IT-forenzika · Podjetja

Kako lahko podjetje po kibernetskem napadu varno oceni dostopne pravice zunanjih ponudnikov in izvajalcev storitev?

Nach einem Cyberangriff stehen Dienstleisterzugänge doppelt im Fokus: Sie werden für die Wiederherstellung gebraucht – und sie sind ein häufiger Einfallsweg. Die Frage ist, ob ein bestimmter Zugang im Angriffszeitraum genutzt wurde und ob er bedenkenlos wieder aktiviert werden kann.

Nezavezujoča poizvedba

Zakaj je to vprašanje pomembno za podjetje

V fazi obnove po kibernetskem incidentu se sprejemajo tehnične odločitve, ki lahko hkrati vplivajo na operativno sposobnost, ohranjanje dokazov, varstvo podatkov in poznejšo dokazljivost. Natančna dokumentacija zato ne ščiti le IT-oddelka, temveč ustvarja trdno dejansko podlago za poslovodstvo in pravno svetovanje.

Technischer Hintergrund

Typische Zugänge sind Fernwartungssoftware (z. B. TeamViewer, AnyDesk, ScreenConnect), RMM-Agenten von Managed Service Providern, Site-to-Site-VPNs, Gastkonten in Entra ID und Service-Accounts. Wurde ein Dienstleister selbst kompromittiert, kann der Angriff über dessen legitime Werkzeuge laufen.

Relevante Spuren und Datenquellen

• Verbindungsprotokolle der Fernwartungs- und RMM-Software
• VPN- und Firewall-Logs mit Quell-IP
• Anmeldeereignisse der Dienstleisterkonten (lokal, AD, Entra ID)
• Installations- und Ausführungsspuren auf Endpunkten (Prefetch, Amcache, Dienste)

Grenzen

• Ein vorhandener Zugang belegt keine Verantwortlichkeit des Dienstleisters.
• Logs beim Dienstleister selbst sind nur mit dessen Mitwirkung verfügbar.

Mögliche Ergebnisse

• Zugangsweg identifiziert bzw. ausgeschlossen (im geprüften Umfang)
• Liste der Zugänge mit Bewertung

Zakaj LanCologne?

Po resnem kibernetskem incidentu se naloga ne konča z zaustavitvijo napada. Podjetje mora sisteme nadzorovano ponovno zagnati, oceniti podatke in varnostne kopije, zavarovati identitete, ugotoviti obseg prekinitev delovanja ter hkrati zbrati dokaze za morebitna poznejša pravna, zavarovalniška ali regulativna vprašanja.

So gehen wir vor

• Inventar aller externen Zugänge und Konten.
• Abgleich der Nutzung im Angriffszeitraum mit dokumentierten Wartungsfenstern.
• Bewertung je Zugang: genutzt, nicht genutzt, nicht beurteilbar.
• Empfehlung zur kontrollierten Wiederfreigabe.

Obnova ne sme naknadno izkrivljati zgodovinskih dokazov

Sistem, ki je bil po incidentu pravilno vzpostavljen, še ne pomeni nujno, kakšno stanje je vladalo v sistemu pred napadom ali med njim. Zato ločeno dokumentiramo pretekle ugotovitve in naknadne ukrepe za odpravo napak. S tem preprečimo, da bi se izboljšano stanje po incidentu retroaktivno obravnavalo kot dokaz za pretekla dejstva.

Pravni in regulativni okvir

Pri obdelavi osebnih podatkov še naprej veljajo zlasti načela iz člena 5 Splošne uredbe o varstvu podatkov (GDPR) ter zahteva po trdni pravni podlagi v skladu s členom 6 GDPR. Člen 32 Splošne uredbe o varstvu podatkov (GDPR) zahteva, da se ob upoštevanju tveganja sprejmejo ustrezni tehnični in organizacijski ukrepi, ter med drugim navaja zaupnost, celovitost, razpoložljivost, odpornost ter zmožnost hitre obnove razpoložljivosti in dostopa po incidentu.

V primeru kršitve varstva osebnih podatkov se lahko uporabita člena 33 in 34 Splošne uredbe o varstvu podatkov (GDPR). Člen 33 med svojimi pogoji predvideva, da je treba kršitev nadzornemu organu v osnovi nemudoma, po možnosti pa v 72 urah po tem, ko je postala znana, prijaviti, v skladu z odstavkom 5 pa zahteva dokumentacijo o kršitvi, njenih posledicah in sprejetih ukrepih za odpravo kršitve. V primeru predvidenega visokega tveganja lahko člen 34 dodatno zahteva obvestitev posameznikov, na katere se nanaša kršitev. Ali so izpolnjeni ustrezni pogoji, se oceni z vidika zakonodaje o varstvu osebnih podatkov; forenzika pa zagotovi tehnične podatke.

Za podjetja, ki sodijo v področje uporabe prenovljenega zakona o BSI, ki bo začel veljati decembra 2025, lahko veljajo dodatne obveznosti za posebej pomembne in pomembne ustanove. Mednje spadajo, odvisno od razvrstitve, zahteve glede upravljanja tveganj na področju kibernetske varnosti ter obravnavanja oziroma poročanja o pomembnih varnostnih incidentih. Obveznosti poslovodstva so v veljavnem zakonu o kibernetski varnosti (BSIG) izrecno opredeljene. Ali je konkretno podjetje zajeto in kateri roki oziroma obveznosti veljajo v posameznem primeru, je treba preveriti na podlagi veljavne zakonske uvrstitve.

Pri podatkih o zaposlenih so lahko pomembni tudi § 26 BDSG in pravice do soodločanja v podjetju. Tudi med kibernetskim incidentom tehnična možnost dostopa ne pomeni neomejenega obsega preiskave.

LanCologne zagotavlja tehnične ugotovitve in dokumentira njihovo utemeljitev. Odločitve o obveznostih poročanja, odgovornosti, ukrepih v skladu z delovnim pravom ali drugih pravnih posledicah so v pristojnosti ustreznih organov podjetja, pooblaščencev za varstvo podatkov in pravnih svetovalcev.

LanCologne za forenzično analizo in nadzorovano obnovo

LanCologne združuje tehnično podrobnost s predstavitvijo, ki je razumljiva za nosilce odločitev. Ne dokumentiramo le, kateri ukrepi so bili izvedeni, temveč tudi, na kakšnih tehničnih dejstvih so temeljili in kakšne so omejitve njihovih zaključkov. To zagotavlja preglednost za poslovodstvo, pravno svetovanje, zavarovalnico in morebitno poznejšo strokovno preverjanje.

Pogosta vprašanja

🔗 Sorodne teme