Informatyka śledcza · Przedsiębiorstwa

W jaki sposób firma może odróżnić moment pierwszego włamania od momentu szyfrowania danych w przypadku ataku ransomware?

Widoczne szyfrowanie to często tylko ostatni etap ataku, który trwa już od dłuższego czasu.

Wysyłaj zapytanie bez zobowiązań

Dlaczego ta kwestia jest ważna dla przedsiębiorstwa

Po cyberataku decyzje techniczne, ekonomiczne, dotyczące ochrony danych oraz regulacyjne mogą zależeć od tej samej kwestii faktycznej. Rzetelna rekonstrukcja wydarzeń musi zatem wyraźnie rozróżniać między udowodnioną aktywnością, techniczną możliwością a zwykłym przypuszczeniem.

Podejście badawcze o charakterze technicznym

Rozróżniamy: uzyskanie wstępnego dostępu, fazę rozpoznania, uzyskanie danych uwierzytelniających, ruch boczny, ewentualną eksfiltrację oraz właściwą fazę szyfrowania.

Gdzie leży granica możliwości wypowiedzi

Początek okresu szyfrowania nie jest automatycznie równoznaczny z początkiem okresu ubezpieczenia, ochrony danych lub innego zdarzenia prawnego.

Dlaczego LanCologne?

Po cyberataku firma potrzebuje przede wszystkim bezpieczeństwa i zdolności do funkcjonowania. Jednak w przypadku późniejszych decyzji nie wystarczy sama świadomość, że ‚doszło do ataku‘. Kierownictwo, dział ochrony danych, doradcy prawni, ubezpieczyciele oraz, w razie potrzeby, organy władzy potrzebują rzetelnych odpowiedzi na konkretne pytania dotyczące faktów.

W związku z tym model LanCologne rozróżnia wykrycie, pierwszy dostęp, kompromitację, trwałość, ruch boczny, dostęp do danych, potencjalną eksfiltrację oraz konkretne działanie powodujące szkody. Fazy te mogą być znacznie oddalone od siebie w czasie i nie należy ich utożsamiać.

Jak ten etap wpisuje się w cały przebieg badania, można sprawdzić pod adresem badanie kryminalistyczne po cyberataku przedstawiono.

W miarę możliwości kluczowe ustalenia są weryfikowane na podstawie korelacji danych pochodzących z kilku niezależnych źródeł. Dane dotyczące punktów końcowych, sieci, tożsamości, chmury i systemu mają swoje własne ograniczenia informacyjne. Zautomatyzowany alarm lub raport produktowy nie stanowią dla nas samego źródła dowodów, lecz punkt wyjścia do weryfikacji leżących u ich podstaw danych pierwotnych.

W ramach dochodzenia należy uwzględnić również hipotezy przeciwne. Nietypowe logowanie można na przykład wyjaśnić legalnymi działaniami administracyjnymi, infrastrukturą VPN, zautomatyzowanymi usługami lub wykradzionymi danymi dostępowymi. Dopiero korelacja kolejnych śladów pozwala na wiarygodną ocenę sytuacji.

W przypadku braku kluczowych danych nie uzupełnia się tej luki domysłami. Zwłaszcza w przypadku incydentów cybernetycznych stwierdzenie ‚na podstawie otrzymanych danych nie można tego stwierdzić z całą pewnością‘ ma większą wartość merytoryczną niż pozornie jednoznaczny przebieg ataku, którego nie da się udowodnić w sposób pozwalający na odtworzenie zdarzenia.

Nasze podejście do pracy

Reagowanie na incydenty i kryminalistyka mają różne, ale uzupełniające się cele

Ograniczenie trwającego ataku służy przede wszystkim ochronie przedsiębiorstwa. Rekonstrukcja kryminalistyczna wyjaśnia następnie lub równolegle, co faktycznie się wydarzyło. Nie rezygnuje się zatem z niezbędnych środków bezpieczeństwa wyłącznie w celu zachowania idealnego stanu dowodowego; nieuniknione zmiany są w miarę możliwości dokumentowane.

Dlaczego LanCologne po cyberataku?

LanCologne nie ukierunkowuje dochodzenia na konkretny scenariusz ataku. Decydujące znaczenie mają informacje techniczne, jakie faktycznie zawierają uzyskane dane pierwotne. Ustalenia obciążające, uniewinniające oraz niejasne są dokumentowane w sposób przejrzysty, tak aby kierownictwo i doradcy prawni mogli podejmować decyzje w oparciu o weryfikowalne fakty.

Artykuł 32 RODO zobowiązuje administratorów i podmioty przetwarzające dane do zapewnienia poziomu ochrony proporcjonalnego do ryzyka. Wymieniono tu między innymi poufność, integralność, dostępność i odporność, a także zdolność do szybkiego przywrócenia dostępności i dostępu po wystąpieniu incydentu technicznego lub fizycznego.

Jeżeli w wyniku incydentu cybernetycznego doszło do naruszenia ochrony danych osobowych, zastosowanie może mieć art. 33 RODO. Zgodnie z nim naruszenie podlegające obowiązkowi zgłoszenia należy co do zasady zgłosić bezzwłocznie, a w miarę możliwości w ciągu 72 godzin od jego wykrycia, właściwemu organowi nadzorczemu, o ile nie przewiduje się, że naruszenie to spowoduje zagrożenie dla praw i wolności osób fizycznych. Artykuł 33 ust. 5 wymaga ponadto udokumentowania naruszenia, jego skutków oraz podjętych środków zaradczych. W przypadku przewidywanego wysokiego ryzyka art. 34 RODO może dodatkowo wymagać powiadomienia osób, których dane dotyczą. Ocena, czy warunki te są spełnione, należy do zakresu prawa o ochronie danych; kryminalistyka informatyczna dostarcza w tym zakresie faktów technicznych.

Od 6 grudnia 2025 r. do niektórych przedsiębiorstw prywatnych ma zastosowanie znowelizowana ustawa o BSI, wprowadzająca w życie wymogi dyrektywy NIS 2. To, czy dane przedsiębiorstwo jest klasyfikowane jako podmiot szczególnie ważny lub ważny, należy konkretnie sprawdzić na podstawie aktualnej ustawy o BSI, z uwzględnieniem sektorów, rodzajów podmiotów oraz kryteriów wielkości. W odniesieniu do objętych ustawą podmiotów ustawa BSIG zawiera między innymi obowiązki dotyczące zarządzania ryzykiem cyberbezpieczeństwa oraz incydentów bezpieczeństwa; § 38 ustawy BSIG nakłada na kierownictwo podmiotów o szczególnym znaczeniu i podmiotów ważnych obowiązki w zakresie wdrażania i monitorowania środków zarządzania ryzykiem.

Ustawowe obowiązki w zakresie zgłaszania i dokumentacji mogą wiązać się z presją czasową. LanCologne nie podejmuje jednak ostatecznych decyzji prawnych dotyczących obowiązków zgłaszania, odpowiedzialności ani zobowiązań. Dostarczamy technicznie uzasadnioną podstawę faktyczną, na podstawie której kierownictwo, inspektorzy ochrony danych oraz doradcy prawni mogą podejmować decyzje.

Najczęściej zadawane pytania

🔗 Powiązane tematy