Informatyka śledcza · Przedsiębiorstwa

W jaki sposób przedsiębiorstwo powinno koordynować zabezpieczanie dowodów i ograniczanie szkód bezpośrednio po wykryciu cyberataku?

W przypadku trwającego incydentu cybernetycznego równocześnie istotne są szybkie opanowanie sytuacji i późniejsza możliwość odtworzenia zdarzeń. Kopia zapasowa idealna z punktu widzenia kryminalistyki nie może niepotrzebnie przedłużać trwających szkód.

Wysyłaj zapytanie bez zobowiązań

Dlaczego ta kwestia jest ważna dla przedsiębiorstwa

W fazie przywracania sprawności po incydencie cybernetycznym podejmowane są decyzje techniczne, które mogą jednocześnie wpływać na zdolność operacyjną, zabezpieczenie dowodów, ochronę danych oraz możliwość późniejszego udokumentowania zdarzenia. Dokładna dokumentacja chroni zatem nie tylko dział IT, ale także tworzy solidną podstawę faktyczną dla kierownictwa firmy i doradztwa prawnego.

Podejście badawcze o charakterze technicznym

Priorytetowo traktujemy nietrwałe i szczególnie istotne źródła danych, dokumentujemy nieuniknione zmiany oraz uzgadniamy środki zabezpieczające z zespołem operacyjnym ds. reagowania na incydenty.

Gdzie leży granica możliwości wypowiedzi

Nie każdy komputer musi zostać poddany pełnej analizie kryminalistycznej przed odizolowaniem. Ustalenie priorytetów zależy od sytuacji w zakresie ataków, kwestii dowodowych oraz ryzyka operacyjnego.

Dlaczego LanCologne?

Po poważnym incydencie cyberbezpieczeństwa zadanie nie kończy się na powstrzymaniu ataku. Firma musi w kontrolowany sposób przywrócić działanie systemów, przeanalizować dane i kopie zapasowe, zabezpieczyć tożsamości użytkowników, zidentyfikować przerwy w działaniu, a jednocześnie zgromadzić dowody na potrzeby późniejszych kwestii prawnych, ubezpieczeniowych lub regulacyjnych.

W związku z tym LanCologne rozróżnia operacyjne reagowanie na incydenty od rekonstrukcji kryminalistycznej, nie izolując jednak sztucznie tych dwóch procesów od siebie. Ograniczanie skutków i przywracanie sprawności chronią przedsiębiorstwo; kryminalistyka dokumentuje, co się wydarzyło i jakie fakty techniczne uzasadniały podjęte działania.

Nie kierujemy się zasadą, by w miarę możliwości wykonać pełne kopie zapasowe jak największej liczby systemów. Decydujące znaczenie mają konkretna kwestia dowodowa, nietrwałość źródła danych, rola systemu w ataku oraz zasada proporcjonalności. Priorytetowo traktowane są szczególnie istotne dane pierwotne.

W procesie przywracania rozróżniamy między dostępnością techniczną, funkcjonalnością systemu, użytecznością merytoryczną a pełną eksploatacją rutynową. Podobnie nie utożsamiamy istnienia kopii zapasowej, jej integralności oraz faktycznej możliwości przywrócenia danych.

Dokumentacja nie zawiera jednoznacznych wniosków. Jeśli zapobiegawcze wyłączenie było technicznie uzasadnione, mimo że później nie udało się wykazać naruszenia bezpieczeństwa, obie te tezy mogą być jednocześnie słuszne. Właśnie takie zróżnicowanie sprawia, że późniejsza ocena jest wiarygodna.

Nasze podejście do pracy

1Koordynowanie działań zapobiegawczych i zabezpieczania dowodów w oparciu o ocenę ryzyka.
2Należy nadać priorytet krytycznym i nietrwałym źródłom danych.
3Należy dokumentować stan początkowy oraz nieuniknione zmiany.
4Należy oddzielnie zbadać przyczynę źródłową i widoczne skutki szkody.
5Ocena naruszonych tożsamości, sesji i uprawnień dostępu.
6Należy rozróżnić stan kopii zapasowej, wiarygodność i możliwość przywrócenia danych.
7Dokumentowanie decyzji dotyczących odbudowy i przywracania z technicznego punktu widzenia.
8Rejestrować czasowo fazy ponownego uruchamiania i zależności systemowe.
9Należy rozróżnić tryb awaryjny, tryb ograniczony i tryb normalny.
10Uwzględnienie w procesie rekonstrukcji zależności od zewnętrznych dostawców i chmury.
11Przechowywanie danych dowodowych w sposób umożliwiający ich odtworzenie do konkretnych celów w przyszłości.
12Opracować zrozumiały raport główny oraz załącznik techniczny umożliwiający odtworzenie wyników.

Proces odtworzenia nie może zafałszować historycznych dowodów z perspektywy czasu

System przywrócony do prawidłowego stanu po incydencie nie świadczy automatycznie o tym, w jakim stanie znajdował się przed atakiem lub w jego trakcie. Dlatego oddzielnie dokumentujemy ustalenia historyczne oraz późniejsze działania naprawcze. Pozwala to uniknąć sytuacji, w której poprawiony stan po incydencie byłby traktowany z mocą wsteczną jako dowód na wcześniejsze fakty.

Ramy prawne i regulacyjne

W zakresie przetwarzania danych osobowych nadal obowiązują w szczególności zasady określone w art. 5 RODO, a także wymóg posiadania solidnej podstawy prawnej zgodnie z art. 6 RODO. Artykuł 32 RODO wymaga podjęcia odpowiednich środków technicznych i organizacyjnych z uwzględnieniem ryzyka i wymienia między innymi poufność, integralność, dostępność, odporność oraz zdolność do szybkiego przywrócenia dostępności i dostępu po wystąpieniu incydentu.

W przypadku naruszenia ochrony danych osobowych zastosowanie mogą mieć art. 33 i art. 34 RODO. Artykuł 33 przewiduje, że w przypadku spełnienia określonych warunków należy zgłosić naruszenie organowi nadzorczemu zasadniczo niezwłocznie, a w miarę możliwości w ciągu 72 godzin od jego wykrycia, a zgodnie z ust. 5 wymaga udokumentowania naruszenia, jego skutków oraz podjętych środków zaradczych. W przypadku przewidywanego wysokiego ryzyka art. 34 może dodatkowo wymagać powiadomienia osób, których dane dotyczą. To, czy spełnione są odpowiednie warunki, ocenia się z punktu widzenia przepisów o ochronie danych; analiza kryminalistyczna dostarcza faktów technicznych.

W przypadku przedsiębiorstw objętych nowelizacją ustawy o BSI, która wejdzie w życie w grudniu 2025 r., mogą obowiązywać dodatkowe obowiązki dotyczące obiektów o szczególnym znaczeniu oraz obiektów ważnych. W zależności od klasyfikacji obejmują one wymagania dotyczące zarządzania ryzykiem cyberbezpieczeństwa oraz postępowania z istotnymi incydentami bezpieczeństwa lub ich zgłaszania. Obowiązki kierownictwa zostały wyraźnie określone w aktualnej wersji ustawy o BSI. To, czy dane przedsiębiorstwo podlega przepisom ustawy oraz jakie terminy i obowiązki mają zastosowanie w konkretnym przypadku, należy sprawdzić na podstawie aktualnej klasyfikacji prawnej.

W przypadku danych dotyczących pracowników istotne znaczenie mogą mieć dodatkowo § 26 BDSG oraz prawa do współdecydowania w przedsiębiorstwie. Również w trakcie cyberincydentu techniczna możliwość dostępu nie oznacza nieograniczonego zakresu dochodzenia.

LanCologne przedstawia ustalenia techniczne i dokumentuje sposób ich wywiedzenia. Decyzje dotyczące obowiązków zgłoszeniowych, odpowiedzialności, środków z zakresu prawa pracy lub innych skutków prawnych pozostają w gestii właściwych organów przedsiębiorstwa, inspektorów ochrony danych oraz doradców prawnych.

LanCologne do analizy kryminalistycznej i kontrolowanego odtwarzania danych

LanCologne łączy szczegółowość techniczną z prezentacją zrozumiałą dla decydentów. Dokumentujemy nie tylko, jakie działania zostały podjęte, ale także, na jakich faktach technicznych się opierały oraz jakie istnieją ograniczenia dotyczące wniosków. Zapewnia to przejrzystość dla kierownictwa, doradców prawnych, ubezpieczycieli oraz ewentualnej późniejszej kontroli fachowej.

Najczęściej zadawane pytania

W jaki sposób przedsiębiorstwo powinno koordynować zabezpieczanie dowodów i ograniczanie szkód bezpośrednio po wykryciu cyberataku?+
W fazie przywracania sprawności po incydencie cybernetycznym podejmowane są decyzje techniczne, które mogą jednocześnie wpływać na zdolność operacyjną, zabezpieczenie dowodów, ochronę danych oraz możliwość późniejszego udokumentowania zdarzenia. Dokładna dokumentacja chroni zatem nie tylko dział IT, ale także tworzy solidną podstawę faktyczną dla kierownictwa firmy i doradztwa prawnego.
Jak w praktyce przebiega takie badanie techniczne?+
Priorytetowo traktujemy nietrwałe i szczególnie istotne źródła danych, dokumentujemy nieuniknione zmiany oraz uzgadniamy środki zabezpieczające z zespołem operacyjnym ds. reagowania na incydenty.
Czy badanie zawsze daje jednoznaczny wynik na niekorzyść lub na korzyść jednej z zaangażowanych osób?+
Nie każdy komputer musi zostać poddany pełnej analizie kryminalistycznej przed odizolowaniem. Ustalenie priorytetów zależy od sytuacji w zakresie ataków, kwestii dowodowych oraz ryzyka operacyjnego.
Czy istnieje ku temu podstawa prawna?+
W zakresie przetwarzania danych osobowych nadal obowiązują w szczególności zasady określone w art. 5 RODO, a także wymóg posiadania solidnej podstawy prawnej zgodnie z art. 6 RODO. Artykuł 32 RODO wymaga podjęcia odpowiednich środków technicznych i organizacyjnych, uwzględniających poziom ryzyka, i wymienia między innymi poufność, integralność, dostępność, odporność oraz zdolność do szybkiego przywrócenia dostępności i dostępu po wystąpieniu incydentu. W przypadku naruszenia ochrony danych osobowych zastosowanie mogą mieć art. 33 i art. 34 RODO. Artykuł 33 przewiduje, że w przypadku spełnienia określonych warunków zgłoszenie do organu nadzorczego powinno nastąpić zasadniczo niezwłocznie, a w miarę możliwości w ciągu 72 godzin od powzięcia wiadomości o naruszeniu, oraz zgodnie z ust. 5 wymaga udokumentowania naruszenia, jego skutków oraz podjętych środków zaradczych. W przypadku przewidywanego wysokiego ryzyka art. 34 może dodatkowo wymagać powiadomienia osób, których dane dotyczą. To, czy spełnione są odpowiednie warunki, ocenia się z punktu widzenia przepisów o ochronie danych; kryminalistyka dostarcza faktów technicznych. W przypadku przedsiębiorstw objętych nową wersją ustawy o BSI, która wejdzie w życie w grudniu 2025 r., mogą obowiązywać dodatkowe obowiązki dotyczące obiektów o szczególnym znaczeniu i obiektów ważnych. Obejmują one, w zależności od klasyfikacji, wymagania dotyczące zarządzania ryzykiem cyberbezpieczeństwa oraz postępowania z istotnymi incydentami bezpieczeństwa lub ich zgłaszania. Obowiązki kierownictwa zostały wyraźnie określone w aktualnej ustawie BSIG. To, czy konkretne przedsiębiorstwo podlega tym przepisom oraz jakie terminy lub obowiązki mają zastosowanie w danym przypadku, należy sprawdzić na podstawie aktualnej klasyfikacji prawnej. W przypadku danych pracowników istotne znaczenie mogą mieć dodatkowo § 26 BDSG oraz prawa do współdecydowania w przedsiębiorstwie. Również podczas incydentu cyberbezpieczeństwa techniczna możliwość dostępu nie oznacza nieograniczonego zakresu dochodzenia. LanCologne dostarcza ustalenia techniczne i dokumentuje sposób ich uzyskania. Decyzje dotyczące obowiązków zgłoszeniowych, odpowiedzialności, środków wynikających z prawa pracy lub innych skutków prawnych pozostają w gestii właściwych organów przedsiębiorstwa, inspektorów ochrony danych oraz doradców prawnych.

LanCologne – informatyka śledcza dla przedsiębiorstw

Mają Państwo pytania dotyczące technologii cyfrowych? Firma LanCologne zapewni Państwu pomoc w postaci obiektywnego, bezstronnego dochodzenia informatyczno-kryminalistycznego.

Skontaktuj się z nami już teraz