicurazione (VVG). La norma riguarda la prevenzione e la riduzione del danno, nonché le istruzioni ragionevoli impartite dall’assicuratore. Se una specifica misura di risposta agli incidenti adempia o violi un obbligo contrattuale assicurativo e quali conseguenze giuridiche ne derivino è una questione di diritto. Dal punto di vista dell’informatica forense è possibile solo esaminare quale fosse la situazione tecnica in quel determinato momento e se una misura fosse comprensibile dal punto di vista tecnico.
Nella misura in cui vengono trattati dati personali, si applicano in particolare i principi di cui all’art. 5 del RGPD, nonché il requisito di una base giuridica ai sensi dell’art. 6 del RGPD. L’ambito dell’indagine e le fonti dei dati devono pertanto limitarsi alla questione probatoria concreta e alla finalità giuridicamente ammissibile.
Qualora in seguito dovesse sorgere una controversia giudiziaria, la valutazione delle prove spetta al tribunale. L’articolo 286 del Codice di procedura civile (ZPO) disciplina la libera valutazione delle prove; l’articolo 287 del Codice di procedura civile (ZPO) contiene disposizioni specifiche per l’accertamento del danno e dell’entità dello stesso. Un’indagine informatica forense commissionata privatamente fornisce fatti tecnici e la loro deduzione comprensibile, ma non sostituisce una decisione giudiziaria.
Domande frequenti
LanCologne – Informatica forense per le compagnie assicurative
Avete una questione di natura digitale? LanCologne vi assiste con un’indagine informatica forense obiettiva e imparziale.
In linea con questo argomento
- In che modo un'assicurazione può distinguere tra dati compromessi e dati effettivamente sottratti?
- Come si può ricostruire dal punto di vista tecnico un caso di Business Email Compromise?
- Come è possibile verificare se un ordine di pagamento fraudolento sia stato effettivamente inviato da un account di posta elettronica compromesso?
- In che modo un'assicurazione può far verificare una presunta acquisizione di un account Microsoft 365 o cloud?