IT-forenzika · Podjetja

Kako lahko podjetje forenzično ugotovi pot, po kateri je prišlo do kibernetskega napada?

Phishing, ukradeni podatki za dostop, izpostavljene storitve, ranljivosti in dostopi za vzdrževanje na daljavo lahko povzročijo tehnično podobne posledice.

Nezavezujoča poizvedba

Zakaj je to vprašanje pomembno za podjetje

Po kibernetskem napadu lahko tehnične, gospodarske, varstvene in regulativne odločitve temeljijo na istih dejanskih okoliščinah. Zato mora zanesljiva rekonstrukcija jasno razlikovati med dokazano dejavnostjo, tehnično možnostjo in zgolj domnevo.

Tehnični pristop k preiskavi

Wir prüfen die in Betracht kommenden Eintrittswege anhand ihrer erwartbaren Spuren und suchen sowohl bestätigende als auch widersprechende Befunde.

Kje je meja izjavljanja

Wenn die entscheidenden Eingangsdaten fehlen, darf aus der späteren Angreiferaktivität kein vermeintlich sicherer Initial-Access-Vektor abgeleitet werden.

Zakaj LanCologne?

Po kibernetskem napadu podjetje najprej potrebuje varnost in operativno sposobnost. Za kasnejše odločitve pa ni dovolj, da se zgolj ve, da je ‚prišlo do napada‘. Vodstvo, odgovorni za varstvo podatkov, pravni svetovalci, zavarovalnice in po potrebi tudi pristojni organi potrebujejo zanesljive odgovore na konkretna dejanska vprašanja.

LanCologne zato ločuje odkritje, prvi dostop, kompromitacijo, vztrajnost, lateralno gibanje, dostop do podatkov, morebitno iznos podatkov in konkretno povzročanje škode. Te faze so lahko časovno precej oddaljene druga od druge in jih ne smemo enačiti med seboj.

Ključne ugotovitve se, kolikor je to mogoče, preverjajo z primerjavo več neodvisnih virov podatkov. Podatki o končnih točkah, omrežju, identiteti, oblaku in sistemu imajo vsak svoje omejitve glede zanesljivosti. Avtomatizirani alarm ali poročilo o izdelku za nas ni sam vir dokazov, temveč izhodišče za preverjanje osnovnih primarnih podatkov.

Tudi nasprotne hipoteze so del preiskave. Nenavadno prijavo je mogoče na primer pojasniti z legitimnim upravljanjem, infrastrukturo VPN, avtomatiziranimi storitvami ali zlorabljenimi podatki za dostop. Šele korelacija dodatnih sledi omogoča zanesljivo uvrstitev.

Če manjkajo ključni podatki, se te vrzeli ne zapolnjujejo z domnevami. Zlasti pri kibernetskih incidentih je izjava ‚na podlagi prejetih podatkov ni mogoče z gotovostjo ugotoviti‘ strokovno bolj vredna kot navidezno nedvoumna zgodba o napadu, ki je ni mogoče ponovno dokazati.

Naš način dela

Odzivanje na incidente in forenzika imata različne, a dopolnjujoče se cilje

Zajezitev tekočega napada služi v prvi vrsti zaščiti podjetja. Forenzična rekonstrukcija nato oziroma vzporedno pojasni, kaj se je dejansko zgodilo. Potrebnih varnostnih ukrepov se zato ne opusti zgolj zato, da bi ohranili idealno stanje dokazov; neizogibne spremembe se, kolikor je mogoče, dokumentirajo.

Zakaj LanCologne po kibernetskem napadu?

LanCologne preiskave ne usmerja na želeno potek napada. Odločilno je, katere tehnične ugotovitve dejansko izhajajo iz pridobljenih primarnih podatkov. Obremenilne, razbremenilne in odprte ugotovitve se jasno dokumentirajo, da lahko vodstvo in pravni svetovalci sprejemajo odločitve na podlagi preverljivih dejstev.

Člen 32 Splošne uredbe o varstvu podatkov (GDPR) obvezuje upravljavce in obdelovalce, da zagotovijo raven varstva, ki je sorazmerna z tveganjem. Med drugim so navedene zaupnost, celovitost, razpoložljivost in odpornost ter zmožnost hitre obnove razpoložljivosti in dostopa po tehničnem ali fizičnem incidentu.

Če je pri kibernetskem incidentu prišlo do kršitve varstva osebnih podatkov, se lahko uporabi člen 33 Splošne uredbe o varstvu podatkov (GDPR). V skladu s tem je treba kršitev, za katero velja obveznost poročanja, načeloma nemudoma in po možnosti v 72 urah po tem, ko je postala znana, prijaviti pristojnemu nadzornemu organu, razen če se ne predvideva, da bo povzročila tveganje za pravice in svoboščine fizičnih oseb. Člen 33(5) poleg tega zahteva dokumentiranje kršitve, njenih posledic in sprejetih ukrepov za odpravo kršitve. V primeru predvidenega visokega tveganja lahko člen 34 Splošne uredbe o varstvu podatkov (GDPR) dodatno zahteva obvestitev prizadetih oseb. Ali so ti pogoji izpolnjeni, je treba oceniti z vidika varstva podatkov; IT-forenzika v zvezi s tem zagotavlja tehnične podatke.

Za določena zasebna podjetja velja od 6. decembra 2025 prenovljeni Zakon o BSI za izvajanje zahtev NIS-2. Ali je podjetje uvrščeno med posebej pomembne ali pomembne ustanove, je treba konkretno preveriti na podlagi veljavnega Zakona o BSI, sektorjev, vrst ustanov in meril velikosti. Za zajete ustanove zakon BSIG med drugim določa obveznosti v zvezi z upravljanjem tveganj na področju kibernetske varnosti in varnostnimi incidenti; § 38 zakona BSIG vodstvom posebej pomembnih in pomembnih ustanov nalaga obveznosti glede izvajanja in nadzora ukrepov za obvladovanje tveganj.

Zakonite obveznosti glede poročanja in dokumentiranja so lahko časovno občutljive. Vendar pa LanCologne ne sprejema končnih pravnih odločitev glede obveznosti poročanja, odgovornosti ali odškodninske odgovornosti. Mi zagotavljamo tehnično utemeljeno dejansko podlago, na podlagi katere lahko sprejemajo odločitve vodstvo, pooblaščenci za varstvo podatkov in pravni svetovalci.

Pogosta vprašanja

🔗 Sorodne teme