Informática Forense · Empresas

Como é que o tempo de recuperação tecnicamente necessário após um ciberataque pode ser reconstruído de forma compreensível?

Für die Betriebsunterbrechungsversicherung, für Schadensersatzansprüche und für die Bewertung der eigenen Notfallplanung ist entscheidend, wie lange Systeme tatsächlich nicht verfügbar waren und welche Schritte die Wiederherstellung bestimmt haben. Diese Zeiten lassen sich aus technischen Spuren belegen.

Pedido de informação sem compromisso

Por que razão esta questão é importante para uma empresa

Na fase de recuperação de um incidente cibernético, são tomadas decisões técnicas que podem influenciar simultaneamente a capacidade operacional, a preservação de provas, a proteção de dados e a rastreabilidade posterior. Uma documentação rigorosa não só protege o departamento de TI, como também cria uma base factual sólida para a direção da empresa e para o aconselhamento jurídico.

Technischer Hintergrund

Es ist sinnvoll, zwischen technischer Erreichbarkeit, eingeschränktem Betrieb und vollständigem Regelbetrieb zu unterscheiden. Verzögerungen entstehen häufig durch nicht nutzbare Backups, Abhängigkeiten zwischen Systemen (AD vor ERP), forensische Sicherung vor Wiederaufbau oder fehlende Dokumentation.

Relevante Spuren und Datenquellen

• Backup- und Restore-Protokolle (Start, Ende, Fehler)
• Systemstart- und Dienststatusereignisse
• Monitoring-Daten und Ticketsysteme
• Anmeldungen der ersten Nutzer in Fachanwendungen

Grenzen

• Wurden Systeme neu aufgebaut und alte Logs nicht gesichert, sind einzelne Zeitpunkte nur über Sekundärquellen belegbar.
• Die versicherungsrechtliche Bewertung erfolgt durch Versicherer bzw. Gutachter.

Mögliche Ergebnisse

• Zeitlinie der Wiederherstellung je System
• Begründung von Verzögerungen

Porquê o LanCologne?

Após um incidente cibernético grave, a tarefa não termina com a neutralização do ataque. A empresa tem de restabelecer o funcionamento dos sistemas de forma controlada, avaliar os dados e as cópias de segurança, proteger as identidades, analisar as interrupções operacionais e, ao mesmo tempo, preservar provas para eventuais questões jurídicas, relacionadas com seguros ou regulamentares.

So gehen wir vor

• Definition der zu belegenden Zeitpunkte je kritischem System.
• Auswertung der Protokolle und Abgleich mit Ticket- und Kommunikationsdaten.
• Darstellung von Abhängigkeiten und Gründen für Verzögerungen.

A restauração não deve distorcer retroativamente os factos históricos

Um sistema que tenha sido devidamente restaurado após o incidente não revela automaticamente qual era o seu estado antes ou durante o ataque. Por isso, documentamos separadamente os resultados históricos e as medidas corretivas posteriores. Desta forma, evita-se que o estado melhorado após o incidente seja tratado retroativamente como prova de factos anteriores.

Quadro jurídico e regulamentar

No tratamento de dados pessoais, continuam a aplicar-se, em particular, os princípios do artigo 5.º do RGPD, bem como a exigência de uma base jurídica sólida nos termos do artigo 6.º do RGPD. O artigo 32.º do RGPD exige a adoção de medidas técnicas e organizacionais adequadas, tendo em conta o risco, e refere, entre outros aspetos, a confidencialidade, a integridade, a disponibilidade, a resiliência, bem como a capacidade de restabelecer rapidamente a disponibilidade e o acesso após uma incidência.

Em caso de violação da proteção de dados pessoais, os artigos 33.º e 34.º do RGPD podem ser aplicáveis. O artigo 33.º prevê, entre os seus requisitos, que a notificação à autoridade de controlo seja, em princípio, imediata e, na medida do possível, efetuada no prazo de 72 horas após o conhecimento da violação, exigindo, nos termos do n.º 5, a documentação da violação, dos seus efeitos e das medidas corretivas adotadas. Em caso de risco presumivelmente elevado, o artigo 34.º pode, além disso, exigir a notificação das pessoas em causa. A verificação do cumprimento das respetivas condições é efetuada à luz da legislação em matéria de proteção de dados; a perícia forense fornece os factos técnicos.

Para as empresas abrangidas pela nova versão da Lei BSI, em vigor desde dezembro de 2025, podem existir obrigações adicionais para instalações de importância especial e importante. Dependendo da classificação, estas incluem requisitos relativos à gestão de riscos de cibersegurança e ao tratamento ou notificação de incidentes de segurança significativos. As obrigações da direção são expressamente abordadas na atual Lei BSI. Para determinar se uma determinada empresa está abrangida e quais os prazos ou obrigações aplicáveis em cada caso específico, é necessário verificar a classificação legal atual.

No que diz respeito aos dados dos trabalhadores, o artigo 26.º da BDSG e os direitos de co-decisão a nível da empresa podem também ser relevantes. Mesmo durante um incidente cibernético, a possibilidade técnica de acesso não implica um âmbito de investigação ilimitado.

A LanCologne fornece conclusões técnicas e documenta a sua fundamentação. As decisões relativas a obrigações de comunicação, responsabilidade, medidas ao abrigo do direito do trabalho ou outras consequências jurídicas são da competência exclusiva dos órgãos competentes da empresa, dos responsáveis pela proteção de dados e dos consultores jurídicos.

LanCologne para a análise forense e a recuperação controlada

A LanCologne combina o pormenor técnico com uma apresentação compreensível para os decisores. Não nos limitamos a documentar quais as medidas que foram implementadas, mas também em que fundamentos técnicos se basearam e quais são os limites das conclusões. Isto proporciona transparência para a direção, a assessoria jurídica, a seguradora e uma eventual verificação técnica posterior.

Perguntas frequentes

🔗 Temas relacionados