IT-forenzika · Podjetja

Kako je mogoče na pregleden način rekonstruirati tehnično potrebni čas za obnovo po kibernetskem napadu?

Für die Betriebsunterbrechungsversicherung, für Schadensersatzansprüche und für die Bewertung der eigenen Notfallplanung ist entscheidend, wie lange Systeme tatsächlich nicht verfügbar waren und welche Schritte die Wiederherstellung bestimmt haben. Diese Zeiten lassen sich aus technischen Spuren belegen.

Nezavezujoča poizvedba

Zakaj je to vprašanje pomembno za podjetje

V fazi obnove po kibernetskem incidentu se sprejemajo tehnične odločitve, ki lahko hkrati vplivajo na operativno sposobnost, ohranjanje dokazov, varstvo podatkov in poznejšo dokazljivost. Natančna dokumentacija zato ne ščiti le IT-oddelka, temveč ustvarja trdno dejansko podlago za poslovodstvo in pravno svetovanje.

Technischer Hintergrund

Es ist sinnvoll, zwischen technischer Erreichbarkeit, eingeschränktem Betrieb und vollständigem Regelbetrieb zu unterscheiden. Verzögerungen entstehen häufig durch nicht nutzbare Backups, Abhängigkeiten zwischen Systemen (AD vor ERP), forensische Sicherung vor Wiederaufbau oder fehlende Dokumentation.

Relevante Spuren und Datenquellen

• Backup- und Restore-Protokolle (Start, Ende, Fehler)
• Systemstart- und Dienststatusereignisse
• Monitoring-Daten und Ticketsysteme
• Anmeldungen der ersten Nutzer in Fachanwendungen

Grenzen

• Wurden Systeme neu aufgebaut und alte Logs nicht gesichert, sind einzelne Zeitpunkte nur über Sekundärquellen belegbar.
• Die versicherungsrechtliche Bewertung erfolgt durch Versicherer bzw. Gutachter.

Mögliche Ergebnisse

• Zeitlinie der Wiederherstellung je System
• Begründung von Verzögerungen

Zakaj LanCologne?

Po resnem kibernetskem incidentu se naloga ne konča z zaustavitvijo napada. Podjetje mora sisteme nadzorovano ponovno zagnati, oceniti podatke in varnostne kopije, zavarovati identitete, ugotoviti obseg prekinitev delovanja ter hkrati zbrati dokaze za morebitna poznejša pravna, zavarovalniška ali regulativna vprašanja.

So gehen wir vor

• Definition der zu belegenden Zeitpunkte je kritischem System.
• Auswertung der Protokolle und Abgleich mit Ticket- und Kommunikationsdaten.
• Darstellung von Abhängigkeiten und Gründen für Verzögerungen.

Obnova ne sme naknadno izkrivljati zgodovinskih dokazov

Sistem, ki je bil po incidentu pravilno vzpostavljen, še ne pomeni nujno, kakšno stanje je vladalo v sistemu pred napadom ali med njim. Zato ločeno dokumentiramo pretekle ugotovitve in naknadne ukrepe za odpravo napak. S tem preprečimo, da bi se izboljšano stanje po incidentu retroaktivno obravnavalo kot dokaz za pretekla dejstva.

Pravni in regulativni okvir

Pri obdelavi osebnih podatkov še naprej veljajo zlasti načela iz člena 5 Splošne uredbe o varstvu podatkov (GDPR) ter zahteva po trdni pravni podlagi v skladu s členom 6 GDPR. Člen 32 Splošne uredbe o varstvu podatkov (GDPR) zahteva, da se ob upoštevanju tveganja sprejmejo ustrezni tehnični in organizacijski ukrepi, ter med drugim navaja zaupnost, celovitost, razpoložljivost, odpornost ter zmožnost hitre obnove razpoložljivosti in dostopa po incidentu.

V primeru kršitve varstva osebnih podatkov se lahko uporabita člena 33 in 34 Splošne uredbe o varstvu podatkov (GDPR). Člen 33 med svojimi pogoji predvideva, da je treba kršitev nadzornemu organu v osnovi nemudoma, po možnosti pa v 72 urah po tem, ko je postala znana, prijaviti, v skladu z odstavkom 5 pa zahteva dokumentacijo o kršitvi, njenih posledicah in sprejetih ukrepih za odpravo kršitve. V primeru predvidenega visokega tveganja lahko člen 34 dodatno zahteva obvestitev posameznikov, na katere se nanaša kršitev. Ali so izpolnjeni ustrezni pogoji, se oceni z vidika zakonodaje o varstvu osebnih podatkov; forenzika pa zagotovi tehnične podatke.

Za podjetja, ki sodijo v področje uporabe prenovljenega zakona o BSI, ki bo začel veljati decembra 2025, lahko veljajo dodatne obveznosti za posebej pomembne in pomembne ustanove. Mednje spadajo, odvisno od razvrstitve, zahteve glede upravljanja tveganj na področju kibernetske varnosti ter obravnavanja oziroma poročanja o pomembnih varnostnih incidentih. Obveznosti poslovodstva so v veljavnem zakonu o kibernetski varnosti (BSIG) izrecno opredeljene. Ali je konkretno podjetje zajeto in kateri roki oziroma obveznosti veljajo v posameznem primeru, je treba preveriti na podlagi veljavne zakonske uvrstitve.

Pri podatkih o zaposlenih so lahko pomembni tudi § 26 BDSG in pravice do soodločanja v podjetju. Tudi med kibernetskim incidentom tehnična možnost dostopa ne pomeni neomejenega obsega preiskave.

LanCologne zagotavlja tehnične ugotovitve in dokumentira njihovo utemeljitev. Odločitve o obveznostih poročanja, odgovornosti, ukrepih v skladu z delovnim pravom ali drugih pravnih posledicah so v pristojnosti ustreznih organov podjetja, pooblaščencev za varstvo podatkov in pravnih svetovalcev.

LanCologne za forenzično analizo in nadzorovano obnovo

LanCologne združuje tehnično podrobnost s predstavitvijo, ki je razumljiva za nosilce odločitev. Ne dokumentiramo le, kateri ukrepi so bili izvedeni, temveč tudi, na kakšnih tehničnih dejstvih so temeljili in kakšne so omejitve njihovih zaključkov. To zagotavlja preglednost za poslovodstvo, pravno svetovanje, zavarovalnico in morebitno poznejšo strokovno preverjanje.

Pogosta vprašanja

🔗 Sorodne teme