IT-forenzika · Podjetja

Kako lahko podjetje ugotovi, ali po zaustavitvi napada še vedno obstajajo vstopne točke za napadalce?

Nach ersten Gegenmaßnahmen können persistente Accounts, Tokens, Dienste oder kompromittierte Zugangsdaten fortbestehen.

Nezavezujoča poizvedba

Zakaj je to vprašanje pomembno za podjetje

V fazi obnove po kibernetskem incidentu se sprejemajo tehnične odločitve, ki lahko hkrati vplivajo na operativno sposobnost, ohranjanje dokazov, varstvo podatkov in poznejšo dokazljivost. Natančna dokumentacija zato ne ščiti le IT-oddelka, temveč ustvarja trdno dejansko podlago za poslovodstvo in pravno svetovanje.

Tehnični pristop k preiskavi

Wir prüfen bekannte Persistenzmechanismen, Identitäten, privilegierte Änderungen, Remotezugänge, Cloud-Sessions und erneute verdächtige Aktivitäten.

Kje je meja izjavljanja

Das Fehlen bekannter Indikatoren ist kein absoluter Beweis dafür, dass keinerlei unbekannte Persistenz existiert.

Zakaj LanCologne?

Po resnem kibernetskem incidentu se naloga ne konča z zaustavitvijo napada. Podjetje mora sisteme nadzorovano ponovno zagnati, oceniti podatke in varnostne kopije, zavarovati identitete, ugotoviti obseg prekinitev delovanja ter hkrati zbrati dokaze za morebitna poznejša pravna, zavarovalniška ali regulativna vprašanja.

LanCologne zato ločuje operativno odzivanje na incidente in forenzično rekonstrukcijo, ne da bi ju umetno izoliralo eno od drugega. Omejevanje in obnova ščitita podjetje; forenzika pa dokumentira, kaj se je zgodilo in na katerih tehničnih dejstvih so temeljili sprejeti ukrepi.

Ne delujemo po načelu, da bi v čim večji meri v celoti zavarovali čim več sistemov. Odločilni so konkretno dokazno vprašanje, minljivost vira podatkov, vloga sistema v napadu ter sorazmernost. Prednost se daje posebej pomembnim primarnim podatkom.

Pri obnovi razlikujemo med tehnično dostopnostjo, delovanjem sistema, strokovno uporabnostjo in popolnim rednim delovanjem. Prav tako se prisotnost varnostnih kopij, njihova celovitost in dejanska možnost obnove ne enačijo med seboj.

Dokumentacija ne daje dokončnega zaključka. Če je bilo preventivno izklopljenje tehnično utemeljeno, čeprav se kasneje ni dalo dokazati nobenega ogrožanja varnosti, sta lahko obe trditvi hkrati pravilni. Prav takšna razlikovanja omogočajo zanesljivo naknadno oceno.

Naš način dela

Obnova ne sme naknadno izkrivljati zgodovinskih dokazov

Sistem, ki je bil po incidentu pravilno vzpostavljen, še ne pomeni nujno, kakšno stanje je vladalo v sistemu pred napadom ali med njim. Zato ločeno dokumentiramo pretekle ugotovitve in naknadne ukrepe za odpravo napak. S tem preprečimo, da bi se izboljšano stanje po incidentu retroaktivno obravnavalo kot dokaz za pretekla dejstva.

Pravni in regulativni okvir

Pri obdelavi osebnih podatkov še naprej veljajo zlasti načela iz člena 5 Splošne uredbe o varstvu podatkov (GDPR) ter zahteva po trdni pravni podlagi v skladu s členom 6 GDPR. Člen 32 Splošne uredbe o varstvu podatkov (GDPR) zahteva, da se ob upoštevanju tveganja sprejmejo ustrezni tehnični in organizacijski ukrepi, ter med drugim navaja zaupnost, celovitost, razpoložljivost, odpornost ter zmožnost hitre obnove razpoložljivosti in dostopa po incidentu.

V primeru kršitve varstva osebnih podatkov se lahko uporabita člena 33 in 34 Splošne uredbe o varstvu podatkov (GDPR). Člen 33 med svojimi pogoji predvideva, da je treba kršitev nadzornemu organu v osnovi nemudoma, po možnosti pa v 72 urah po tem, ko je postala znana, prijaviti, v skladu z odstavkom 5 pa zahteva dokumentacijo o kršitvi, njenih posledicah in sprejetih ukrepih za odpravo kršitve. V primeru predvidenega visokega tveganja lahko člen 34 dodatno zahteva obvestitev posameznikov, na katere se nanaša kršitev. Ali so izpolnjeni ustrezni pogoji, se oceni z vidika zakonodaje o varstvu osebnih podatkov; forenzika pa zagotovi tehnične podatke.

Za podjetja, ki sodijo v področje uporabe prenovljenega zakona o BSI, ki bo začel veljati decembra 2025, lahko veljajo dodatne obveznosti za posebej pomembne in pomembne ustanove. Mednje spadajo, odvisno od razvrstitve, zahteve glede upravljanja tveganj na področju kibernetske varnosti ter obravnavanja oziroma poročanja o pomembnih varnostnih incidentih. Obveznosti poslovodstva so v veljavnem zakonu o kibernetski varnosti (BSIG) izrecno opredeljene. Ali je konkretno podjetje zajeto in kateri roki oziroma obveznosti veljajo v posameznem primeru, je treba preveriti na podlagi veljavne zakonske uvrstitve.

Pri podatkih o zaposlenih so lahko pomembni tudi § 26 BDSG in pravice do soodločanja v podjetju. Tudi med kibernetskim incidentom tehnična možnost dostopa ne pomeni neomejenega obsega preiskave.

LanCologne zagotavlja tehnične ugotovitve in dokumentira njihovo utemeljitev. Odločitve o obveznostih poročanja, odgovornosti, ukrepih v skladu z delovnim pravom ali drugih pravnih posledicah so v pristojnosti ustreznih organov podjetja, pooblaščencev za varstvo podatkov in pravnih svetovalcev.

LanCologne za forenzično analizo in nadzorovano obnovo

LanCologne združuje tehnično podrobnost s predstavitvijo, ki je razumljiva za nosilce odločitev. Ne dokumentiramo le, kateri ukrepi so bili izvedeni, temveč tudi, na kakšnih tehničnih dejstvih so temeljili in kakšne so omejitve njihovih zaključkov. To zagotavlja preglednost za poslovodstvo, pravno svetovanje, zavarovalnico in morebitno poznejšo strokovno preverjanje.

Pogosta vprašanja

🔗 Sorodne teme