Informática Forense · Empresas
Como é que uma empresa pode determinar tecnicamente a duração real de uma interrupção de atividade relacionada com as tecnologias da informação?
Zwischen vollständigem Stillstand, Notbetrieb, eingeschränktem Betrieb und Normalbetrieb liegen technisch unterschiedliche Zustände.
Por que razão esta questão é importante para uma empresa
Na fase de recuperação de um incidente cibernético, são tomadas decisões técnicas que podem influenciar simultaneamente a capacidade operacional, a preservação de provas, a proteção de dados e a rastreabilidade posterior. Uma documentação rigorosa não só protege o departamento de TI, como também cria uma base factual sólida para a direção da empresa e para o aconselhamento jurídico.
Abordagem técnica de investigação
Wir rekonstruieren Verfügbarkeit geschäftskritischer Dienste, Authentifizierung, Netzwerk, Daten und Anwendungen und bilden Wiederanlaufphasen nachvollziehbar ab.
Onde se situa o limite da afirmação
Die technische Verfügbarkeit eines Systems beweist nicht, dass der gesamte Geschäftsprozess wirtschaftlich wieder normal lief.
Porquê o LanCologne?
Após um incidente cibernético grave, a tarefa não termina com a neutralização do ataque. A empresa tem de restabelecer o funcionamento dos sistemas de forma controlada, avaliar os dados e as cópias de segurança, proteger as identidades, analisar as interrupções operacionais e, ao mesmo tempo, preservar provas para eventuais questões jurídicas, relacionadas com seguros ou regulamentares.
Por isso, a LanCologne distingue entre a resposta operacional a incidentes e a reconstrução forense, sem isolar artificialmente uma da outra. A contenção e a recuperação protegem a empresa; a análise forense documenta o que aconteceu e quais os factos técnicos que fundamentaram as medidas tomadas.
Não trabalhamos com base no princípio de proteger totalmente o maior número possível de sistemas. Os fatores decisivos são a questão concreta da prova, a natureza efémera de uma fonte de dados, o papel do sistema no ataque e a proporcionalidade. É dada prioridade aos dados primários particularmente reveladores.
No processo de recuperação, distinguimos entre acessibilidade técnica, funcionamento do sistema, usabilidade funcional e funcionamento normal completo. Da mesma forma, a existência de cópias de segurança, a integridade das mesmas e a capacidade efetiva de recuperação não são consideradas sinónimas.
A documentação não chega a uma conclusão definitiva. Se uma desativação preventiva foi tecnicamente justificável, embora posteriormente não tenha sido possível comprovar qualquer comprometimento, ambas as hipóteses podem estar corretas ao mesmo tempo. São precisamente estas distinções que tornam uma avaliação posterior fiável.
A nossa forma de trabalhar
A restauração não deve distorcer retroativamente os factos históricos
Um sistema que tenha sido devidamente restaurado após o incidente não revela automaticamente qual era o seu estado antes ou durante o ataque. Por isso, documentamos separadamente os resultados históricos e as medidas corretivas posteriores. Desta forma, evita-se que o estado melhorado após o incidente seja tratado retroativamente como prova de factos anteriores.
Quadro jurídico e regulamentar
No tratamento de dados pessoais, continuam a aplicar-se, em particular, os princípios do artigo 5.º do RGPD, bem como a exigência de uma base jurídica sólida nos termos do artigo 6.º do RGPD. O artigo 32.º do RGPD exige a adoção de medidas técnicas e organizacionais adequadas, tendo em conta o risco, e refere, entre outros aspetos, a confidencialidade, a integridade, a disponibilidade, a resiliência, bem como a capacidade de restabelecer rapidamente a disponibilidade e o acesso após uma incidência.
Em caso de violação da proteção de dados pessoais, os artigos 33.º e 34.º do RGPD podem ser aplicáveis. O artigo 33.º prevê, entre os seus requisitos, que a notificação à autoridade de controlo seja, em princípio, imediata e, na medida do possível, efetuada no prazo de 72 horas após o conhecimento da violação, exigindo, nos termos do n.º 5, a documentação da violação, dos seus efeitos e das medidas corretivas adotadas. Em caso de risco presumivelmente elevado, o artigo 34.º pode, além disso, exigir a notificação das pessoas em causa. A verificação do cumprimento das respetivas condições é efetuada à luz da legislação em matéria de proteção de dados; a perícia forense fornece os factos técnicos.
Para as empresas abrangidas pela nova versão da Lei BSI, em vigor desde dezembro de 2025, podem existir obrigações adicionais para instalações de importância especial e importante. Dependendo da classificação, estas incluem requisitos relativos à gestão de riscos de cibersegurança e ao tratamento ou notificação de incidentes de segurança significativos. As obrigações da direção são expressamente abordadas na atual Lei BSI. Para determinar se uma determinada empresa está abrangida e quais os prazos ou obrigações aplicáveis em cada caso específico, é necessário verificar a classificação legal atual.
No que diz respeito aos dados dos trabalhadores, o artigo 26.º da BDSG e os direitos de co-decisão a nível da empresa podem também ser relevantes. Mesmo durante um incidente cibernético, a possibilidade técnica de acesso não implica um âmbito de investigação ilimitado.
A LanCologne fornece conclusões técnicas e documenta a sua fundamentação. As decisões relativas a obrigações de comunicação, responsabilidade, medidas ao abrigo do direito do trabalho ou outras consequências jurídicas são da competência exclusiva dos órgãos competentes da empresa, dos responsáveis pela proteção de dados e dos consultores jurídicos.
LanCologne para a análise forense e a recuperação controlada
A LanCologne combina o pormenor técnico com uma apresentação compreensível para os decisores. Não nos limitamos a documentar quais as medidas que foram implementadas, mas também em que fundamentos técnicos se basearam e quais são os limites das conclusões. Isto proporciona transparência para a direção, a assessoria jurídica, a seguradora e uma eventual verificação técnica posterior.
Perguntas frequentes
Como é que uma empresa pode determinar tecnicamente a duração real de uma interrupção de atividade relacionada com as tecnologias da informação?
Como é que essa análise técnica decorre na prática?
A investigação conduz sempre a um resultado inequívoco, seja a favor ou contra uma das pessoas envolvidas?
Existe alguma base legal para isso?
Em caso de violação da proteção de dados pessoais, os artigos 33.º e 34.º do RGPD podem ser aplicáveis. O artigo 33.º prevê, entre os seus requisitos, que a notificação à autoridade de controlo seja, em princípio, imediata e, na medida do possível, efetuada no prazo de 72 horas após o conhecimento da violação, exigindo, nos termos do n.º 5, a documentação da violação, dos seus efeitos e das medidas corretivas adotadas. Em caso de risco presumivelmente elevado, o artigo 34.º pode, além disso, exigir a notificação das pessoas em causa. A verificação do cumprimento das respetivas condições é efetuada à luz da legislação em matéria de proteção de dados; a perícia forense fornece os factos técnicos.
Para as empresas abrangidas pela nova versão da Lei BSI, em vigor desde dezembro de 2025, podem existir obrigações adicionais para instalações de importância especial e importante. Dependendo da classificação, estas incluem requisitos relativos à gestão de riscos de cibersegurança e ao tratamento ou notificação de incidentes de segurança significativos. As obrigações da direção são expressamente abordadas na atual Lei BSI. Para determinar se uma determinada empresa está abrangida e quais os prazos ou obrigações aplicáveis em cada caso específico, é necessário verificar a classificação legal atual.
No que diz respeito aos dados dos trabalhadores, o artigo 26.º da BDSG e os direitos de co-decisão a nível da empresa podem também ser relevantes. Mesmo durante um incidente cibernético, a possibilidade técnica de acesso não implica um âmbito de investigação ilimitado.
A LanCologne fornece conclusões técnicas e documenta a sua fundamentação. As decisões relativas a obrigações de comunicação, responsabilidade, medidas ao abrigo do direito do trabalho ou outras consequências jurídicas são da competência exclusiva dos órgãos competentes da empresa, dos responsáveis pela proteção de dados e dos consultores jurídicos.
🔗 Temas relacionados
LanCologne – Informática forense para empresas
Tem alguma questão relacionada com o mundo digital? A LanCologne presta-lhe apoio através de uma investigação forense informática objetiva e imparcial.
Relacionado com este tema
- Como pode uma empresa verificar a integridade dos sistemas restaurados após um ciberataque?
- Como pode uma empresa garantir a segurança forense da reposição em funcionamento de um Active Directory ou de um sistema central de identidades?
- Como é que uma empresa pode documentar, de forma tecnicamente compreensível, as decisões da direção durante um incidente cibernético?
- Que papel pode desempenhar uma perícia informática independente em incidentes cibernéticos relevantes ao abrigo da NIS-2 ou da BSIG?