Informatica forense · Aziende
In che modo un'azienda può rinnovare in modo controllato password, token e credenziali di accesso privilegiate compromesse a seguito di un attacco?
Un ripristino delle credenziali non coordinato può causare il mantenimento delle sessioni attive o l'interruzione di servizi critici.
Perché questa domanda è importante per un’azienda
Nella fase di ripristino a seguito di un incidente informatico vengono prese decisioni tecniche che possono influire contemporaneamente sull’operatività, sulla conservazione delle prove, sulla protezione dei dati e sulla successiva dimostrabilità. Una documentazione accurata non solo tutela il sistema IT, ma crea anche una solida base fattuale per la direzione aziendale e la consulenza legale.
Approccio tecnico di analisi
Supportiamo la sequenza tecnica sulla base di identità compromesse, privilegi, dipendenze, token, account di servizio e sessioni attive.
Dove si trova il limite della dichiarazione
La modifica della password non comporta necessariamente la chiusura di tutte le sessioni già attive o di qualsiasi altro meccanismo di autenticazione.
Perché LanCologne?
A seguito di un grave incidente informatico, il lavoro non si esaurisce con il blocco dell’attacco. L’azienda deve ripristinare i sistemi in modo controllato, valutare i dati e i backup, proteggere le identità, ricostruire le interruzioni operative e, al contempo, conservare le prove necessarie per eventuali questioni legali, assicurative o normative future.
LanCologne distingue quindi tra la risposta operativa agli incidenti e la ricostruzione forense, senza isolare artificialmente l’una dall’altra. Il contenimento e il ripristino proteggono l’azienda; l’analisi forense documenta ciò che è accaduto e quali elementi tecnici hanno giustificato le misure adottate.
Non operiamo secondo il principio di garantire la completa sicurezza del maggior numero possibile di sistemi. Sono determinanti la questione probatoria concreta, la natura effimera di una fonte di dati, il ruolo del sistema nell’attacco e il principio di proporzionalità. Viene data priorità ai dati primari particolarmente significativi.
Nel processo di ripristino distinguiamo tra accessibilità tecnica, funzionalità del sistema, utilizzabilità operativa e pieno funzionamento regolare. Allo stesso modo, la presenza dei backup, l’integrità dei backup e l’effettiva ripristinabilità non vengono considerate equivalenti.
La documentazione non giunge a una conclusione definitiva. Se uno spegnimento preventivo era tecnicamente giustificabile, anche se in seguito non è stato possibile dimostrare alcuna compromissione, entrambe le affermazioni possono essere corrette allo stesso tempo. Sono proprio queste sfumature a rendere attendibile una valutazione successiva.
Il nostro modo di lavorare
Il recupero non deve alterare a posteriori le prove storiche
Un sistema ripristinato correttamente dopo l'incidente non fornisce automaticamente indicazioni sulle condizioni in cui si trovava prima o durante l'attacco. Per questo motivo documentiamo separatamente i risultati storici e le successive misure correttive. In questo modo si evita che lo stato migliorato dopo l'incidente venga considerato retroattivamente come prova di fatti precedenti.
Quadro giuridico e normativo
Nel trattamento dei dati personali continuano ad applicarsi, in particolare, i principi di cui all’art. 5 del GDPR, nonché il requisito di una base giuridica valida ai sensi dell’art. 6 del GDPR. L’art. 32 del GDPR richiede l’adozione di misure tecniche e organizzative adeguate, tenendo conto del rischio, e menziona, tra l’altro, la riservatezza, l’integrità, la disponibilità, la resilienza, nonché la capacità di ripristinare tempestivamente la disponibilità e l’accesso a seguito di un incidente.
In caso di violazione della protezione dei dati personali, possono trovare applicazione gli articoli 33 e 34 del GDPR. L'articolo 33 prevede, tra i suoi requisiti, una segnalazione all'autorità di controllo in linea di principio senza indugio e, per quanto possibile, entro 72 ore dal momento in cui se ne viene a conoscenza e, ai sensi del comma 5, richiede una documentazione della violazione, delle sue conseguenze e delle misure correttive adottate. In caso di rischio presumibilmente elevato, l’articolo 34 può inoltre richiedere la notifica alle persone interessate. Il rispetto dei rispettivi requisiti viene valutato alla luce della normativa sulla protezione dei dati; l’analisi forense fornisce i dati tecnici.
Per le imprese soggette alla nuova versione della legge BSI, in vigore dal dicembre 2025, potrebbero sussistere obblighi aggiuntivi per le strutture di particolare importanza e di importanza. A seconda della classificazione, questi includono requisiti relativi alla gestione dei rischi di sicurezza informatica e al trattamento o alla segnalazione di incidenti di sicurezza significativi. Gli obblighi della direzione aziendale sono espressamente disciplinati nell’attuale legge BSIG. Per stabilire se una determinata impresa rientri nel campo di applicazione e quali scadenze o obblighi si applichino nel singolo caso, è necessario verificare l’attuale classificazione giuridica.
Per quanto riguarda i dati dei dipendenti, possono essere rilevanti anche l’articolo 26 della BDSG e i diritti di cogestione aziendale. Anche nel corso di un incidente informatico, la possibilità tecnica di accesso non comporta una portata illimitata dell’indagine.
LanCologne fornisce valutazioni tecniche e ne documenta il ragionamento. Le decisioni relative agli obblighi di segnalazione, alla responsabilità, alle misure in materia di diritto del lavoro o ad altre conseguenze giuridiche sono di competenza degli organi aziendali competenti, dei responsabili della protezione dei dati e dei consulenti legali.
LanCologne per l'analisi forense e il ripristino controllato
LanCologne coniuga l’approfondimento tecnico con una presentazione comprensibile per i responsabili delle decisioni. Non ci limitiamo a documentare quali misure sono state attuate, ma anche su quali basi tecniche si fondano e quali sono i limiti della loro validità. Ciò garantisce la tracciabilità per la direzione aziendale, la consulenza legale, l’assicurazione e un’eventuale successiva verifica tecnica.
Domande frequenti
In che modo un'azienda può rinnovare in modo controllato password, token e credenziali di accesso privilegiate compromesse a seguito di un attacco?
Come si svolge in pratica un’indagine tecnica di questo tipo?
L'indagine fornisce sempre un risultato inequivocabile a sfavore o a favore di una delle persone coinvolte?
Esiste una base giuridica in merito?
In caso di violazione della protezione dei dati personali, possono trovare applicazione gli articoli 33 e 34 del GDPR. L'articolo 33 prevede, tra i suoi requisiti, una segnalazione all'autorità di controllo in linea di principio senza indugio e, per quanto possibile, entro 72 ore dal momento in cui se ne viene a conoscenza e, ai sensi del comma 5, richiede una documentazione della violazione, delle sue conseguenze e delle misure correttive adottate. In caso di rischio presumibilmente elevato, l’articolo 34 può inoltre richiedere la notifica alle persone interessate. Il rispetto dei rispettivi requisiti viene valutato alla luce della normativa sulla protezione dei dati; l’analisi forense fornisce i dati tecnici.
Per le imprese soggette alla nuova versione della legge BSI, in vigore dal dicembre 2025, potrebbero sussistere obblighi aggiuntivi per le strutture di particolare importanza e di importanza. A seconda della classificazione, questi includono requisiti relativi alla gestione dei rischi di sicurezza informatica e al trattamento o alla segnalazione di incidenti di sicurezza significativi. Gli obblighi della direzione aziendale sono espressamente disciplinati nell’attuale legge BSIG. Per stabilire se una determinata impresa rientri nel campo di applicazione e quali scadenze o obblighi si applichino nel singolo caso, è necessario verificare l’attuale classificazione giuridica.
Per quanto riguarda i dati dei dipendenti, possono essere rilevanti anche l’articolo 26 della BDSG e i diritti di cogestione aziendale. Anche nel corso di un incidente informatico, la possibilità tecnica di accesso non comporta una portata illimitata dell’indagine.
LanCologne fornisce valutazioni tecniche e ne documenta il ragionamento. Le decisioni relative agli obblighi di segnalazione, alla responsabilità, alle misure in materia di diritto del lavoro o ad altre conseguenze giuridiche sono di competenza degli organi aziendali competenti, dei responsabili della protezione dei dati e dei consulenti legali.
🔗 Argomenti correlati
LanCologne – Informatica forense per le aziende
Avete una questione di natura digitale? LanCologne vi assiste con un’indagine informatica forense obiettiva e imparziale.