Informatica forense · Aziende

In che modo un'azienda può valutare in modo sicuro gli accessi di fornitori terzi e prestatori di servizi a seguito di un attacco informatico?

Nach einem Cyberangriff stehen Dienstleisterzugänge doppelt im Fokus: Sie werden für die Wiederherstellung gebraucht – und sie sind ein häufiger Einfallsweg. Die Frage ist, ob ein bestimmter Zugang im Angriffszeitraum genutzt wurde und ob er bedenkenlos wieder aktiviert werden kann.

Richiesta non vincolante

Perché questa domanda è importante per un’azienda

Nella fase di ripristino a seguito di un incidente informatico vengono prese decisioni tecniche che possono influire contemporaneamente sull’operatività, sulla conservazione delle prove, sulla protezione dei dati e sulla successiva dimostrabilità. Una documentazione accurata non solo tutela il sistema IT, ma crea anche una solida base fattuale per la direzione aziendale e la consulenza legale.

Technischer Hintergrund

Typische Zugänge sind Fernwartungssoftware (z. B. TeamViewer, AnyDesk, ScreenConnect), RMM-Agenten von Managed Service Providern, Site-to-Site-VPNs, Gastkonten in Entra ID und Service-Accounts. Wurde ein Dienstleister selbst kompromittiert, kann der Angriff über dessen legitime Werkzeuge laufen.

Relevante Spuren und Datenquellen

• Verbindungsprotokolle der Fernwartungs- und RMM-Software
• VPN- und Firewall-Logs mit Quell-IP
• Anmeldeereignisse der Dienstleisterkonten (lokal, AD, Entra ID)
• Installations- und Ausführungsspuren auf Endpunkten (Prefetch, Amcache, Dienste)

Grenzen

• Ein vorhandener Zugang belegt keine Verantwortlichkeit des Dienstleisters.
• Logs beim Dienstleister selbst sind nur mit dessen Mitwirkung verfügbar.

Mögliche Ergebnisse

• Zugangsweg identifiziert bzw. ausgeschlossen (im geprüften Umfang)
• Liste der Zugänge mit Bewertung

Perché LanCologne?

A seguito di un grave incidente informatico, il lavoro non si esaurisce con il blocco dell’attacco. L’azienda deve ripristinare i sistemi in modo controllato, valutare i dati e i backup, proteggere le identità, ricostruire le interruzioni operative e, al contempo, conservare le prove necessarie per eventuali questioni legali, assicurative o normative future.

So gehen wir vor

• Inventar aller externen Zugänge und Konten.
• Abgleich der Nutzung im Angriffszeitraum mit dokumentierten Wartungsfenstern.
• Bewertung je Zugang: genutzt, nicht genutzt, nicht beurteilbar.
• Empfehlung zur kontrollierten Wiederfreigabe.

Il recupero non deve alterare a posteriori le prove storiche

Un sistema ripristinato correttamente dopo l'incidente non fornisce automaticamente indicazioni sulle condizioni in cui si trovava prima o durante l'attacco. Per questo motivo documentiamo separatamente i risultati storici e le successive misure correttive. In questo modo si evita che lo stato migliorato dopo l'incidente venga considerato retroattivamente come prova di fatti precedenti.

Quadro giuridico e normativo

Nel trattamento dei dati personali continuano ad applicarsi, in particolare, i principi di cui all’art. 5 del GDPR, nonché il requisito di una base giuridica valida ai sensi dell’art. 6 del GDPR. L’art. 32 del GDPR richiede l’adozione di misure tecniche e organizzative adeguate, tenendo conto del rischio, e menziona, tra l’altro, la riservatezza, l’integrità, la disponibilità, la resilienza, nonché la capacità di ripristinare tempestivamente la disponibilità e l’accesso a seguito di un incidente.

In caso di violazione della protezione dei dati personali, possono trovare applicazione gli articoli 33 e 34 del GDPR. L'articolo 33 prevede, tra i suoi requisiti, una segnalazione all'autorità di controllo in linea di principio senza indugio e, per quanto possibile, entro 72 ore dal momento in cui se ne viene a conoscenza e, ai sensi del comma 5, richiede una documentazione della violazione, delle sue conseguenze e delle misure correttive adottate. In caso di rischio presumibilmente elevato, l’articolo 34 può inoltre richiedere la notifica alle persone interessate. Il rispetto dei rispettivi requisiti viene valutato alla luce della normativa sulla protezione dei dati; l’analisi forense fornisce i dati tecnici.

Per le imprese soggette alla nuova versione della legge BSI, in vigore dal dicembre 2025, potrebbero sussistere obblighi aggiuntivi per le strutture di particolare importanza e di importanza. A seconda della classificazione, questi includono requisiti relativi alla gestione dei rischi di sicurezza informatica e al trattamento o alla segnalazione di incidenti di sicurezza significativi. Gli obblighi della direzione aziendale sono espressamente disciplinati nell’attuale legge BSIG. Per stabilire se una determinata impresa rientri nel campo di applicazione e quali scadenze o obblighi si applichino nel singolo caso, è necessario verificare l’attuale classificazione giuridica.

Per quanto riguarda i dati dei dipendenti, possono essere rilevanti anche l’articolo 26 della BDSG e i diritti di cogestione aziendale. Anche nel corso di un incidente informatico, la possibilità tecnica di accesso non comporta una portata illimitata dell’indagine.

LanCologne fornisce valutazioni tecniche e ne documenta il ragionamento. Le decisioni relative agli obblighi di segnalazione, alla responsabilità, alle misure in materia di diritto del lavoro o ad altre conseguenze giuridiche sono di competenza degli organi aziendali competenti, dei responsabili della protezione dei dati e dei consulenti legali.

LanCologne per l'analisi forense e il ripristino controllato

LanCologne coniuga l’approfondimento tecnico con una presentazione comprensibile per i responsabili delle decisioni. Non ci limitiamo a documentare quali misure sono state attuate, ma anche su quali basi tecniche si fondano e quali sono i limiti della loro validità. Ciò garantisce la tracciabilità per la direzione aziendale, la consulenza legale, l’assicurazione e un’eventuale successiva verifica tecnica.

Domande frequenti

🔗 Argomenti correlati