Informatyka śledcza · Przedsiębiorstwa

W jaki sposób firma może zlecić przeprowadzenie analizy kryminalistycznej komputera służbowego pracownika?

Komputer firmowy może zawierać ważne ślady dotyczące operacji na plikach, korzystania z programów, nośników zewnętrznych, dostępu do chmury lub zdarzeń systemowych.

Wysyłaj zapytanie bez zobowiązań

Dlaczego ta kwestia jest ważna dla przedsiębiorstwa

W przypadku incydentów wewnętrznych mogą być jednocześnie zagrożone interesy gospodarcze, zachowanie dowodów oraz prawa pracowników. Dlatego też szeroko zakrojone pod względem technicznym dochodzenie niekoniecznie jest dobrym dochodzeniem. Kluczowe znaczenie ma jasno zdefiniowane zagadnienie dowodowe oraz przejrzyście określony zakres dochodzenia.

Podejście badawcze o charakterze technicznym

Zabezpieczamy i analizujemy wyłącznie te obszary, które mają znaczenie dla konkretnej kwestii dowodowej, uwzględniając wytyczne przedsiębiorstwa, dopuszczalne wykorzystanie prywatne oraz ramy prawne dotyczące ochrony danych.

Gdzie leży granica możliwości wypowiedzi

Fakt, że komputer stanowi własność przedsiębiorstwa, nie zwalnia z obowiązku sprawdzenia, czy przetwarzanie danych pracowników jest zgodne z prawem.

Dlaczego LanCologne?

W przypadku dochodzeń wewnętrznych zderzają się bezpośrednio różne interesy: przedsiębiorstwo musi mieć możliwość ochrony swoich systemów, danych, tajemnic handlowych i interesów gospodarczych. Jednocześnie należy przestrzegać zasad ochrony danych pracowników, proporcjonalności, współdecydowania oraz, w stosownych przypadkach, prywatności danych osobowych.

Dlatego też LanCologne nie rozpoczyna się od zebrania jak najszerszego zakresu danych. Punktem wyjścia jest konkretna kwestia dowodowa o charakterze technicznym. Dopiero potem ustala się, jakie urządzenia, konta, okresy i rodzaje danych są faktycznie potrzebne. Dzięki temu dochodzenie często można przeprowadzić znacznie precyzyjniej niż w przypadku ogólnej, kompleksowej analizy.

Dostępność techniczna i dopuszczalność prawna są celowo rozdzielane. Fakt, że administrator, system MDM lub użytkownik chmury umożliwia technicznie dostęp do określonych informacji, nie odpowiada jeszcze na pytanie, czy informacje te mogą być przetwarzane w konkretnym celu.

W razie potrzeby kluczowe ustalenia są weryfikowane na podstawie danych pierwotnych. Zautomatyzowane raporty i oprogramowanie kryminalistyczne stanowią narzędzia pomocnicze; nie zastępują one fachowej interpretacji artefaktów, na których się opierają. Rozpatrywane są również alternatywne wyjaśnienia techniczne.

Równie ważne jest to, że w ramach wewnętrznego dochodzenia należy traktować fakty uniewinniające równie poważnie, jak te obciążające. Jeśli analiza wykaże, że podejrzenie nie może zostać potwierdzone z technicznego punktu widzenia lub że nietypowe zdarzenie da się wyjaśnić standardowym procesem systemowym, należy to dokładnie odnotować w wynikach dochodzenia.

Nasze podejście do pracy

1Należy określić konkretny przypadek oraz techniczne zagadnienie dowodowe.
2Należy wyjaśnić podstawę prawną oraz wewnętrzny podział kompetencji w ramach przedsiębiorstwa lub w ramach doradztwa prawnego.
3Ograniczyć wymagane systemy, konta, rodzaje danych i okresy.
4Należy nadać priorytet zabezpieczaniu dowodów i dokumentowaniu danych zmiennych.
5Należy w sposób umożliwiający weryfikację rejestrować identyfikację urządzeń i danych oraz stan zabezpieczeń.
6Należy oddzielić dane pierwotne od interpretacji zawartych w raportach i interfejsach użytkownika.
7Nie należy utożsamiać przypisania pracowników, urządzeń, kont i sesji.
8Należy sprawdzić zarówno standardowe procesy systemowe, jak i alternatywne wyjaśnienia.
9Wyniki obciążające, uniewinniające i niejednoznaczne należy dokumentować w równym stopniu.
10Zakres postępowania należy rozszerzyć wyłącznie w przypadku pojawienia się nowych, istotnych okoliczności stanowiących podstawę postępowania.
11Opracowanie raportu technicznego w sposób zrozumiały i umożliwiający odtworzenie wyników.
12Kwestie dotyczące prawa pracy, ochrony danych, prawa cywilnego i karnego należy pozostawić właściwej poradni prawnej.

Nie należy z góry osądzać pracowników

Wewnętrzne podejrzenie nie jest uznawane za wynik dochodzenia. Sprawdzamy, jakie fakty techniczne je potwierdzają, jakie mu zaprzeczają oraz jakie istnieją alternatywne wyjaśnienia. Również wynik niekorzystny dla przedsiębiorstwa lub go uniewinniający jest w pełni dokumentowany.

Zrozumiałe dla kierownictwa i działu prawnego – możliwe do odtworzenia przez ekspertów kryminalistycznych

W części głównej wyjaśniono główny przekaz bez użycia zbędnego żargonu fachowego. Część techniczna zawiera dokumentację dotyczącą źródeł danych, stanów kopii zapasowych, identyfikatorów, informacji o integralności, odniesień czasowych, lokalizacji artefaktów oraz etapów walidacji. Dzięki temu wyniki badania pozostają zrozumiałe dla późniejszej fachowej weryfikacji.

LanCologne jako niezależne wsparcie techniczne dla przedsiębiorstw

Jeśli konieczne jest techniczne wyjaśnienie incydentu wewnętrznego, firma LanCologne zapewnia wsparcie w postaci obiektywnego, bezstronnego i przejrzystego dochodzenia informatyczno-kryminalistycznego. Decydujące znaczenie ma nie tyle oczekiwany wynik, co wyłącznie to, co faktycznie można udowodnić na podstawie śladów cyfrowych w ramach dopuszczalnego zakresu dochodzenia.

Ramy prawne

W przypadku danych pracowników w Niemczech należy zwrócić szczególną uwagę na § 26 BDSG. Dane osobowe pracowników mogą być przetwarzane na potrzeby stosunku pracy, o ile jest to konieczne do celów tam wymienionych. § 26 ust. 1 BDSG określa szczególne warunki dotyczące wykrywania przestępstw: Muszą istnieć udokumentowane faktyczne przesłanki uzasadniające podejrzenie, że osoba, której dane dotyczą, popełniła przestępstwo w ramach stosunku pracy; przetwarzanie musi być konieczne do wykrycia przestępstwa, a interes pracownika zasługujący na ochronę nie może przeważać. W szczególności charakter i zakres przetwarzania nie mogą być nieproporcjonalne.

Ponadto obowiązują ogólne zasady RODO. Artykuł 5 RODO wymaga między innymi zgodności z prawem, ograniczenia celu oraz minimalizacji danych. Artykuł 6 RODO wymaga solidnej podstawy prawnej dla przetwarzania danych. Analiza danych, która jest technicznie możliwa, nie jest zatem automatycznie analizą dopuszczalną z prawnego punktu widzenia.

W przypadku urządzeń technicznych istotny może być również § 87 ust. 1 pkt 6 ustawy BetrVG. Zgodnie z tym przepisem, o ile nie istnieją żadne regulacje ustawowe ani układowe, rada zakładowa ma prawo współdecydowania w sprawie wprowadzania i stosowania urządzeń technicznych przeznaczonych do monitorowania zachowania lub wydajności pracowników. W zależności od konkretnego rozwiązania może to mieć znaczenie na przykład w przypadku systemów MDM, EDR, DLP, systemów rejestrowania danych lub innych systemów monitorowania.

§ 26 ust. 6 BDSG wyraźnie stanowi, że nie ma to wpływu na prawa do współdecydowania przysługujące organizacjom reprezentującym interesy pracowników. W związku z tym konkretną dopuszczalność środka dochodzeniowego w świetle prawa pracy i prawa dotyczącego organizacji zakładowej, w przypadku gdy dotyczy on pracowników, należy przed jego przeprowadzeniem skonsultować z właściwym doradcą prawnym oraz, w razie potrzeby, z odpowiednimi organami zakładowymi.

LanCologne nie zastępuje tej oceny prawnej. Naszym zadaniem jest, po określeniu dopuszczalnego zakresu badania, zbadanie technicznej kwestii dowodowej w sposób przejrzysty, proporcjonalny i bez z góry ustalonego wyniku.

Najczęściej zadawane pytania

Czy urządzenie firmowe może zostać automatycznie poddane pełnej analizie tylko dlatego, że jest własnością przedsiębiorstwa?+
Nie automatycznie. Własność urządzenia i dopuszczalność przetwarzania danych osobowych pracowników to odrębne kwestie. Należy uwzględnić cel, podstawę prawną, konieczność oraz proporcjonalność.
Czy dane z systemu zarządzania urządzeniami mobilnymi (MDM) mogą być wykorzystywane bez ograniczeń w ramach wewnętrznego dochodzenia?+
Dane MDM mogą dostarczać cennych informacji z technicznego punktu widzenia. Należy jednak w każdym przypadku sprawdzić, jakie dane faktycznie są dostępne i czy można je wykorzystać w konkretnym badaniu.
Czy wewnętrzne dochodzenie informatyczno-kryminalistyczne ma na celu znalezienie dowodów obciążających konkretnego pracownika?+
Nie. Odpowiadamy na konkretne pytanie techniczne dotyczące dowodów, nie przesądzając o wyniku. Wyniki przemawiające na korzyść oskarżonego oraz standardowe wyjaśnienia techniczne są dokumentowane według tych samych kryteriów.
Co się dzieje, gdy nie da się jednoznacznie przypisać danego czynu do konkretnej osoby?+
W takim przypadku zakres stwierdzenia zostaje odpowiednio ograniczony. Konto użytkownika, urządzenie lub sesja nie mogą być utożsamiane z osobą fizyczną bez wystarczających przesłanek pozwalających na takie powiązanie.

LanCologne – informatyka śledcza dla przedsiębiorstw

Mają Państwo pytania dotyczące technologii cyfrowych? Firma LanCologne zapewni Państwu pomoc w postaci obiektywnego, bezstronnego dochodzenia informatyczno-kryminalistycznego.

Skontaktuj się z nami już teraz