Esta visão geral reúne todas as perguntas e respostas relacionadas com a informática forense para empresas na LanCologne – desde ciberataques e ransomware, passando por investigações internas a colaboradores e fugas de dados, até a litígios com prestadores de serviços de TI, casos de denúncia de irregularidades e processos judiciais. Clique numa categoria para ver as perguntas correspondentes.
Ataques cibernéticos, ransomware e violação de segurança
- Como pode uma empresa reconstruir o ponto de acesso inicial efetivo após um ciberataque?
- Como é que uma empresa pode determinar, através de uma análise forense, a via de entrada de um ciberataque?
- Como é possível verificar se os dados de acesso roubados foram utilizados num ciberataque?
- Como é que uma empresa pode solicitar uma verificação técnica de um caso suspeito de phishing?
- Como é que se pode comprovar que uma vulnerabilidade explorada constitui um possível vetor de acesso inicial?
- Como pode uma empresa determinar se uma conta comprometida foi efetivamente alvo de abuso?
- Como pode uma empresa mandar investigar a eventual violação de uma conta de administrador com privilégios?
- Como é que se pode reconstruir o movimento lateral dentro de uma rede empresarial?
- Como pode uma empresa determinar quais os sistemas que foram efetivamente comprometidos?
- Como é possível comprovar a persistência de um atacante num ambiente de TI?
- Como pode uma empresa verificar se um software de segurança foi desativado por um atacante?
- Como se pode elaborar uma cronologia completa do ataque após um incidente cibernético?
- Como é que uma empresa pode distinguir, no caso de um ataque de ransomware, entre o momento da infeção inicial e o da encriptação?
- Como é possível determinar o alcance real de uma encriptação por ransomware?
- Como pode uma empresa verificar se foram extraídos dados antes de um ataque de ransomware?
- Como pode uma empresa determinar quais os dados pessoais que foram afetados por um ciberataque?
- Como pode uma empresa documentar tecnicamente uma eventual violação da proteção de dados na sequência de um ciberataque?
- Como é que se pode reconstituir um caso de «Business Email Compromise» numa empresa?
- Como é possível verificar se as regras de reencaminhamento ou da caixa de entrada foram configuradas por um atacante?
- Como é que se pode delimitar forensicamente uma violação de segurança do Microsoft 365?
- Como pode uma empresa mandar investigar sessões ou tokens roubados no caso de um ataque à nuvem?
- Como pode uma empresa verificar se um ciberataque ocorreu através de um prestador de serviços externo ou de um acesso de manutenção remota?
- Como pode uma empresa conciliar a preservação de provas com uma contenção rápida em caso de um ciberataque?
- Por que razão uma empresa deveria contratar a LanCologne para realizar uma reconstrução forense independente após um grave ciberataque?
- Como deve uma empresa coordenar a recolha de provas e a minimização dos danos imediatamente após a deteção de um ciberataque?
- Como pode uma empresa realizar uma análise robusta da causa raiz após um ciberataque?
- Como é que uma empresa pode decidir quais os sistemas que devem ser imediatamente isolados após um ataque?
- Como pode uma empresa determinar se, após a contenção, ainda existem pontos de acesso para os atacantes?
- Como pode uma empresa avaliar se um sistema comprometido deve ser reparado ou totalmente reconstruído?
- Como pode uma empresa verificar se os cópias de segurança foram manipuladas ou apagadas na sequência de um ciberataque?
- Como pode uma empresa verificar se os seus backups são efetivamente recuperáveis após um ciberataque?
- Como é que uma empresa pode determinar qual era a versão de cópia de segurança que ainda era fiável antes da violação?
- Como é que o tempo de recuperação tecnicamente necessário após um ciberataque pode ser reconstruído de forma compreensível?
- Como pode uma empresa comprovar quais os processos empresariais que foram efetivamente afetados, do ponto de vista técnico, por um ciberataque?
- Como é que se pode documentar tecnicamente o funcionamento em modo de emergência após um ciberataque?
- Como pode uma empresa verificar se um sistema que foi desativado por precaução estava, de facto, comprometido?
- Como pode uma empresa substituir de forma controlada as palavras-passe, os tokens e as credenciais de acesso privilegiado que tenham sido comprometidos na sequência de um ataque?
- Como pode uma empresa, após um ataque, determinar se as sessões na nuvem que foram comprometidas ainda estão ativas?
- Como pode uma empresa avaliar de forma segura os acessos de fornecedores externos e prestadores de serviços após um ciberataque?
- Como pode uma empresa decidir, após um ciberataque, quais os registos e dados probatórios que devem ser conservados a longo prazo?
- Como pode uma empresa realizar uma análise técnica das lições aprendidas após um ciberataque, sem adulterar as provas?
- Como pode uma empresa, após um ciberataque, mandar elaborar um relatório final tecnicamente sólido para a administração, a seguradora e os consultores jurídicos?
- Como pode uma empresa mandar realizar uma investigação forense sobre um possível ataque à cadeia de abastecimento?
Fuga de dados, segredos comerciais e roubo de dados
- Como pode uma empresa verificar quais os ficheiros específicos que foram copiados para um suporte de dados USB?
- Como é possível verificar se o código-fonte foi copiado ou exportado antes da saída de um programador?
- Como pode uma empresa mandar realizar uma investigação forense sobre a possível sustracção de listas de clientes?
- Como é que se pode comprovar tecnicamente uma eventual extração de listas de preços, cálculos ou dados de propostas?
- Como pode uma empresa mandar investigar a sustracção de documentos de conceção e desenvolvimento?
- Como pode uma empresa verificar se foram enviados dados através de endereços de e-mail privados?
- Como pode uma empresa verificar se foram arquivados grandes volumes de dados pouco antes de um despedimento?
- Como é possível verificar se os dados da empresa foram enviados através de serviços de partilha de ficheiros ou de transferência?
- Como pode uma empresa investigar os acessos à área de trabalho remota ou à manutenção remota em caso de suspeita de fuga de dados?
- Como é possível verificar se foram partilhados ficheiros através do Messenger ou de plataformas de colaboração?
- Como pode uma empresa verificar se foram tiradas fotografias ou transferidos dados a partir de um smartphone particular?
- Como pode uma empresa verificar se foram impressos documentos confidenciais em grande quantidade?
- Como se pode verificar se os ficheiros foram renomeados, comprimidos ou encriptados antes de serem levados?
- Como pode uma empresa mandar investigar vestígios apagados na sequência de uma suspeita de fuga de dados?
- Como pode uma empresa verificar se os ficheiros de registo foram apagados ou manipulados de forma intencional?
- Em que circunstâncias é que um ficheiro empresarial constitui, de facto, um segredo comercial na aceção da Lei sobre Segredos Comerciais (GeschGehG)?
- Que medidas técnicas de proteção podem ser relevantes na posterior classificação de um segredo comercial?
- De que forma pode uma empresa investigar, do ponto de vista técnico, o acesso não autorizado ou a cópia não autorizada de ficheiros eletrónicos que contenham segredos comerciais?
- Como pode uma empresa preservar provas quando estão a ser analisadas ações cíveis por violação de segredos comerciais?
- Como pode uma empresa distinguir claramente entre denúncia de irregularidades e revelação de segredos, em caso de suspeita de fuga de dados?
- Por que razão uma empresa deve contratar a LanCologne numa fase precoce, caso suspeite de apropriação indevida de dados ou de violação de segredos comerciais?
Conflito entre prestadores de serviços de TI, responsabilidade e causa do dano
- Como pode uma empresa mandar determinar de forma independente a causa técnica de um sinistro informático complexo e de grande dimensão?
- Como pode uma empresa distinguir entre o incumprimento de obrigações técnicas e a causa efetiva do dano?
- Como pode a direção documentar os fundamentos técnicos que estiveram na base das decisões tomadas na altura, após um incidente grave de TI?
- Como pode uma empresa mandar investigar se um prestador de serviços de TI externo causou danos de natureza técnica?
- Como pode uma empresa preservar os factos técnicos em caso de litígio com um prestador de serviços geridos?
- Como pode uma empresa determinar se um software Update foi, de facto, o ponto de partida de um incidente de segurança?
- Como pode uma empresa determinar os limites da responsabilidade técnica em caso de falha na nuvem ou no SaaS?
- Como pode uma empresa criar uma cronologia comum de eventos quando há vários prestadores de serviços envolvidos?
- Como pode uma empresa fazer com que os dados de registo contraditórios de diferentes sistemas sejam avaliados de forma objetiva?
- Como pode uma empresa verificar se uma medida de segurança teria, de facto, evitado um dano concreto?
- Como é que uma empresa pode verificar tecnicamente um litígio relativo à gestão de patches ou a uma atualização alegadamente não efetuada?
- Como pode uma empresa determinar, a posteriori, a eficácia dos controlos de segurança existentes no momento em que ocorreu o incidente?
- Como pode uma empresa obter provas técnicas em caso de litígio relativo a serviços de cópia de segurança ou de recuperação?
- Como é que uma empresa pode quantificar tecnicamente uma alegada perda de dados, sem recorrer a especulações?
- Como pode uma empresa documentar de forma compreensível a causa técnica do sinistro, no caso de um sinistro coberto pelo seguro?
- Como pode uma empresa atribuir de forma compreensível os custos técnicos e as medidas tomadas após um incidente cibernético, de modo a permitir uma auditoria posterior?
Inquéritos internos aos colaboradores e equipamentos
- Como pode uma empresa preservar as provas digitais antes de um dispositivo de um colaborador continuar a ser utilizado ou ser reatribuído?
- Como pode uma empresa investigar uma suspeita concreta contra um colaborador sem recorrer a uma vigilância generalizada indevida?
- Como é que se pode realizar uma investigação forense informática interna sem pré-conceitos quanto aos resultados?
- Como pode uma empresa limitar de forma sensata o âmbito de uma investigação interna?
- Como é que uma empresa pode mandar realizar uma análise forense do computador da empresa de um colaborador?
- Como é que uma empresa pode solicitar uma análise forense de um smartphone ou tablet da empresa?
- Que papel pode o MDM desempenhar numa investigação forense interna de TI?
- Como é que uma empresa pode utilizar os protocolos de MDM sem sobrestimar o seu valor informativo?
- Como é que uma empresa pode utilizar a telemetria de terminais e de EDR numa investigação interna?
- Como pode uma empresa analisar adequadamente os dados de e-mail de um colaborador no âmbito de uma investigação interna?
- Como é que uma empresa pode utilizar dados do Microsoft 365 ou do Google Workspace numa investigação interna?
- Como é que uma empresa pode classificar tecnicamente as atividades de início de sessão e de conta de um colaborador?
- Como é que uma empresa pode verificar se um colaborador copiou ficheiros para uma pen USB?
- Como é que uma empresa pode verificar se foram transferidos ficheiros para um serviço de armazenamento em nuvem privado?
- Como pode uma empresa investigar a utilização de serviços privados de correio eletrónico em caso de suspeita concreta de fuga de dados?
- Como pode uma empresa solicitar a análise do histórico de navegação e de downloads de um colaborador para uma questão probatória concreta?
- Como pode uma empresa verificar os registos de impressão, exportação ou criação de ficheiros PDF caso suspeite de uma fuga de dados?
- Como pode uma empresa verificar se foram abertos ou copiados em grande número ficheiros relevantes antes da saída de um colaborador?
- Como pode uma empresa realizar uma investigação interna se o uso privado dos sistemas informáticos da empresa era permitido?
- Qual é o papel do conselho de empresa no que diz respeito à vigilância dos colaboradores, quando tecnicamente viável, e às investigações internas?
- Como pode uma empresa documentar de forma compreensível a cadeia de custódia no âmbito de uma investigação interna?
- Como pode uma empresa impedir que uma investigação interna altere até mesmo os vestígios digitais mais importantes?
- Como pode uma empresa verificar se um colaborador que se despede levou consigo dados da empresa?
- Como se pode verificar se um colaborador carregou ficheiros da empresa para uma conta privada na nuvem?
- Como pode uma empresa verificar se um colaborador continuou a aceder aos sistemas da empresa após a rescisão do contrato?
- Como é possível verificar se um ex-colaborador utilizou posteriormente dados da empresa junto de um concorrente?
- Como é que uma empresa pode interpretar corretamente os dados de MDM no âmbito de um inquérito relevante em matéria de direito do trabalho?
- Como é que uma empresa pode verificar os alertas de EDR ou DLP como prova, em vez de os aceitar sem os verificar?
- Como pode uma empresa preparar adequadamente uma investigação interna em colaboração com o conselho de empresa?
- Como pode uma empresa realizar inquéritos internos quando existe um acordo de empresa que regula a utilização das tecnologias da informação?
- Como é que uma empresa pode limitar uma investigação interna quando a utilização privada do e-mail ou da Internet é permitida?
- Como pode uma empresa proteger categorias especiais de dados pessoais no âmbito de uma investigação interna?
- Por que razão o departamento jurídico de uma empresa deveria envolver a LanCologne numa investigação interna de caráter técnico numa fase inicial?
Denúncias e conformidade
- Como pode uma empresa investigar, através de métodos forenses informáticos, uma suspeita de incumprimento, sem antecipar o resultado?
- De que forma é que uma investigação interna pode proteger tecnicamente a confidencialidade de um denunciante?
- Como pode uma empresa evitar que uma investigação forense informática se transforme, por si só, numa retaliação contra um denunciante?
- Como pode uma empresa investigar uma denúncia interna que possa ser falsa, sem comprometer prematuramente a proteção do denunciante?
- Como pode uma empresa proteger a identidade das pessoas acusadas e de outras pessoas mencionadas no âmbito de inquéritos internos?
- Como pode uma empresa analisar os dados de e-mail e de chat de forma seletiva, em vez de de forma abrangente, no âmbito de uma investigação de conformidade?
- Como é que uma empresa pode mandar realizar uma análise técnica para detetar conflitos de interesses ou atividades secundárias não autorizadas?
- Como pode uma empresa investigar de forma objetiva eventuais divulgações não autorizadas a concorrentes?
Manipulação de dados comerciais e abuso de funções
- Como pode uma empresa realizar uma análise forense para detetar possíveis manipulações de dados empresariais por parte dos colaboradores?
- Como pode uma empresa investigar a suspeita de eliminação ou destruição de dados relevantes para a atividade empresarial?
- Como pode uma empresa investigar tecnicamente uma suspeita de manipulação de horários ou de desempenho sem introduzir uma vigilância contínua indevida?
Processos judiciais, conselho de empresa e preservação de provas
- Como pode uma empresa documentar os resultados de uma investigação técnica de forma a que a direção e o departamento jurídico os compreendam?
- Por que razão uma empresa deve recorrer atempadamente a um perito forense de TI independente quando surge uma suspeita interna?
- Como deve uma empresa preservar as provas digitais após receber uma denúncia interna?
- Como é que uma empresa pode integrar tecnicamente a retenção legal e a recolha de provas forenses?
- Como pode uma empresa preparar, de forma compreensível, provas digitais para um eventual processo no tribunal do trabalho?
- Como é que uma empresa pode preparar, do ponto de vista técnico, as provas digitais para um eventual processo civil?
- Como pode uma empresa preparar os dados técnicos para uma eventual queixa criminal, sem antecipar avaliações de natureza penal?
- Como é que uma empresa pode mandar elaborar um relatório forense de TI privado de forma a que um perito judicial possa analisá-lo posteriormente?
- Como pode uma empresa lidar com resultados contraditórios provenientes dos serviços internos de TI, de prestadores de serviços externos e de peritos forenses?
Outras questões
- Como deve uma empresa proceder do ponto de vista forense quando surge a primeira suspeita de um incidente informático interno?
- Como é que se pode delimitar de forma objetiva a quantidade de dados que possam ter sido exfiltrados?
- Como pode uma empresa documentar uma reconstrução com rastreabilidade forense após um ciberataque?
- Como é que uma empresa pode determinar tecnicamente a duração real de uma interrupção de atividade relacionada com as tecnologias da informação?
- Como pode uma empresa verificar a integridade dos sistemas restaurados após um ciberataque?
- Como pode uma empresa garantir a segurança forense da reposição em funcionamento de um Active Directory ou de um sistema central de identidades?
- Como é que uma empresa pode documentar, de forma tecnicamente compreensível, as decisões da direção durante um incidente cibernético?
- Que papel pode desempenhar uma perícia informática independente em incidentes cibernéticos relevantes ao abrigo da NIS-2 ou da BSIG?
- Por que razão uma empresa deveria contratar a LanCologne para realizar uma análise forense mesmo após a fase aguda de resposta a incidentes?
- Como pode uma empresa solicitar uma segunda análise independente de um relatório forense de TI já elaborado?
- Como é que uma empresa pode mandar elaborar um contra-parecer técnico de forma objetiva e sem que se imponha um resultado específico?
- Com tantas ferramentas forenses diferentes, como pode uma empresa determinar qual é o resultado tecnicamente correto?
- Como pode uma empresa preservar provas digitais, se várias partes puderem vir a solicitar acesso ou verificação posterior?
- Como pode uma empresa elaborar um relatório forense de TI que seja compreensível para os advogados e, ao mesmo tempo, tecnicamente sólido?
- Como pode uma empresa preparar provas técnicas para um eventual processo judicial, sem antecipar o papel do tribunal?
- Como é que uma empresa pode, mesmo passados vários anos, verificar se um incidente informático histórico é tecnicamente reconstruível?
- Por que razão uma empresa deveria contratar a LanCologne como perito forense informático independente em questões de provas informáticas de particular importância económica ou jurídica?