Un attacco informatico pone spesso le aziende, in pochissimo tempo, di fronte a questioni tecniche, organizzative e legali di ampia portata. Oltre a contenere l’incidente e a ripristinare l’operatività aziendale, è necessario chiarire cosa sia effettivamente accaduto, quali sistemi siano stati colpiti, fino a che punto un eventuale aggressore sia penetrato nell’infrastruttura e se i dati siano stati consultati, modificati, cancellati o trasferiti.
Attacco informatico in azienda: cosa è successo realmente?
A seguito di un incidente di sicurezza, i singoli avvisi generati da un sistema di sicurezza spesso non sono sufficienti per valutare la reale portata di un attacco. Un account utente compromesso, una connessione di rete sospetta o un malware presente su un singolo sistema possono rappresentare solo una parte di un incidente di portata ben più ampia.
L’indagine informatica forense adotta quindi un approccio trasversale. A seconda delle prove disponibili, è possibile esaminare, tra l’altro, le seguenti questioni:
- Quando è possibile individuare i primi segnali di una violazione?
- In che modo potrebbe essere avvenuto l'accesso iniziale all'infrastruttura?
- Quali sistemi e account utente sono stati interessati?
- Sono stati utilizzati account amministrativi o con privilegi?
- Un aggressore si è spostato all’interno dell’infrastruttura?
- Sono state implementate ulteriori vie di accesso o meccanismi di persistenza?
- Quali file e quali set di dati sono stati consultati?
- Esistono indicazioni tecniche che facciano supporre una trasmissione o un’esfiltrazione di dati?
- I dati sono stati modificati, crittografati o cancellati?
- Quali meccanismi di sicurezza potrebbero essere stati aggirati o manomessi?
- Quali sistemi esterni o indirizzi IP hanno partecipato alla comunicazione?
- Quali indicatori di compromissione è possibile identificare?
- È tecnicamente possibile ricostruire il percorso di ingresso originario?
- Quali conseguenze dell'incidente possono essere dimostrate sulla base delle tracce disponibili?
Un’indagine forense seria deve anche evidenziare quali questioni non possano trovare una risposta inequivocabile sulla base dei dati disponibili. Non ogni anomalia tecnica costituisce una prova. Per questo motivo distinguiamo tra fatti accertati, indizi tecnici, conclusioni che se ne possono trarre e circostanze che, sulla base dei dati disponibili, non possono essere valutate in modo definitivo.
Perché è importante effettuare un’analisi forense tempestiva
Le tracce digitali sono in parte effimere. I file di log vengono sovrascritti, i sistemi cloud e di sicurezza hanno tempi di conservazione limitati, la memoria di lavoro cambia continuamente e, a seguito di interventi amministrativi, gli artefatti rilevanti possono essere modificati o distrutti.
Una volta reso noto un attacco informatico, si crea spesso un conflitto tra tre obiettivi: Contenere l'attacco – garantire la continuità operativa – conservare le tracce digitali.
Un'indagine forense non deve ritardare in modo inopportuno le misure necessarie per contenere un attacco in corso. Allo stesso tempo, i sistemi e le fonti di dati rilevanti dovrebbero, per quanto possibile, essere messi al sicuro prima di procedere a nuove installazioni, operazioni di pulizia o altre modifiche di ampia portata.
LanCologne può fornire supporto già in una fase iniziale per identificare le fonti di dati rilevanti ai fini dell’analisi forense e stabilire le priorità delle fasi successive dell’indagine. Come Coordinare la raccolta delle prove e le misure di contenimento, è una delle prime questioni pratiche da affrontare.
Valutazione forense preliminare dell'incidente di sicurezza
In primo luogo vengono raccolti i fatti noti fino a quel momento. Tra questi figurano, ad esempio, la data e le modalità della scoperta, le anomalie già individuate, i sistemi interessati, i messaggi di sicurezza presenti, gli account utente noti, le contromisure adottate e l’infrastruttura IT esistente.
Successivamente, insieme al committente, vengono definiti gli obiettivi concreti dell’analisi. In caso di incidenti di ampia portata, questo approccio consente di stabilire un ordine di priorità tra i sistemi e le fonti di dati particolarmente rilevanti.
Quali sistemi e fonti di dati vengono esaminati?
A seconda dell’infrastruttura e dell’incidente, possono essere interessati, ad esempio, sistemi Windows, Linux e macOS, Server e postazioni di lavoro, Active Directory e infrastrutture di identità, sistemi virtuali, firewall, sistemi VPN, componenti di rete, Microsoft 365, Azure, altri servizi cloud, sistemi di posta elettronica, dati EDR, XDR e SIEM, log di sicurezza e di sistema, dati di rete e di connessione, supporti dati, supporti di memorizzazione esterni, memoria di lavoro e sistemi di backup.
Non è il numero dei sistemi esaminati a essere determinante, bensì la loro rilevanza forense ai fini della ricostruzione dell'incidente.
A seconda della piattaforma in questione, ci avvaliamo della disciplina specialistica pertinente – ad esempio la Analisi forense dei sistemi Windows, lo studio di Linux-Servern, Analisi forense di macOS oppure l'analisi dispositivi mobili.
Conservazione e acquisizione delle prove digitali
Nella misura in cui la situazione lo richieda e sia tecnicamente possibile, i dati rilevanti vengono sottoposti a backup forense. In tale contesto, è possibile documentare i valori di integrità e separare i dati originali dalle copie di lavoro utilizzate per l’analisi.
Nel caso di analisi rilevanti ai fini probatori, è possibile tenere anche una “chain of custody” documentata. L’obiettivo è quello di documentare in modo tracciabile la provenienza e l’integrità dei dati analitici rilevanti.
Una questione pratica che si pone durante il funzionamento è quella di, quali dati di log dovrebbero essere conservati come prove – e come con file di log cancellati o alterati come comportarsi.
Analisi della compromissione
I dati salvati vengono analizzati alla ricerca di indizi che possano indicare una possibile compromissione. Tra questi possono figurare:
- processi e programmi sospetti
- accessi insoliti e account appena creati
- Modifiche alle autorizzazioni
- Accessi remoti e attività tramite PowerShell o riga di comando
- attività pianificate, servizi e meccanismi di avvio automatico
- Connessioni di rete e malware
- file di sistema manomessi e altri elementi rilevanti
Una questione secondaria fondamentale in questo contesto è:, quali sistemi siano stati effettivamente compromessi – e quelli che si presume siano semplicemente coinvolti.
Ricostruzione della dinamica dell'attacco – Cronologia dell'incidente
Uno degli obiettivi principali delle indagini informatiche forensi su larga scala consiste nella ricostruzione cronologica dell'incidente. Gli eventi provenienti da diversi sistemi e fonti di dati vengono messi in relazione tra loro.
In questo modo è possibile ricostruire gradualmente un quadro d’insieme: quando è iniziato l’attacco? Quale sistema è stato colpito per primo? Quali account sono stati poi utilizzati? Quali sistemi sono stati successivamente compromessi? Quando i dati sono stati consultati, modificati o crittografati?
Come una tale Cronologia degli attacchi di un incidente informatico Come nasce e quali sono i suoi limiti: ne parleremo a parte. Se sono coinvolti più fornitori di servizi, si pone inoltre la questione relativa a una cronologia comune.
Accesso iniziale e analisi delle cause alla radice
Nella misura in cui le tracce disponibili lo consentano, si analizzerà in che modo potrebbe essersi verificato l’accesso iniziale all’infrastruttura. Tra le possibili cause figurano dati di accesso compromessi, servizi esposti, vulnerabilità di sicurezza, e-mail manomesse, accessi remoti o altre vie di attacco tecniche.
Una causa non viene considerata accertata solo perché appare tecnicamente plausibile. Ciò che conta è quale conclusione sia supportata dagli elementi effettivamente disponibili.
Approfondimento: Analisi delle cause alla radice di un attacco informatico, Determinare in modo forense il percorso di ingresso e Verifica tecnica di un sospetto caso di phishing.
Movimento laterale, estensione delle autorizzazioni e persistenza
Nel caso di attacchi più complessi, spesso l’autore dell’attacco non si limita al sistema inizialmente compromesso. È quindi possibile verificare se siano stati presi di mira altri sistemi, se siano state utilizzate credenziali di accesso, se siano stati compromessi account con privilegi o se siano stati impiegati strumenti amministrativi. In questo modo è spesso possibile determinare con maggiore precisione l’effettiva portata di un incidente.
Movimento laterale
Si sta verificando se e in che modo siano stati raggiunti altri sistemi all’interno dell’infrastruttura. Approfondimento: ricostruire i movimenti laterali all’interno dell’azienda.
Account privilegiati
L'utilizzo di account amministrativi modifica in modo significativo la portata di un incidente. Approfondimento: Compromissione degli account amministrativi e credenziali rubate.
Persistenza
Le attività pianificate, i servizi, i meccanismi di avvio automatico e gli accessi configurati in aggiunta possono consentire a un malintenzionato di ottenere un accesso permanente. Approfondimenti: Dimostrare l'esistenza dei meccanismi di persistenza.
Accesso ai dati e possibile esfiltrazione dei dati
Una delle domande più importanti che ci si pone dopo un attacco informatico è spesso se siano stati sottratti dati aziendali. A questo proposito, occorre distinguere chiaramente tra:
- I dati erano raggiungibile
- I dati sono stati richiamato
- I dati sono stati raccolti o, per così dire, preparati per un’eventuale trasmissione
- esistono note tecniche in merito a una trasmissione
- una trasmissione può compreso dal punto di vista tecnico diventare
LanCologne documenta quali di queste affermazioni siano supportate dalle prove disponibili. Qualora non sia possibile dimostrare un effettivo trasferimento di dati, non si deduce una presunta fuga di dati da un accesso teoricamente possibile.
Approfondimento: Verificare la presenza di indizi di esfiltrazione di dati, Limitare l'entità dei dati che potrebbero essere trapelati e Trattamento dei dati personali.
Far svolgere un’indagine forense su un incidente informatico
Si tratta di un incidente informatico in corso o già verificatosi in passato? Contattateci per discutere dell’infrastruttura interessata e delle questioni da chiarire.
Analisi forense informatica a seguito di un attacco ransomware
Un attacco ransomware non inizia necessariamente con la crittografia visibile dei dati. Tra l’accesso iniziale e la crittografia possono trascorrere ore, giorni o, in alcuni casi, periodi di tempo ancora più lunghi.
Durante questa fase potrebbero essere state raccolte credenziali di accesso, compromessi ulteriori sistemi, ampliate le autorizzazioni, modificati i meccanismi di sicurezza o analizzati i dati. La crittografia visibile può quindi rappresentare solo la fase finale di un attacco di portata ben più ampia.
Un'indagine forense su un ransomware può quindi comprendere, tra l'altro:
- Via di attacco iniziale e account utente interessati
- accessi privilegiati e spostamenti laterali
- Meccanismi di persistenza
- Manipolazione delle soluzioni di sicurezza
- Accessi a Server e alle banche dati
- Segnali di esfiltrazione di dati
- Fasi temporali fino alla crittografia
L'obiettivo è quello di ricostruire l'incidente, per quanto tecnicamente possibile, dal primo evento rilevabile fino alle conseguenze visibili.
Approfondimento: Periodo intercorso tra la prima compromissione e la crittografia, Determinare l'ambito di applicazione della crittografia e Ransomware sui sistemi Linux.
Microsoft 365, cloud e infrastrutture di identità
Microsoft 365, Azure, altri servizi cloud, nonché Active Directory e altre infrastrutture di identità rientrano tra le fonti di dati che possono essere acquisite e analizzate nell’ambito di un’indagine. Le conclusioni che è possibile trarre dipendono dai dati di audit e di accesso disponibili e dal periodo di conservazione degli stessi.
Approfondimento: Indagare su una violazione di Microsoft 365, Sessioni cloud attive dopo un attacco, Furto di token di sessione e Reimpostazione delle credenziali di accesso e dei token compromessi.
Analisi forense per le assicurazioni contro i rischi informatici
A seguito di un incidente informatico, la causa, la portata e le conseguenze di un evento di sicurezza possono essere rilevanti anche ai fini della liquidazione del sinistro nell’ambito di un’assicurazione contro i rischi informatici. LanCologne supporta le aziende e – a seconda del mandato – gli assicuratori o gli enti da essi incaricati nell’analisi tecnica dell’accaduto.
In particolare, è possibile documentare la causa e la cronologia degli eventi, i sistemi informatici interessati, l’entità della compromissione rilevabile, gli indizi di accessi non autorizzati, gli accessi ai dati e la possibile fuga di dati, manipolazione o crittografia dei dati, le ripercussioni tecniche sull’attività aziendale, nonché le misure di indagine e di sicurezza adottate.
L'ambito concreto dell'indagine può essere concordato con le parti interessate e suddiviso in fasi di progetto chiaramente definite. Non rilasciamo dichiarazioni in merito alla copertura assicurativa, al diritto al risarcimento o alla responsabilità legale.
Approfondimento: Informatica forense per le compagnie assicurative e Verificare l'esfiltrazione dei dati prima della crittografia.
Informatica forense nel contesto di NIS2 e BSIG
Per le strutture di particolare importanza e quelle importanti, l’articolo 32 della BSIG prevede obblighi di segnalazione graduali in caso di incidenti di sicurezza rilevanti, a partire da una segnalazione iniziale entro 24 ore dal momento in cui se ne viene a conoscenza, seguita da un’ulteriore segnalazione entro 72 ore e da una successiva segnalazione conclusiva.
Stabilire se, in un caso specifico, un’azienda sia soggetta all’obbligo di segnalazione e quali siano i termini concretamente applicabili richiede una valutazione giuridica. Noi non effettuiamo tale valutazione. Il nostro compito è l’analisi tecnica.
Un’analisi forense informatica può fornire informazioni relative alla data e allo svolgimento dell’incidente, ai sistemi interessati, alle ripercussioni tecniche, agli indicatori di compromissione, alla possibile causa e alla portata della compromissione – ovvero la base fattuale tecnica su cui deve fondarsi una segnalazione.
Aggiornamento delle informazioni normative: agosto 2026. Il presente testo non sostituisce in alcun modo una consulenza legale.
Analizzare in modo strutturato incidenti informatici di ampia portata
Non tutti gli incidenti informatici richiedono lo stesso livello di approfondimento nell'indagine. Una singola postazione di lavoro compromessa è ben diversa da un incidente in cui potrebbero essere coinvolte più sedi, Server, Active Directory, servizi cloud e centinaia di dispositivi finali.
Per questo motivo, le analisi di ampia portata vengono suddivise in fasi di progetto ben definite. Dopo una prima valutazione tecnica, è possibile stabilire gli obiettivi dell'analisi, le priorità, i sistemi rilevanti e le risorse necessarie.
In questo modo, anche in caso di incidenti complessi, è possibile comprendere chiaramente quali aspetti vengono esaminati, quali sistemi sono necessari a tal fine, quali informazioni sono già disponibili e quali ulteriori fasi investigative siano tecnicamente opportune.
Risultati per la direzione aziendale e i responsabili delle decisioni
Un incidente informatico non deve essere inteso solo dal punto di vista tecnico. La direzione aziendale, l’ufficio legale, gli assicuratori e altri responsabili delle decisioni necessitano spesso di una rappresentazione diversa rispetto a quella fornita dagli specialisti IT direttamente coinvolti.
Pertanto, in caso di analisi approfondite, la documentazione tecnica dettagliata può essere integrata da una sintesi gestionale. Questa riassume in modo comprensibile i risultati essenziali e distingue tra constatazioni certe, indizi tecnici, valutazioni che ne derivano e incertezze residue.
Approfondimento: Relazione finale tecnicamente attendibile per la direzione aziendale e Documentazione delle decisioni della direzione.
Cosa possono ottenere le aziende al termine dell'indagine
Relazione sull’indagine forense
Documentazione relativa all'incarico di analisi, alla base dati, alla procedura, ai risultati rilevanti e alle conclusioni tecniche.
Cronologia degli incidenti
Descrizione cronologica degli eventi rilevanti per l'incidente di sicurezza.
Sintesi gestionale
Sintesi dei risultati principali destinati alla direzione aziendale e ai responsabili delle decisioni.
Panoramica dei sistemi e degli account interessati
Illustrazione dei componenti individuati nel corso dell’indagine o che potrebbero essere interessati.
Indicatori di compromissione
Documentazione degli indicatori tecnici di compromissione rilevanti, se disponibili.
Analisi delle cause
Valutazione della dinamica dell'evento tecnicamente plausibile e della causa sottostante, nella misura in cui ciò sia possibile sulla base delle tracce disponibili.
Valutazione dei possibili accessi ai dati e delle fuoriuscite di dati
Una descrizione dettagliata di ciò che è stato effettivamente possibile accertare sulla base dei dati disponibili.
Documentazione relativa alla conservazione delle prove
Se previsto dal contratto: documentazione relativa ai backup dei dati, ai valori di integrità e alla catena di custodia.
Impianti tecnici
Elementi rilevanti, tabelle, estratti di log, screenshot e altra documentazione tecnica.
Perché scegliere LanCologne per le indagini informatiche forensi?
Analisi forense anziché semplice risoluzione dei problemi
Il nostro obiettivo non è solo quello di ripristinare il funzionamento di un sistema compromesso. Analizziamo le tracce digitali con l’obiettivo di ricostruire in modo comprensibile l’effettivo svolgimento dell’incidente.
Laboratorio forense interno
La raccolta delle prove e le analisi possono essere effettuate all'interno della nostra infrastruttura forense.
Fonti di dati diverse – un quadro d'insieme
Spesso un incidente di sicurezza non può essere spiegato sulla base di un singolo file di log. Per questo motivo è possibile correlare tra loro i dati provenienti da dispositivi finali, Servern, sistemi di identità, componenti di rete, servizi cloud e soluzioni di sicurezza.
I risultati ottenuti con gli strumenti vengono valutati in modo critico
Gli strumenti forensi e di sicurezza supportano l'indagine, ma non sostituiscono la valutazione tecnica. I risultati rilevanti vengono verificati, per quanto possibile, sulla base di ulteriori elementi e fonti di dati.
Limiti trasparenti di dichiarazione
Il fatto che un’azione sia tecnicamente possibile non costituisce di per sé una prova che essa si sia effettivamente verificata. Per questo motivo documentiamo non solo le constatazioni, ma anche il loro valore probatorio e i limiti tecnici.
Per quanto riguarda la qualificazione: Esperto di informatica forense certificato TÜV a Colonia.
È stato rilevato un attacco informatico: cosa fare adesso?
In caso di incidente informatico in corso o scoperto di recente, è necessario coordinare le misure di contenimento, ripristino e conservazione delle prove.
Nella misura in cui la situazione di pericolo concreta lo consenta, i sistemi e i dati potenzialmente rilevanti non dovrebbero essere modificati inutilmente. In particolare, nuove installazioni non coordinate, operazioni di pulizia, la cancellazione di account utente o di dati di log, nonché modifiche di ampia portata ai sistemi interessati possono rendere più difficile la successiva ricostruzione.
Allo stesso tempo, il contenimento di un attacco in corso riveste un’elevata priorità. Pertanto, occorre innanzitutto chiarire quanto segue:
- quali sistemi sono interessati
- quali misure sono immediatamente necessarie
- quali fonti di dati devono essere ottenute in tempi brevi
- quali sistemi presentano il massimo valore informativo dal punto di vista forense
- quali misure sono già state attuate
Approfondimento: Isolare i sistemi dopo un attacco informatico e Pulizia o ripristino di un sistema compromesso.
Informatica forense a seguito di attacchi informatici – con sede a Colonia, operante su tutto il territorio nazionale
In caso di incidente informatico acuto, siamo reperibili 24 ore su 24, 7 giorni su 7 – 365 giorni all'anno, a qualsiasi ora: +49 (0)221 64306610. L'orario di apertura standard è dal lunedì al venerdì dalle 08:00 alle 18:00.
LanCologne ha sede in Horbeller Straße 31, 50858 Colonia. Dal 2015 conduciamo indagini su tutto il territorio federale.
Per le aziende dell’area metropolitana di Colonia, questa sede garantisce percorsi brevi: i supporti dati possono essere consegnati di persona e, se necessario, è possibile eseguire il backup dei sistemi interessati direttamente in loco – ad esempio quando il trasporto non è fattibile dal punto di vista operativo o non è opportuno ai fini dell’analisi forense.
La base professionale è costituita da una qualifica in materia di analisi forense dei dispositivi mobili e di Windows, verificata dal TÜV Rheinland e consultabile pubblicamente nella banca dati dei certificati Certipedia con il numero di certificazione 0000067863.
Domande frequenti
Quanto costa un'indagine informatica forense a seguito di un attacco informatico?
In caso di incidenti informatici complessi non è possibile fornire un preventivo forfettario attendibile. L'impegno richiesto dipende, tra l'altro, dal numero e dal tipo di sistemi interessati, dal volume dei dati, dall'infrastruttura, dal periodo oggetto dell'indagine, dai log disponibili e dalla problematica concreta. Dopo una prima valutazione tecnica, è possibile definire l'ambito dell'indagine e, in caso di incidenti di maggiore entità, suddividerlo in singole fasi di progetto.
Entro quanto tempo dovrebbe iniziare un'indagine a seguito di un incidente informatico?
In linea di principio, il prima possibile, poiché alcune tracce digitali sono effimere o possono essere modificate o sovrascritte durante il normale funzionamento. Allo stesso tempo, occorre tenere conto delle misure necessarie per contenere un attacco in corso.
È possibile stabilire in che modo un hacker sia riuscito a penetrare nell'azienda?
In molti casi è possibile ricostruire la possibile via di ingresso sulla base di diversi reperti. Tuttavia, la possibilità di giungere a una conclusione univoca dipende dai dati disponibili e dai cambiamenti intervenuti nel frattempo.
È possibile stabilire se i dati aziendali siano stati rubati?
Ciò dipende dalle prove disponibili. In alcuni casi è possibile ricostruire le trasmissioni concrete di dati. In altri casi si può solo constatare che determinati dati erano accessibili o sono stati consultati. Nella nostra valutazione questi aspetti vengono chiaramente distinti l’uno dall’altro.
È possibile ricostruire un attacco ransomware?
Se le tracce disponibili lo consentono, sì. È possibile analizzare, tra l’altro, la via di attacco iniziale, gli account utente interessati, gli accessi privilegiati, i movimenti laterali, i meccanismi di persistenza, gli accessi alle banche dati, gli indizi di esfiltrazione dei dati e la sequenza temporale fino alla crittografia.
È possibile indagare anche su attacchi informatici avvenuti in passato?
Sì. È possibile indagare anche su incidenti avvenuti in passato. Tuttavia, la profondità dell'indagine dipende, tra l'altro, dai sistemi ancora disponibili, dalla durata di conservazione dei dati di log e dalle modifiche apportate dopo l'incidente.
Quali sistemi vengono esaminati in caso di incidente informatico?
A seconda dell’infrastruttura e dell’incidente, possono essere esaminati, tra l’altro, sistemi Windows, Linux e macOS, Server e postazioni di lavoro, Active Directory e infrastrutture di identità, sistemi virtuali, firewall, componenti VPN e di rete, Microsoft 365 e altri servizi cloud, sistemi di posta elettronica, dati EDR, XDR e SIEM, dati di log, supporti di dati, memoria di lavoro e sistemi di backup. Ciò che conta non è il numero, ma la rilevanza forense.
Di quali dati ha bisogno un esperto di informatica forense?
Ai fini della valutazione iniziale, sono rilevanti innanzitutto i fatti noti, il momento e le modalità della scoperta, le anomalie già individuate, i rapporti di sicurezza disponibili, i sistemi e gli account interessati, nonché le contromisure già attuate. I dati da sottoporre a backup in seguito derivano dagli obiettivi dell'indagine definiti di comune accordo.
È possibile sottoporre Microsoft 365 a un’analisi forense?
Sì, a seconda dei dati di log disponibili. Microsoft 365, Azure e altri servizi cloud rientrano tra le fonti di dati che possono essere acquisite e analizzate nell'ambito di un'indagine. Le conclusioni che è possibile trarre dipendono dai dati di audit e di accesso disponibili nel singolo cliente e dal periodo di conservazione di tali dati.
È possibile analizzare un Active Directory compromesso?
Active Directory e altre infrastrutture di identità rientrano tra le fonti di dati rilevanti ai fini dell’analisi forense. È possibile esaminare, ad esempio, le operazioni di accesso, gli account di nuova creazione, le modifiche alle autorizzazioni e l’utilizzo di account con privilegi. La possibilità di ricavarne un quadro completo dipende dai dati di log disponibili e dalla loro durata di conservazione.
Che ruolo svolge l'informatica forense nell'ambito di un'assicurazione contro i rischi informatici?
A seconda dell’incarico, il rapporto tecnico di perizia può essere strutturato in modo tale che le constatazioni tecniche rilevanti siano presentate in modo comprensibile per gli assicuratori o per gli organismi da essi incaricati. Le informazioni necessarie nel caso specifico di sinistro dipendono dal contratto assicurativo e dall’incarico. Non forniamo indicazioni in merito alla copertura assicurativa.
Qual è il ruolo dell’informatica forense negli incidenti di sicurezza rilevanti ai fini della direttiva NIS2?
Siamo in grado di esaminare e documentare gli aspetti tecnici di un incidente di sicurezza. La valutazione giuridica di un specifico obbligo di segnalazione dovrebbe essere effettuata dagli organi competenti in materia o dal servizio di consulenza legale dell’azienda.
Una perizia forense può essere utilizzata in seguito a fini legali?
Se ciò è già noto al momento dell’assegnazione dell’incarico, la conservazione delle prove, la documentazione e lo svolgimento delle indagini possono essere organizzati di conseguenza. Tuttavia, non sarebbe serio fornire una garanzia generica in merito alla successiva valutazione da parte del tribunale; spetta infatti in ultima istanza al tribunale competente decidere in merito al valore probatorio.
Non limitarsi a risolvere un incidente informatico, ma comprenderlo
A seguito di un incidente di sicurezza, le decisioni tecniche possono avere conseguenze di ampia portata. LanCologne offre supporto per la raccolta delle tracce digitali rilevanti, l’analisi strutturata dell’incidente e la documentazione trasparente dei risultati ottenuti.