Informatica forense · Aziende

Wie kann eine Microsoft-365-Kompromittierung forensisch eingegrenzt werden?

Cloudvorfälle verteilen sich auf Identität, Mail, Dateien, Apps, Tokens und Administration und lassen sich nicht allein auf einem Endgerät rekonstruieren.

Richiesta non vincolante

Perché questa domanda è importante per un’azienda

A seguito di un attacco informatico, le decisioni di natura tecnica, economica, relative alla protezione dei dati e normative possono dipendere dalla stessa questione di fatto. Una ricostruzione attendibile deve quindi distinguere chiaramente tra attività comprovata, possibilità tecnica e mera supposizione.

Approccio tecnico di analisi

Wir korrelieren die im Tenant verfügbaren Audit-, Sign-in-, Mail-, Datei- und Administrationsdaten mit Endpoint- und Netzwerkquellen.

Dove si trova il limite della dichiarazione

Die Aussagekraft hängt von Lizenzierung, aktivierter Protokollierung und Retention zum Vorfallszeitpunkt ab.

Perché LanCologne?

A seguito di un attacco informatico, un’azienda ha innanzitutto bisogno di sicurezza e operatività. Per le decisioni successive, tuttavia, non è sufficiente sapere semplicemente che ‚si è verificato un attacco‘. La direzione aziendale, i responsabili della protezione dei dati, i consulenti legali, le compagnie assicurative e, se del caso, le autorità hanno bisogno di risposte attendibili a domande concrete sui fatti.

LanCologne distingue quindi tra individuazione, primo accesso, compromissione, persistenza, movimento laterale, accesso ai dati, possibile esfiltrazione e atto concreto di danno. Queste fasi possono essere molto distanziate nel tempo e non devono essere equiparate tra loro.

Le constatazioni fondamentali vengono, per quanto possibile, correlate sulla base di diverse fonti di dati indipendenti. I dati relativi agli endpoint, alla rete, all’identità, al cloud e al sistema presentano ciascuno i propri limiti di attendibilità. Per noi, un allarme automatizzato o un report di prodotto non costituisce di per sé una fonte di prova, ma un punto di partenza per la verifica dei dati primari sottostanti.

Anche le ipotesi contrarie fanno parte dell'indagine. Un accesso insolito può, ad esempio, essere spiegato con operazioni amministrative legittime, un'infrastruttura VPN, servizi automatizzati o credenziali di accesso compromesse. Solo la correlazione di ulteriori indizi consente una classificazione attendibile.

In caso di mancanza di dati fondamentali, tale lacuna non viene colmata con supposizioni. Proprio nel caso di incidenti informatici, l’affermazione ‚non è possibile stabilirlo con certezza sulla base dei dati ricevuti‘ ha un valore tecnico maggiore rispetto a una cronologia dell’attacco apparentemente inequivocabile, ma che non può essere comprovata in modo riproducibile.

Il nostro modo di lavorare

La risposta agli incidenti e l’analisi forense perseguono obiettivi diversi ma complementari

Il contenimento di un attacco in corso ha innanzitutto lo scopo di proteggere l’azienda. La ricostruzione forense chiarisce successivamente, o parallelamente, cosa sia effettivamente accaduto. Le misure di sicurezza necessarie non vengono quindi tralasciate solo per preservare uno stato probatorio ideale; le modifiche inevitabili vengono documentate per quanto possibile.

Perché LanCologne dopo un attacco informatico?

LanCologne non orienta l’indagine in base a una scenario di attacco ipotetico. Ciò che conta sono le informazioni tecniche effettivamente contenute nei dati primari raccolti. I risultati a carico, a discarico e ancora da chiarire vengono documentati in modo trasparente, affinché la direzione aziendale e i consulenti legali possano prendere decisioni sulla base di fatti verificabili.

L'art. 32 del GDPR impone ai titolari del trattamento e ai responsabili del trattamento di garantire un livello di protezione adeguato al rischio. Tra gli altri, vengono menzionati la riservatezza, l'integrità, la disponibilità e la resilienza, nonché la capacità di ripristinare tempestivamente la disponibilità e l'accesso a seguito di un incidente tecnico o fisico.

Qualora, in seguito a un incidente informatico, si sia verificata una violazione della protezione dei dati personali, può trovare applicazione l’art. 33 del GDPR. In base a tale disposizione, una violazione soggetta all’obbligo di notifica deve essere segnalata all’autorità di controllo competente, in linea di principio senza indugio e, se possibile, entro 72 ore dal momento in cui se ne viene a conoscenza, a meno che non si preveda che essa comporti un rischio per i diritti e le libertà delle persone fisiche. L’art. 33, comma 5, richiede inoltre la documentazione della violazione, delle sue conseguenze e delle misure correttive adottate. In caso di rischio presumibilmente elevato, l’art. 34 del GDPR può inoltre richiedere la notifica alle persone interessate. La verifica della sussistenza di tali presupposti è una valutazione ai sensi della normativa sulla protezione dei dati; l’informatica forense fornisce a tal fine i dati tecnici.

A partire dal 6 dicembre 2025, per determinate imprese private si applica la nuova versione della legge BSI relativa all’attuazione dei requisiti NIS 2. Per stabilire se un’impresa sia classificata come struttura particolarmente importante o importante, occorre effettuare una verifica concreta sulla base dell’attuale BSIG, dei settori, dei tipi di struttura e dei criteri dimensionali. Per le entità soggette alla normativa, la legge BSI prevede, tra l’altro, obblighi in materia di gestione dei rischi di sicurezza informatica e di incidenti di sicurezza; l’articolo 38 della legge BSI attribuisce ai dirigenti delle entità particolarmente importanti e importanti l’obbligo di attuare e monitorare le misure di gestione dei rischi.

Gli obblighi di segnalazione e documentazione previsti dalla legge possono essere soggetti a scadenze strette. LanCologne, tuttavia, non prende alcuna decisione giuridica definitiva in merito agli obblighi di segnalazione, alla responsabilità o alle responsabilità civili. Forniamo la base fattuale tecnicamente verificabile su cui la direzione aziendale, i responsabili della protezione dei dati e i consulenti legali possono basare le proprie decisioni.

Domande frequenti

🔗 Argomenti correlati