Informatyka śledcza · Przedsiębiorstwa

W jaki sposób przedsiębiorstwo może po cyberataku rzetelnie ocenić dostępy podmiotów zewnętrznych i usługodawców?

Nach einem Cyberangriff stehen Dienstleisterzugänge doppelt im Fokus: Sie werden für die Wiederherstellung gebraucht – und sie sind ein häufiger Einfallsweg. Die Frage ist, ob ein bestimmter Zugang im Angriffszeitraum genutzt wurde und ob er bedenkenlos wieder aktiviert werden kann.

Wysyłaj zapytanie bez zobowiązań

Dlaczego ta kwestia jest ważna dla przedsiębiorstwa

W fazie przywracania sprawności po incydencie cybernetycznym podejmowane są decyzje techniczne, które mogą jednocześnie wpływać na zdolność operacyjną, zabezpieczenie dowodów, ochronę danych oraz możliwość późniejszego udokumentowania zdarzenia. Dokładna dokumentacja chroni zatem nie tylko dział IT, ale także tworzy solidną podstawę faktyczną dla kierownictwa firmy i doradztwa prawnego.

Technischer Hintergrund

Typische Zugänge sind Fernwartungssoftware (z. B. TeamViewer, AnyDesk, ScreenConnect), RMM-Agenten von Managed Service Providern, Site-to-Site-VPNs, Gastkonten in Entra ID und Service-Accounts. Wurde ein Dienstleister selbst kompromittiert, kann der Angriff über dessen legitime Werkzeuge laufen.

Relevante Spuren und Datenquellen

• Verbindungsprotokolle der Fernwartungs- und RMM-Software
• VPN- und Firewall-Logs mit Quell-IP
• Anmeldeereignisse der Dienstleisterkonten (lokal, AD, Entra ID)
• Installations- und Ausführungsspuren auf Endpunkten (Prefetch, Amcache, Dienste)

Grenzen

• Ein vorhandener Zugang belegt keine Verantwortlichkeit des Dienstleisters.
• Logs beim Dienstleister selbst sind nur mit dessen Mitwirkung verfügbar.

Mögliche Ergebnisse

• Zugangsweg identifiziert bzw. ausgeschlossen (im geprüften Umfang)
• Liste der Zugänge mit Bewertung

Dlaczego LanCologne?

Po poważnym incydencie cyberbezpieczeństwa zadanie nie kończy się na powstrzymaniu ataku. Firma musi w kontrolowany sposób przywrócić działanie systemów, przeanalizować dane i kopie zapasowe, zabezpieczyć tożsamości użytkowników, zidentyfikować przerwy w działaniu, a jednocześnie zgromadzić dowody na potrzeby późniejszych kwestii prawnych, ubezpieczeniowych lub regulacyjnych.

So gehen wir vor

• Inventar aller externen Zugänge und Konten.
• Abgleich der Nutzung im Angriffszeitraum mit dokumentierten Wartungsfenstern.
• Bewertung je Zugang: genutzt, nicht genutzt, nicht beurteilbar.
• Empfehlung zur kontrollierten Wiederfreigabe.

Proces odtworzenia nie może zafałszować historycznych dowodów z perspektywy czasu

System przywrócony do prawidłowego stanu po incydencie nie świadczy automatycznie o tym, w jakim stanie znajdował się przed atakiem lub w jego trakcie. Dlatego oddzielnie dokumentujemy ustalenia historyczne oraz późniejsze działania naprawcze. Pozwala to uniknąć sytuacji, w której poprawiony stan po incydencie byłby traktowany z mocą wsteczną jako dowód na wcześniejsze fakty.

Ramy prawne i regulacyjne

W zakresie przetwarzania danych osobowych nadal obowiązują w szczególności zasady określone w art. 5 RODO, a także wymóg posiadania solidnej podstawy prawnej zgodnie z art. 6 RODO. Artykuł 32 RODO wymaga podjęcia odpowiednich środków technicznych i organizacyjnych z uwzględnieniem ryzyka i wymienia między innymi poufność, integralność, dostępność, odporność oraz zdolność do szybkiego przywrócenia dostępności i dostępu po wystąpieniu incydentu.

W przypadku naruszenia ochrony danych osobowych zastosowanie mogą mieć art. 33 i art. 34 RODO. Artykuł 33 przewiduje, że w przypadku spełnienia określonych warunków należy zgłosić naruszenie organowi nadzorczemu zasadniczo niezwłocznie, a w miarę możliwości w ciągu 72 godzin od jego wykrycia, a zgodnie z ust. 5 wymaga udokumentowania naruszenia, jego skutków oraz podjętych środków zaradczych. W przypadku przewidywanego wysokiego ryzyka art. 34 może dodatkowo wymagać powiadomienia osób, których dane dotyczą. To, czy spełnione są odpowiednie warunki, ocenia się z punktu widzenia przepisów o ochronie danych; analiza kryminalistyczna dostarcza faktów technicznych.

W przypadku przedsiębiorstw objętych nowelizacją ustawy o BSI, która wejdzie w życie w grudniu 2025 r., mogą obowiązywać dodatkowe obowiązki dotyczące obiektów o szczególnym znaczeniu oraz obiektów ważnych. W zależności od klasyfikacji obejmują one wymagania dotyczące zarządzania ryzykiem cyberbezpieczeństwa oraz postępowania z istotnymi incydentami bezpieczeństwa lub ich zgłaszania. Obowiązki kierownictwa zostały wyraźnie określone w aktualnej wersji ustawy o BSI. To, czy dane przedsiębiorstwo podlega przepisom ustawy oraz jakie terminy i obowiązki mają zastosowanie w konkretnym przypadku, należy sprawdzić na podstawie aktualnej klasyfikacji prawnej.

W przypadku danych dotyczących pracowników istotne znaczenie mogą mieć dodatkowo § 26 BDSG oraz prawa do współdecydowania w przedsiębiorstwie. Również w trakcie cyberincydentu techniczna możliwość dostępu nie oznacza nieograniczonego zakresu dochodzenia.

LanCologne przedstawia ustalenia techniczne i dokumentuje sposób ich wywiedzenia. Decyzje dotyczące obowiązków zgłoszeniowych, odpowiedzialności, środków z zakresu prawa pracy lub innych skutków prawnych pozostają w gestii właściwych organów przedsiębiorstwa, inspektorów ochrony danych oraz doradców prawnych.

LanCologne do analizy kryminalistycznej i kontrolowanego odtwarzania danych

LanCologne łączy szczegółowość techniczną z prezentacją zrozumiałą dla decydentów. Dokumentujemy nie tylko, jakie działania zostały podjęte, ale także, na jakich faktach technicznych się opierały oraz jakie istnieją ograniczenia dotyczące wniosków. Zapewnia to przejrzystość dla kierownictwa, doradców prawnych, ubezpieczycieli oraz ewentualnej późniejszej kontroli fachowej.

Najczęściej zadawane pytania

🔗 Powiązane tematy