Kibernapad podjetja pogosto v najkrajšem času postavi pred obsežna tehnična, organizacijska in pravna vprašanja. Poleg obvladovanja incidenta in ponovne vzpostavitve poslovanja je treba ugotoviti, kaj se je dejansko zgodilo, kateri sistemi so prizadeti, kako daleč je morebitni napadalec prodrl v infrastrukturo ter ali so bili podatki pregledani, spremenjeni, izbrisani ali preneseni.
Kibernapad v podjetju – kaj se je dejansko zgodilo?
Po varnostnem incidentu posamezna opozorila varnostnega sistema pogosto ne zadostujejo za oceno dejanskega obsega napada. Kompromitiran uporabniški račun, sumljiva omrežna povezava ali zlonamerna programska oprema na posameznem sistemu so lahko le del precej obsežnejšega incidenta.
IT-forenzična preiskava zato sledi celostnemu pristopu. Glede na razpoložljive dokaze se lahko preučijo med drugim naslednja vprašanja:
- Kdaj je mogoče zaznati prve znake vdora?
- Kako bi lahko potekal prvotni dostop do infrastrukture?
- Kateri sistemi in uporabniški računi so bili prizadeti?
- Ali so bili uporabljeni administrativni ali privilegirani računi?
- Ali se je napadalec premikal znotraj infrastrukture?
- Ali so bili vzpostavljeni dodatni dostopi ali mehanizmi za ohranjanje?
- Katere datoteke in podatkovne zbirke so bile odprte?
- Ali obstajajo tehnični znaki, ki kažejo na prenos ali iznos podatkov?
- Ali so bili podatki spremenjeni, šifrirani ali izbrisani?
- Kateri varnostni mehanizmi so bili morda zaobiti ali manipulirani?
- Kateri zunanji sistemi ali IP-naslovi so sodelovali pri komunikaciji?
- Kateri kazalniki ogroženosti je mogoče prepoznati?
- Ali je mogoče prvotno pot vstopa tehnično rekonstruirati?
- Kakšne posledice incidenta je mogoče dokazati na podlagi obstoječih sledi?
Resna forenzična preiskava mora prav tako pokazati, na katera vprašanja na podlagi razpoložljivih podatkov ni mogoče odgovoriti brez vsakega dvoma. Vsaka tehnična nenavadnost še ne pomeni dokaza. Zato razlikujemo med ugotovljenimi dejstvi, tehničnimi indici, zaključki, ki jih je mogoče iz tega izpeljati, ter okoliščinami, ki jih na podlagi razpoložljivih podatkov ni mogoče dokončno oceniti.
Zakaj je zgodnja forenzična preiskava pomembna
Digitalne sledi so v nekaterih primerih minljive. Dnevniški datoteki se prepišejo, sistemi v oblaku in varnostni sistemi imajo omejene roke hrambe, delovni pomnilnik se nenehno spreminja, relevantni dokazi pa se lahko zaradi administrativnih posegov spremenijo ali uničijo.
Ko pride do razkritja kibernetskega napada, se zato pogosto pojavi napetost med tremi cilji: Omejiti napad – zagotoviti nemoteno poslovanje – ohraniti digitalne sledi.
Forenzična preiskava ne sme neupravičeno zavlačevati ukrepov, potrebnih za zaustavitev tekočega napada. Hkrati je treba, če je to mogoče, zavarovati zadevne sisteme in vire podatkov, preden se izvedejo nove namestitve, čiščenje ali druge obsežne spremembe.
LanCologne lahko že v zgodnji fazi pomaga pri prepoznavanju forenzično pomembnih virov podatkov in določanju prednostnih nalog za nadaljnje korake preiskave. Kako se Usklajevanje ohranjanja dokazov in omejevanja širjenja, je pri tem eno od prvih praktičnih vprašanj.
Forenzična prva ocena varnostnega incidenta
Na začetku se zabeležijo doslej znana dejstva. Mednje spadajo na primer čas in način odkritja, že ugotovljene nepravilnosti, prizadeti sistemi, obstoječa varnostna obvestila, znani uporabniški računi, izvedeni protiukrepi ter obstoječa IT-infrastruktura.
Nato se skupaj z naročnikom opredelijo konkretni cilji preiskave. Pri obsežnih incidentih ta pristop omogoča določitev prednostnega vrstnega reda posebej pomembnih sistemov in virov podatkov.
Kateri sistemi in viri podatkov se preučujejo?
Glede na infrastrukturo in vrsto incidenta lahko gre na primer za sisteme Windows, Linux in macOS, Server in delovne računalnike, Active Directory in infrastrukture za upravljanje identitet, virtualne sisteme, požarne zidove, sisteme VPN, omrežne komponente, Microsoft 365, Azure, druge storitve v oblaku, sistemi za elektronsko pošto, podatki EDR, XDR in SIEM, varnostni in sistemski dnevniki, omrežni in povezovalni podatki, nosilci podatkov, zunanji pomnilniški mediji, delovni pomnilnik ter sistemi za varnostno kopiranje.
Odločilno ni število preiskanih sistemov, temveč njihova forenzična pomembnost za rekonstrukcijo dogodka.
Glede na zadevno platformo se opremo na ustrezno strokovno področje – na primer na forenzična preiskava sistemov Windows, preučevanje Linux-Servern, Forenzika v sistemu macOS ali analiza mobilnih naprav.
Digitalno zavarovanje in ohranjanje dokazov
Če to zahteva konkretna situacija in če je to tehnično mogoče, se ustrezni podatki forenzično zavarujejo. Pri tem se lahko dokumentirajo vrednosti integritete, originalni podatki pa se ločijo od delovnih kopij, ki se uporabljajo za preiskavo.
Pri preiskavah, ki so pomembne za dokazovanje, se lahko dodatno vodi dokumentirana veriga nadzora (Chain of Custody). Cilj je pregledno dokumentirati izvor in celovitost relevantnih podatkov preiskave.
Praktično vprašanje pri tekočem obratovanju je pri tem, katere podatke iz dnevnikov je treba hraniti kot dokazno gradivo – in kako z izbrisane ali ponarejene dnevniške datoteke kako ravnati.
Analiza varnostnih tveganj
Zavarovani podatki se pregledajo za znake morebitnega vdora. To lahko vključuje:
- sumljivi procesi in programi
- neobičajne prijave uporabnikov in novo odprti računi
- Spremembe pooblastil
- Dostop na daljavo ter dejavnosti v PowerShellu ali na ukazni vrstici
- načrtovane naloge, storitve in mehanizmi samodejnega zagona
- Omrežne povezave in zlonamerna programska oprema
- ponarejene sistemske datoteke in drugi pomembni dokazi
Eno od osrednjih vprašanj v tej zvezi je, kateri sistemi so bili dejansko ogroženi – in tiste, za katere se zgolj domneva, da so prizadete.
Rekonstrukcija poteka napada – časovnica dogodkov
Ena od osrednjih nalog obsežnih forenzičnih preiskav na področju informatike je časovna rekonstrukcija dogodka. Dogodki iz različnih sistemov in virov podatkov se med seboj povezujejo.
Na ta način se lahko postopoma oblikuje celotna slika: Kdaj se je napad začel? Kateri sistem je bil prizadet najprej? Kateri računi so bili nato uporabljeni? Kateri sistemi so bili nato prizadeti? Kdaj so bili podatki priklicani, spremenjeni ali šifrirani?
Kako takšna Kronologija napada v primeru kibernetskega incidenta Kako nastane in kje so njene meje, obravnavamo ločeno. Če je vključenih več ponudnikov storitev, se dodatno pojavi vprašanje glede skupna časovna os.
Prvotni dostop in analiza temeljnega vzroka
Če to omogočajo razpoložljive sledi, se preuči, kako bi lahko potekal prvotni dostop do infrastrukture. Možni vzroki so lahko kompromitirani podatki za dostop, izpostavljene storitve, varnostne ranljivosti, ponarejena e-poštna sporočila, oddaljeni dostopi ali druge tehnične poti napada.
Vzrok se ne šteje za ugotovljenega zgolj zato, ker se zdi tehnično verjeten. Odločilno je, kateri zaključek podpirajo dejansko obstoječi artefakti.
Podrobneje: Analiza temeljnih vzrokov kibernetskega napada, Forenzična določitev poti vstopa in . Tehnična preveritev suma phishinga.
Stransko gibanje, razširitev pooblastil in obstojnost
Pri bolj zapletenih napadih se napadalec pogosto ne omeji le na prvotno okuženi sistem. Zato je mogoče preučiti, ali so bili napadeni tudi drugi sistemi, ali so bili uporabljeni podatki za dostop, ali so bili ogroženi računi s posebnimi pravicami ali pa so bila uporabljena administrativna orodja. Na ta način je pogosto mogoče precej natančneje določiti dejanski obseg incidenta.
Stransko gibanje
Preučuje se, ali in na kakšen način so bili doseženi drugi sistemi znotraj infrastrukture. Podrobneje: rekonstruirati lateralno gibanje znotraj podjetja.
Privilegirani računi
Uporaba administrativnih računov znatno spremeni obseg incidenta. Več o tem: Zloraba administratorskih računov in . ukradeni podatki za dostop.
Trajnost
Načrtovane naloge, storitve, mehanizmi samodejnega zagona in dodatno nastavljeni dostopi lahko napadalcu omogočijo trajen dostop. Več o tem: Dokazovanje mehanizmov obstojnosti.
Dostop do podatkov in morebitno iznos podatkov
Eno od najpomembnejših vprašanj po kibernetskem napadu je pogosto, ali so bili ukradeni podatki podjetja. Pri tem je treba jasno razlikovati med:
- Podatki so bili dosegljiv
- Podatki so bili poklican
- Podatki so bili zbrano oziroma pripravljeni za morebitni prenos
- obstajajo tehnična navodila na prenos
- prenos je mogoč tehnično razumljivo bodo
LanCologne dokumentira, katere od teh trditev podpirajo obstoječi dokazi. Če dejanskega prenosa podatkov ni mogoče dokazati, se iz teoretično možnega dostopa ne sklepa na domnevno dokazan iztok podatkov.
Podrobneje: Preverjanje znakov iztekanja podatkov, Omejitev obsega morebitnega izteka podatkov in . Obdelava osebnih podatkov.
Forenzična preiskava kibernetskega incidenta
Gre za akutni ali pretekli kibernetski incident? Pogovorite se z nami o prizadeti infrastrukturi in vprašanjih, ki jih je treba pojasniti.
IT-forenzika po napadu z izsiljevalsko programsko opremo
Napad z izsiljevalsko programsko opremo se ne začne nujno z vidnim šifriranjem podatkov. Med prvim dostopom in šifriranjem lahko pretečejo ure, dnevi ali v nekaterih primerih celo daljša časovna obdobja.
V tej fazi so lahko bili zbrani podatki za dostop, ogroženi dodatni sistemi, razširjena pooblastila, spremenjeni varnostni mehanizmi ali preučene zbirke podatkov. Vidno šifriranje tako lahko predstavlja le zaključno fazo precej obsežnejšega napada.
Forenzična preiskava v zvezi z izsiljevalsko programsko opremo lahko zato med drugim vključuje:
- začetna pot napada in prizadeti uporabniški računi
- privilegirani dostopi in stranska gibanja
- Mehanizmi vztrajnosti
- Manipulacija z varnostnimi rešitvami
- Dostop do Server in podatkovnih zbirk
- Znaki iztekanja podatkov
- časovni potek do šifriranja
Cilj je, da se incident, kolikor je to tehnično mogoče, rekonstruira od prvega zaznavnega dogodka do vidnih posledic.
Podrobneje: Časovno obdobje med prvim vdorom in šifriranjem, Določitev obsega šifriranja in . Izsiljevalska programska oprema na sistemih Linux.
Microsoft 365, oblak in infrastrukture za upravljanje identitet
Microsoft 365, Azure, druge storitve v oblaku ter Active Directory in druge infrastrukture za upravljanje identitet spadajo med vire podatkov, ki jih je mogoče v okviru preiskave pridobiti in analizirati. Katere zaključke je mogoče potegniti, je odvisno od tega, kateri podatki o revizijah in prijavah so na voljo ter kako dolgo so bili shranjeni.
Podrobneje: Preiskava v zvezi z vdorom v Microsoft 365, aktivne seje v oblaku po napadu, Kraja žetonov seje in . Ponastavitev ogroženih dostopnih podatkov in žetonov.
Forenzična preiskava za kibernetska zavarovanja
Po kibernetskem incidentu so lahko vzrok, obseg in posledice varnostnega dogodka pomembni tudi za ureditev odškodnine v okviru kibernetskega zavarovanja. LanCologne podpira podjetja ter – odvisno od mandata – zavarovalnice oziroma njihove pooblaščene organe pri tehnični obdelavi primera.
Zlasti je mogoče dokumentirati vzrok in časovni potek dogodka, prizadete IT-sisteme, obseg ugotovljene ogroženosti, znake nepooblaščenega dostopa, dostopa do podatkov in morebitnega izteka podatkov, manipulacijo ali šifriranje podatkov, tehnične posledice za poslovanje ter izvedene preiskovalne in varnostne ukrepe.
Konkreten obseg preiskave je mogoče uskladiti z udeleženci in ga razdeliti na jasno opredeljene faze projekta. Ne podajamo izjav glede zavarovalnega kritja, pravice do odškodnine ali pravne odgovornosti.
Podrobneje: IT-forenzika za zavarovalnice in . Preverjanje iztekanja podatkov pred šifriranjem.
IT-forenzika v okviru NIS2 in BSIG
Za posebej pomembne in pomembne ustanove člen 32 zakona BSIG v primeru resnih varnostnih incidentov predvideva stopnjevane obveznosti poročanja – najprej prvo poročilo v roku 24 ur po ugotovitvi incidenta, nato nadaljnje poročilo v roku 72 ur in nazadnje zaključno poročilo.
Ali je podjetje v posameznem primeru dolžno poročati in kateri roki konkretno veljajo, je pravna ocena. Te ocene ne izvajamo. Naša naloga je tehnična preiskava.
IT-forenzična analiza lahko prinese ugotovitve o času in poteku incidenta, prizadetih sistemih, tehničnih posledicah, kazalnikih vdora, možnem vzroku in obsegu vdora – torej o tehničnih dejstvih, na katerih mora temeljiti poročilo.
Stanje regulativnih podatkov: avgust 2026. Ta odstavek ne nadomešča pravnega svetovanja.
Strukturirana preiskava obsežnih kibernetskih incidentov
Vsak kibernetski incident ne zahteva enako poglobljeno preiskavo. Posamezna okužena delovna postaja se znatno razlikuje od incidenta, v katerem bi lahko bilo prizadetih več lokacij, Server, Active Directory, storitve v oblaku in na stotine končnih naprav.
Zato se obsežne raziskave razdelijo na opredeljive projektne faze. Po prvotni tehnični oceni je mogoče določiti cilje raziskave, prednostne naloge, ustrezne sisteme in potrebna sredstva.
Tako je tudi pri zapletenih primerih jasno razvidno, katera vprašanja se preiskujejo, kateri sistemi so za to potrebni, katere ugotovitve so že na voljo in kateri nadaljnji koraki preiskave so strokovno smiselni.
Rezultati za vodstvo in nosilce odločitev
Kibernetski incident ni treba razumeti zgolj s tehničnega vidika. Vodstvo, pravna služba, zavarovalnice in drugi nosilci odločitev pogosto potrebujejo drugačno predstavitev kot neposredno vpleteni IT-strokovnjaki.
Zato se lahko pri obsežnih preiskavah tehnična podrobna dokumentacija dopolni s povzetkom za vodstvo. Ta na razumljiv način povzema bistvene ugotovitve ter ločuje potrjene ugotovitve, tehnične indice, ocene, ki jih je mogoče iz njih izpeljati, in preostale negotovosti.
Podrobneje: tehnično utemeljeno končno poročilo za poslovodstvo in . Dokumentacija o odločitvah uprave.
Kaj lahko podjetja pridobijo po opravljeni preiskavi
Forenzično poročilo o preiskavi
Dokumentacija o naročilu preiskave, podatkovni podlagi, postopku, relevantnih ugotovitvah in tehničnih zaključkih.
Časovnica dogodkov
Kronološki pregled dogodkov, povezanih z varnostnim incidentom.
Povzetek za vodstvo
Povzetek ključnih ugotovitev za vodstvo in nosilce odločitev.
Pregled prizadetih sistemov in računov
Prikaz komponent, ki so bile ugotovljene v okviru preiskave oziroma so verjetno prizadete.
Kazalniki ogroženosti
Dokumentacija relevantnih tehničnih kazalnikov vdora, če so na voljo.
Analiza vzrokov
Ocena tehnično verjetne poti vdora in vzroka, ki je temu botroval, v kolikor je to mogoče na podlagi obstoječih sledi.
Ocena morebitnih dostopov do podatkov in odtokov podatkov
Podrobna predstavitev tega, kar je bilo na podlagi razpoložljivih podatkov dejansko mogoče ugotoviti.
Dokumentacija o zavarovanju dokazov
Če je to del naročila: dokumentacija o varnostnih kopijah podatkov, vrednostih integritete in verigi nadzora.
Tehnične naprave
Ustrezni artefakti, tabele, izpiski iz dnevnikov, posnetki zaslona in druga tehnična dokazila.
Zakaj LanCologne za forenzično preiskavo v IT?
Forenzična preiskava namesto zgolj odpravljanja napak
Naš poudarek ni izključno na ponovni vzpostavitvi delovanja prizadetega sistema. Preučujemo digitalne sledi z namenom, da bi na razumljiv način rekonstruirali dejanski potek dogodka.
Lastni forenzični laboratorij
Zavarovanje dokazov in preiskave se lahko izvajajo v okviru naše lastne forenzične infrastrukture.
Različni viri podatkov – celotna slika
Varnostnega incidenta pogosto ni mogoče pojasniti zgolj na podlagi ene same datoteke z dnevniki. Zato je mogoče med seboj povezati podatke iz končnih naprav, Servern, sistemov za upravljanje identitet, omrežnih komponent, storitev v oblaku in varnostnih rešitev.
Rezultati orodij se kritično ocenjujejo
Forenzična in varnostna orodja podpirajo preiskavo, vendar ne nadomeščajo strokovne ocene. Ustrezne ugotovitve se, kolikor je mogoče, preverijo na podlagi dodatnih dokazov in virov podatkov.
Jasno opredeljene meje izjav
Dejanje, ki je tehnično mogoče, še ne pomeni dokaza, da se je dejansko zgodilo. Zato ne dokumentiramo le ugotovitev, temveč tudi njihovo dokazno vrednost in tehnične omejitve.
Glede kvalifikacij: IT forenzični strokovnjak s certifikatom TÜV v Kölnu.
Ugotovljen kibernetski napad – kaj zdaj?
V primeru trenutnega ali nedavno odkritega kibernetskega incidenta je treba usklajeno izvesti ukrepe za omejevanje, obnovo in zavarovanje dokazov.
Če to dopušča konkretna nevarnostna situacija, se potencialno pomembnih sistemov in podatkov ne sme po nepotrebnem spreminjati. Zlasti neusklajene nove namestitve, čiščenje, brisanje uporabniških računov ali dnevniških podatkov ter obsežne spremembe na zadevnih sistemih lahko otežijo poznejšo rekonstrukcijo.
Hkrati je omejevanje aktivnega napada visoka prioriteta. Zato je treba najprej pojasniti:
- kateri sistemi so prizadeti
- kateri ukrepi so nujno potrebni
- katere vire podatkov je treba zagotoviti v kratkem času
- kateri sistemi imajo največjo forenzično vrednost informacij
- katere ukrepe so že izvedli
Podrobneje: Izolacija sistemov po kibernetskem napadu in . Očiščenje ali ponovna vzpostavitev ogroženega sistema.
IT-forenzika po kibernetskih napadih – s sedežem v Kölnu, deluje po vsej Nemčiji
V primeru akutnega kibernetskega incidenta smo dosegljivi 24 ur na dan, 7 dni v tednu – 365 dni v letu, neprekinjeno: +49 (0)221 64306610. Običajni delovni čas je od ponedeljka do petka od 8.00 do 18.00.
Podjetje LanCologne ima sedež na naslovu Horbeller Straße 31 v Kölnu, 50858. Raziskave izvajamo po vsej Nemčiji od leta 2015.
Za podjetja v širšem območju Kölna ta lokacija pomeni kratke poti: nosilce podatkov je mogoče osebno predati, zadevne sisteme pa je po potrebi mogoče varnostno kopirati na kraju samem – na primer takrat, ko prevoz ni operativno izvedljiv ali forenzično smiseln.
Strokovna podlaga je kvalifikacija za forenziko mobilnih naprav in sistema Windows, ki jo je preveril TÜV Rheinland in je javno dostopna v bazi podatkov certifikatov Certipedia pod številko certifikata 0000067863.
Pogosta vprašanja
Koliko stane forenzična preiskava IT po kibernetskem napadu?
Pri kompleksnih kibernetskih incidentih ni mogoče podati splošne cene. Obseg dela je odvisen med drugim od števila in vrste prizadetih sistemov, obsega podatkov, infrastrukture, obdobja preiskave, razpoložljivih dnevnikov ter konkretnega vprašanja. Po prvotni tehnični oceni je mogoče opredeliti obseg preiskave, pri večjih incidentih pa ga razdeliti na posamezne faze projekta.
Kako hitro bi se morala začeti preiskava po kibernetskem incidentu?
Na splošno čim prej, saj so nekatere digitalne sledi minljive ali pa jih lahko tekoče delovanje spremeni oziroma prepiše. Hkrati je treba upoštevati potrebne ukrepe za omejitev tekočega napada.
Ali je mogoče ugotoviti, kako je napadalec vdrl v podjetje?
V mnogih primerih je mogoče pot morebitnega vdora rekonstruirati na podlagi različnih artefaktov. Ali je mogoče to nedvoumno ugotoviti, pa je odvisno od razpoložljivih podatkov in sprememb, ki so se medtem zgodile.
Ali je mogoče ugotoviti, ali so bili ukradeni podatki podjetja?
To je odvisno od razpoložljivih dokazov. V nekaterih primerih je mogoče konkretne prenose podatkov podrobno slediti. V drugih primerih pa je mogoče ugotoviti le, da so bili določeni podatki dostopni ali da so bili priklicani. Te okoliščine v naši oceni jasno ločujemo med seboj.
Ali je mogoče napad z izsiljevalsko programsko opremo rekonstruirati?
Če to dopuščajo obstoječe sledi, da. Med drugim je mogoče preiskati začetno pot napada, prizadete uporabniške račune, dostope s posebnimi pravicami, stransko gibanje, mehanizme vztrajnosti, dostope do podatkovnih zbirk, znake izčrpavanja podatkov ter časovni potek dogodkov do šifriranja.
Ali je mogoče preiskati tudi kibernetske napade, ki so se zgodili v preteklosti?
Da. Preiskati je mogoče tudi pretekle incidente. Obseg preiskave pa je med drugim odvisen od tega, kateri sistemi so še na voljo, kako dolgo so bili shranjeni podatki iz dnevnikov in katere spremembe so bile izvedene od takrat, ko se je incident zgodil.
Kateri sistemi se preiskujejo v primeru kibernetskega incidenta?
Glede na infrastrukturo in vrsto incidenta se lahko preiskujejo med drugim sistemi Windows, Linux in macOS, Server in delovni računalniki, Active Directory in infrastrukture za upravljanje identitet, virtualni sistemi, požarni zidovi, VPN- in omrežne komponente, Microsoft 365 in druge storitve v oblaku, sistemi za elektronsko pošto, podatki EDR, XDR in SIEM, podatki iz dnevnikov, nosilci podatkov, delovni pomnilnik ter sistemi za varnostno kopiranje. Odločilno ni število, temveč forenzična relevantnost.
Kakšne podatke potrebuje IT-forenzik?
Za prvo oceno so najprej pomembni znani dejanski podatki, čas in način odkritja, že ugotovljene nepravilnosti, obstoječa varnostna obvestila, prizadeti sistemi in računi ter že izvedeni protiukrepi. Kateri podatki se nato zavarujejo, izhaja iz skupno opredeljenih ciljev preiskave.
Ali je mogoče Microsoft 365 forenzično preiskati?
Da, odvisno od razpoložljivih podatkov iz dnevnikov. Microsoft 365, Azure in druge storitve v oblaku sodijo med vire podatkov, ki jih je mogoče v okviru preiskave pridobiti in analizirati. Katere zaključke je mogoče potegniti, je odvisno od tega, kateri podatki o revizijah in prijavah so na voljo v konkretnem naročniku ter kako dolgo so bili shranjeni.
Ali je mogoče preiskati ogroženi Active Directory?
Active Directory in druge infrastrukture za upravljanje identitet spadajo med forenzično pomembne vire podatkov. Preiskovati je mogoče na primer postopke prijave, novo ustvarjena računa, spremembe pooblastil in uporabo računov s posebnimi pravicami. Ali bo to omogočilo celovito sliko, je odvisno od razpoložljivih podatkov iz dnevnikov in njihovega obdobja hrambe.
Kakšno vlogo ima informacijska forenzika pri kibernetskem zavarovanju?
Tehnično poročilo o preiskavi se lahko, odvisno od naročila, sestavi tako, da so relevantne tehnične ugotovitve jasno predstavljene zavarovalnicam oziroma njihovim pooblaščenim organom. Katere informacije so potrebne v konkretnem primeru škode, je odvisno od zavarovalne pogodbe in naročila. O kritju ne podajamo nobenih izjav.
Kakšno vlogo ima informacijska forenzika pri varnostnih incidentih, povezanih z NIS2?
Lahko preučimo in dokumentiramo tehnične okoliščine varnostnega incidenta. Pravno oceno konkretne obveznosti poročanja morajo opraviti pristojni organi oziroma pravna služba podjetja.
Ali se forenzično poročilo lahko kasneje uporabi v pravnih postopkih?
Če je to znano že ob oddaji naročila, se lahko zavarovanje dokazov, dokumentacija in potek preiskave ustrezno prilagodijo. Vendar pa bi bilo neserijozno dajati splošno jamstvo za poznejšo sodno oceno; o dokazni vrednosti namreč na koncu odloča pristojno sodišče.
Kibernetski incident ne le odpraviti – ampak ga tudi razumeti
Po varnostnem incidentu lahko tehnične odločitve imajo daljnosežne posledice. LanCologne pomaga pri zavarovanju relevantnih digitalnih sledi, strukturirani preiskavi incidenta in pregledni dokumentaciji razpoložljivih ugotovitev.