IT-forensisch onderzoek · Bedrijven

Hoe kan een bedrijf laten controleren of back-ups door een cyberaanval zijn gemanipuleerd of gewist?

Moderne aanvallers proberen vaak de herstelmogelijkheden te verzwakken voordat ze daadwerkelijk schade aanrichten.

Vrijblijvend informeren

Waarom deze vraag belangrijk is voor een bedrijf

Tijdens de herstelfase van een cyberincident worden technische beslissingen genomen die tegelijkertijd van invloed kunnen zijn op de bedrijfscontinuïteit, het veiligstellen van bewijsmateriaal, de gegevensbescherming en de latere traceerbaarheid. Een gedegen documentatie beschermt daarom niet alleen de IT, maar biedt ook een solide feitelijke basis voor het management en juridisch advies.

Technische onderzoeksaanpak

We onderzoeken het beheer van back-ups, administratieve activiteiten, toegang tot de opslagplaats, verwijderings- en bewaartermijngebeurtenissen en de beschikbare back-upversies.

Waar de grens van de uitspraak ligt

Het ontbreken van een back-up kan ook het gevolg zijn van bewaartermijnen, een verkeerde configuratie of eerdere operationele problemen; manipulatie moet technisch worden aangetoond.

Waarom LanCologne?

Na een ernstig cyberincident houdt de taak niet op bij het stoppen van de aanval. Het bedrijf moet de systemen op gecontroleerde wijze weer in bedrijf nemen, gegevens en back-ups beoordelen, identiteiten beveiligen, bedrijfsonderbrekingen in kaart brengen en tegelijkertijd bewijsmateriaal verzamelen voor latere juridische, verzekeringsgerelateerde of regelgevingskwesties.

LanCologne maakt daarom een onderscheid tussen operationele incidentrespons en forensische reconstructie, zonder beide kunstmatig van elkaar te isoleren. Beheersing en herstel beschermen het bedrijf; forensisch onderzoek documenteert wat er is gebeurd en welke technische feiten ten grondslag lagen aan de genomen maatregelen.

Wij werken niet volgens het principe dat zoveel mogelijk systemen volledig moeten worden geback-upt. Doorslaggevend zijn de concrete bewijskwestie, de vluchtigheid van een gegevensbron, de rol van het systeem bij de aanval en de evenredigheid. Bijzonder veelzeggende primaire gegevens krijgen voorrang.

Bij het herstel maken we onderscheid tussen technische bereikbaarheid, systeemfunctionaliteit, functionele bruikbaarheid en volledige normale bedrijfsvoering. Evenzo worden de aanwezigheid van back-ups, de integriteit van back-ups en de daadwerkelijke herstelbaarheid niet met elkaar gelijkgesteld.

De documentatie laat de conclusie open. Als een preventieve uitschakeling technisch gezien aannemelijk was, ook al kon achteraf geen inbreuk worden aangetoond, kunnen beide tegelijkertijd juist zijn. Juist zulke nuances maken een latere beoordeling betrouwbaar.

Onze werkwijze

Bij het herstel mag het historische bewijsmateriaal niet achteraf worden vervalst

Een systeem dat na het incident correct is hersteld, zegt niet automatisch iets over de toestand van het systeem vóór of tijdens de aanval. Daarom documenteren we historische bevindingen en latere corrigerende maatregelen afzonderlijk. Zo wordt voorkomen dat de verbeterde toestand na het incident met terugwerkende kracht wordt beschouwd als bewijs voor eerdere feiten.

Wettelijk en regelgevend kader

Bij de verwerking van persoonsgegevens blijven met name de beginselen van artikel 5 AVG van toepassing, evenals de noodzaak van een deugdelijke rechtsgrondslag overeenkomstig artikel 6 AVG. Artikel 32 AVG vereist, rekening houdend met het risico, passende technische en organisatorische maatregelen en noemt onder meer vertrouwelijkheid, integriteit, beschikbaarheid, veerkracht en het vermogen om de beschikbaarheid en toegang na een incident tijdig te herstellen.

Bij een inbreuk op de bescherming van persoonsgegevens kunnen artikel 33 en artikel 34 van de AVG van toepassing zijn. Artikel 33 schrijft onder bepaalde voorwaarden voor dat een melding aan de toezichthoudende autoriteit in principe onmiddellijk en zo mogelijk binnen 72 uur na het bekend worden van de inbreuk moet plaatsvinden, en vereist volgens lid 5 een documentatie van de inbreuk, de gevolgen ervan en de genomen corrigerende maatregelen. Bij een vermoedelijk hoog risico kan artikel 34 bovendien vereisen dat de betrokkenen worden geïnformeerd. Of aan de desbetreffende voorwaarden is voldaan, wordt beoordeeld vanuit het oogpunt van de gegevensbeschermingswetgeving; de forensische analyse levert de technische feiten.

Voor ondernemingen die onder de sinds december 2025 geldende herziene BSI-wet vallen, kunnen er aanvullende verplichtingen gelden voor bijzonder belangrijke en belangrijke instellingen. Afhankelijk van de indeling omvatten deze onder meer eisen op het gebied van cyberbeveiligingsrisicobeheer en de afhandeling of melding van ernstige beveiligingsincidenten. De verplichtingen van het management worden uitdrukkelijk behandeld in de huidige BSIG. Of een specifieke onderneming hieronder valt en welke termijnen of verplichtingen in het individuele geval van toepassing zijn, moet worden nagegaan aan de hand van de huidige wettelijke indeling.

Wat personeelsgegevens betreft, kunnen bovendien § 26 BDSG en medezeggenschapsrechten binnen de onderneming van belang zijn. Ook tijdens een cyberincident leidt de technische mogelijkheid tot toegang niet tot een onbeperkte reikwijdte van het onderzoek.

LanCologne levert technische bevindingen en documenteert de wijze waarop deze tot stand zijn gekomen. Beslissingen over meldingsplichten, aansprakelijkheid, arbeidsrechtelijke maatregelen of andere juridische gevolgen blijven voorbehouden aan de bevoegde bedrijfsorganen, functionarissen voor gegevensbescherming en juridische adviseurs.

LanCologne voor forensische analyse en gecontroleerd herstel

LanCologne combineert technische diepgang met een voor besluitvormers begrijpelijke weergave. We documenteren niet alleen welke maatregelen zijn uitgevoerd, maar ook op welke technische feiten deze waren gebaseerd en welke beperkingen er gelden voor de conclusies. Dit zorgt voor transparantie voor het management, juridische adviseurs, verzekeraars en een eventuele latere technische controle.

Veelgestelde vragen

🔗 Gerelateerde onderwerpen