Informática Forense · Empresas

Como pode uma empresa realizar uma análise técnica das lições aprendidas após um ciberataque, sem adulterar as provas?

Verbesserungsmaßnahmen sind wichtig, dürfen aber nicht nachträglich mit der Rekonstruktion dessen vermischt werden, was zum Vorfallszeitpunkt tatsächlich bestand.

Pedido de informação sem compromisso

Por que razão esta questão é importante para uma empresa

Na fase de recuperação de um incidente cibernético, são tomadas decisões técnicas que podem influenciar simultaneamente a capacidade operacional, a preservação de provas, a proteção de dados e a rastreabilidade posterior. Uma documentação rigorosa não só protege o departamento de TI, como também cria uma base factual sólida para a direção da empresa e para o aconselhamento jurídico.

Abordagem técnica de investigação

Wir trennen historischen Befund, Ursache, begünstigende Bedingungen und spätere Verbesserungsmaßnahmen und dokumentieren Versions- und Änderungszeitpunkte.

Onde se situa o limite da afirmação

Eine nach dem Vorfall eingeführte Sicherheitsmaßnahme beweist nicht automatisch, dass ihr vorheriges Fehlen die alleinige Ursache des Angriffs war.

Porquê o LanCologne?

Após um incidente cibernético grave, a tarefa não termina com a neutralização do ataque. A empresa tem de restabelecer o funcionamento dos sistemas de forma controlada, avaliar os dados e as cópias de segurança, proteger as identidades, analisar as interrupções operacionais e, ao mesmo tempo, preservar provas para eventuais questões jurídicas, relacionadas com seguros ou regulamentares.

Por isso, a LanCologne distingue entre a resposta operacional a incidentes e a reconstrução forense, sem isolar artificialmente uma da outra. A contenção e a recuperação protegem a empresa; a análise forense documenta o que aconteceu e quais os factos técnicos que fundamentaram as medidas tomadas.

Não trabalhamos com base no princípio de proteger totalmente o maior número possível de sistemas. Os fatores decisivos são a questão concreta da prova, a natureza efémera de uma fonte de dados, o papel do sistema no ataque e a proporcionalidade. É dada prioridade aos dados primários particularmente reveladores.

No processo de recuperação, distinguimos entre acessibilidade técnica, funcionamento do sistema, usabilidade funcional e funcionamento normal completo. Da mesma forma, a existência de cópias de segurança, a integridade das mesmas e a capacidade efetiva de recuperação não são consideradas sinónimas.

A documentação não chega a uma conclusão definitiva. Se uma desativação preventiva foi tecnicamente justificável, embora posteriormente não tenha sido possível comprovar qualquer comprometimento, ambas as hipóteses podem estar corretas ao mesmo tempo. São precisamente estas distinções que tornam uma avaliação posterior fiável.

A nossa forma de trabalhar

A restauração não deve distorcer retroativamente os factos históricos

Um sistema que tenha sido devidamente restaurado após o incidente não revela automaticamente qual era o seu estado antes ou durante o ataque. Por isso, documentamos separadamente os resultados históricos e as medidas corretivas posteriores. Desta forma, evita-se que o estado melhorado após o incidente seja tratado retroativamente como prova de factos anteriores.

Quadro jurídico e regulamentar

No tratamento de dados pessoais, continuam a aplicar-se, em particular, os princípios do artigo 5.º do RGPD, bem como a exigência de uma base jurídica sólida nos termos do artigo 6.º do RGPD. O artigo 32.º do RGPD exige a adoção de medidas técnicas e organizacionais adequadas, tendo em conta o risco, e refere, entre outros aspetos, a confidencialidade, a integridade, a disponibilidade, a resiliência, bem como a capacidade de restabelecer rapidamente a disponibilidade e o acesso após uma incidência.

Em caso de violação da proteção de dados pessoais, os artigos 33.º e 34.º do RGPD podem ser aplicáveis. O artigo 33.º prevê, entre os seus requisitos, que a notificação à autoridade de controlo seja, em princípio, imediata e, na medida do possível, efetuada no prazo de 72 horas após o conhecimento da violação, exigindo, nos termos do n.º 5, a documentação da violação, dos seus efeitos e das medidas corretivas adotadas. Em caso de risco presumivelmente elevado, o artigo 34.º pode, além disso, exigir a notificação das pessoas em causa. A verificação do cumprimento das respetivas condições é efetuada à luz da legislação em matéria de proteção de dados; a perícia forense fornece os factos técnicos.

Para as empresas abrangidas pela nova versão da Lei BSI, em vigor desde dezembro de 2025, podem existir obrigações adicionais para instalações de importância especial e importante. Dependendo da classificação, estas incluem requisitos relativos à gestão de riscos de cibersegurança e ao tratamento ou notificação de incidentes de segurança significativos. As obrigações da direção são expressamente abordadas na atual Lei BSI. Para determinar se uma determinada empresa está abrangida e quais os prazos ou obrigações aplicáveis em cada caso específico, é necessário verificar a classificação legal atual.

No que diz respeito aos dados dos trabalhadores, o artigo 26.º da BDSG e os direitos de co-decisão a nível da empresa podem também ser relevantes. Mesmo durante um incidente cibernético, a possibilidade técnica de acesso não implica um âmbito de investigação ilimitado.

A LanCologne fornece conclusões técnicas e documenta a sua fundamentação. As decisões relativas a obrigações de comunicação, responsabilidade, medidas ao abrigo do direito do trabalho ou outras consequências jurídicas são da competência exclusiva dos órgãos competentes da empresa, dos responsáveis pela proteção de dados e dos consultores jurídicos.

LanCologne para a análise forense e a recuperação controlada

A LanCologne combina o pormenor técnico com uma apresentação compreensível para os decisores. Não nos limitamos a documentar quais as medidas que foram implementadas, mas também em que fundamentos técnicos se basearam e quais são os limites das conclusões. Isto proporciona transparência para a direção, a assessoria jurídica, a seguradora e uma eventual verificação técnica posterior.

Perguntas frequentes

🔗 Temas relacionados