Informatica forense · Aziende

Come è possibile ricostruire in modo trasparente il tempo di ripristino tecnicamente necessario a seguito di un attacco informatico?

Für die Betriebsunterbrechungsversicherung, für Schadensersatzansprüche und für die Bewertung der eigenen Notfallplanung ist entscheidend, wie lange Systeme tatsächlich nicht verfügbar waren und welche Schritte die Wiederherstellung bestimmt haben. Diese Zeiten lassen sich aus technischen Spuren belegen.

Richiesta non vincolante

Perché questa domanda è importante per un’azienda

Nella fase di ripristino a seguito di un incidente informatico vengono prese decisioni tecniche che possono influire contemporaneamente sull’operatività, sulla conservazione delle prove, sulla protezione dei dati e sulla successiva dimostrabilità. Una documentazione accurata non solo tutela il sistema IT, ma crea anche una solida base fattuale per la direzione aziendale e la consulenza legale.

Technischer Hintergrund

Es ist sinnvoll, zwischen technischer Erreichbarkeit, eingeschränktem Betrieb und vollständigem Regelbetrieb zu unterscheiden. Verzögerungen entstehen häufig durch nicht nutzbare Backups, Abhängigkeiten zwischen Systemen (AD vor ERP), forensische Sicherung vor Wiederaufbau oder fehlende Dokumentation.

Relevante Spuren und Datenquellen

• Backup- und Restore-Protokolle (Start, Ende, Fehler)
• Systemstart- und Dienststatusereignisse
• Monitoring-Daten und Ticketsysteme
• Anmeldungen der ersten Nutzer in Fachanwendungen

Grenzen

• Wurden Systeme neu aufgebaut und alte Logs nicht gesichert, sind einzelne Zeitpunkte nur über Sekundärquellen belegbar.
• Die versicherungsrechtliche Bewertung erfolgt durch Versicherer bzw. Gutachter.

Mögliche Ergebnisse

• Zeitlinie der Wiederherstellung je System
• Begründung von Verzögerungen

Perché LanCologne?

A seguito di un grave incidente informatico, il lavoro non si esaurisce con il blocco dell’attacco. L’azienda deve ripristinare i sistemi in modo controllato, valutare i dati e i backup, proteggere le identità, ricostruire le interruzioni operative e, al contempo, conservare le prove necessarie per eventuali questioni legali, assicurative o normative future.

So gehen wir vor

• Definition der zu belegenden Zeitpunkte je kritischem System.
• Auswertung der Protokolle und Abgleich mit Ticket- und Kommunikationsdaten.
• Darstellung von Abhängigkeiten und Gründen für Verzögerungen.

Il recupero non deve alterare a posteriori le prove storiche

Un sistema ripristinato correttamente dopo l'incidente non fornisce automaticamente indicazioni sulle condizioni in cui si trovava prima o durante l'attacco. Per questo motivo documentiamo separatamente i risultati storici e le successive misure correttive. In questo modo si evita che lo stato migliorato dopo l'incidente venga considerato retroattivamente come prova di fatti precedenti.

Quadro giuridico e normativo

Nel trattamento dei dati personali continuano ad applicarsi, in particolare, i principi di cui all’art. 5 del GDPR, nonché il requisito di una base giuridica valida ai sensi dell’art. 6 del GDPR. L’art. 32 del GDPR richiede l’adozione di misure tecniche e organizzative adeguate, tenendo conto del rischio, e menziona, tra l’altro, la riservatezza, l’integrità, la disponibilità, la resilienza, nonché la capacità di ripristinare tempestivamente la disponibilità e l’accesso a seguito di un incidente.

In caso di violazione della protezione dei dati personali, possono trovare applicazione gli articoli 33 e 34 del GDPR. L'articolo 33 prevede, tra i suoi requisiti, una segnalazione all'autorità di controllo in linea di principio senza indugio e, per quanto possibile, entro 72 ore dal momento in cui se ne viene a conoscenza e, ai sensi del comma 5, richiede una documentazione della violazione, delle sue conseguenze e delle misure correttive adottate. In caso di rischio presumibilmente elevato, l’articolo 34 può inoltre richiedere la notifica alle persone interessate. Il rispetto dei rispettivi requisiti viene valutato alla luce della normativa sulla protezione dei dati; l’analisi forense fornisce i dati tecnici.

Per le imprese soggette alla nuova versione della legge BSI, in vigore dal dicembre 2025, potrebbero sussistere obblighi aggiuntivi per le strutture di particolare importanza e di importanza. A seconda della classificazione, questi includono requisiti relativi alla gestione dei rischi di sicurezza informatica e al trattamento o alla segnalazione di incidenti di sicurezza significativi. Gli obblighi della direzione aziendale sono espressamente disciplinati nell’attuale legge BSIG. Per stabilire se una determinata impresa rientri nel campo di applicazione e quali scadenze o obblighi si applichino nel singolo caso, è necessario verificare l’attuale classificazione giuridica.

Per quanto riguarda i dati dei dipendenti, possono essere rilevanti anche l’articolo 26 della BDSG e i diritti di cogestione aziendale. Anche nel corso di un incidente informatico, la possibilità tecnica di accesso non comporta una portata illimitata dell’indagine.

LanCologne fornisce valutazioni tecniche e ne documenta il ragionamento. Le decisioni relative agli obblighi di segnalazione, alla responsabilità, alle misure in materia di diritto del lavoro o ad altre conseguenze giuridiche sono di competenza degli organi aziendali competenti, dei responsabili della protezione dei dati e dei consulenti legali.

LanCologne per l'analisi forense e il ripristino controllato

LanCologne coniuga l’approfondimento tecnico con una presentazione comprensibile per i responsabili delle decisioni. Non ci limitiamo a documentare quali misure sono state attuate, ma anche su quali basi tecniche si fondano e quali sono i limiti della loro validità. Ciò garantisce la tracciabilità per la direzione aziendale, la consulenza legale, l’assicurazione e un’eventuale successiva verifica tecnica.

Domande frequenti

🔗 Argomenti correlati