IT-forenzika · Podjetja

Forensische Aufarbeitung nach der akuten Incident Response – was danach noch zu klären ist

Nach der akuten Incident Response laufen die Systeme wieder. Offen bleiben oft die Fragen, die erst später Gewicht bekommen: Ist die Ursache wirklich beseitigt? Gibt es noch Zugänge des Angreifers? Was genau ist für Versicherung und Aufsichtsbehörde zu dokumentieren? Die Aufarbeitung schließt diese Lücken.

Nezavezujoča poizvedba

Zakaj je to vprašanje pomembno za podjetje

V fazi obnove po kibernetskem incidentu se sprejemajo tehnične odločitve, ki lahko hkrati vplivajo na operativno sposobnost, ohranjanje dokazov, varstvo podatkov in poznejšo dokazljivost. Natančna dokumentacija zato ne ščiti le IT-oddelka, temveč ustvarja trdno dejansko podlago za poslovodstvo in pravno svetovanje.

Technischer Hintergrund

In der Akutphase wird priorisiert, was den Betrieb wiederherstellt. Dabei bleiben Spuren oft ungeprüft oder gehen verloren. Die nachgelagerte Forensik arbeitet mit dem, was gesichert wurde, und ergänzt fehlende Quellen, soweit sie noch existieren.

Relevante Spuren und Datenquellen

• Sicherungen und Notizen aus der Akutphase
• Persistenzmechanismen (Dienste, geplante Aufgaben, Run-Keys, WMI)
• Konten, Token und Anwendungsregistrierungen in Entra ID
• Fernwartungs- und Dienstleisterzugänge

Grenzen

• Nicht gesicherte Daten aus der Akutphase sind oft unwiederbringlich verloren.
• Ein Restrisiko lässt sich mindern, aber nicht vollständig ausschließen.

Mögliche Ergebnisse

• Root Cause bestätigt oder offen (mit Begründung)
• Nachweis bzw. Ausschluss verbliebener Zugänge im geprüften Umfang
• Lessons-Learned-Empfehlungen

Zakaj LanCologne?

Po resnem kibernetskem incidentu se naloga ne konča z zaustavitvijo napada. Podjetje mora sisteme nadzorovano ponovno zagnati, oceniti podatke in varnostne kopije, zavarovati identitete, ugotoviti obseg prekinitev delovanja ter hkrati zbrati dokaze za morebitna poznejša pravna, zavarovalniška ali regulativna vprašanja.

So gehen wir vor

• Bestandsaufnahme: Was wurde in der Akutphase gesichert, was nicht?
• Prüfung auf verbliebene Persistenz und Zugänge.
• Rekonstruktion von Ursache und Ablauf, soweit Daten vorliegen.
• Bericht für Geschäftsführung, Versicherung und Rechtsberatung.

Obnova ne sme naknadno izkrivljati zgodovinskih dokazov

Sistem, ki je bil po incidentu pravilno vzpostavljen, še ne pomeni nujno, kakšno stanje je vladalo v sistemu pred napadom ali med njim. Zato ločeno dokumentiramo pretekle ugotovitve in naknadne ukrepe za odpravo napak. S tem preprečimo, da bi se izboljšano stanje po incidentu retroaktivno obravnavalo kot dokaz za pretekla dejstva.

Pravni in regulativni okvir

Pri obdelavi osebnih podatkov še naprej veljajo zlasti načela iz člena 5 Splošne uredbe o varstvu podatkov (GDPR) ter zahteva po trdni pravni podlagi v skladu s členom 6 GDPR. Člen 32 Splošne uredbe o varstvu podatkov (GDPR) zahteva, da se ob upoštevanju tveganja sprejmejo ustrezni tehnični in organizacijski ukrepi, ter med drugim navaja zaupnost, celovitost, razpoložljivost, odpornost ter zmožnost hitre obnove razpoložljivosti in dostopa po incidentu.

V primeru kršitve varstva osebnih podatkov se lahko uporabita člena 33 in 34 Splošne uredbe o varstvu podatkov (GDPR). Člen 33 med svojimi pogoji predvideva, da je treba kršitev nadzornemu organu v osnovi nemudoma, po možnosti pa v 72 urah po tem, ko je postala znana, prijaviti, v skladu z odstavkom 5 pa zahteva dokumentacijo o kršitvi, njenih posledicah in sprejetih ukrepih za odpravo kršitve. V primeru predvidenega visokega tveganja lahko člen 34 dodatno zahteva obvestitev posameznikov, na katere se nanaša kršitev. Ali so izpolnjeni ustrezni pogoji, se oceni z vidika zakonodaje o varstvu osebnih podatkov; forenzika pa zagotovi tehnične podatke.

Za podjetja, ki sodijo v področje uporabe prenovljenega zakona o BSI, ki bo začel veljati decembra 2025, lahko veljajo dodatne obveznosti za posebej pomembne in pomembne ustanove. Mednje spadajo, odvisno od razvrstitve, zahteve glede upravljanja tveganj na področju kibernetske varnosti ter obravnavanja oziroma poročanja o pomembnih varnostnih incidentih. Obveznosti poslovodstva so v veljavnem zakonu o kibernetski varnosti (BSIG) izrecno opredeljene. Ali je konkretno podjetje zajeto in kateri roki oziroma obveznosti veljajo v posameznem primeru, je treba preveriti na podlagi veljavne zakonske uvrstitve.

Pri podatkih o zaposlenih so lahko pomembni tudi § 26 BDSG in pravice do soodločanja v podjetju. Tudi med kibernetskim incidentom tehnična možnost dostopa ne pomeni neomejenega obsega preiskave.

LanCologne zagotavlja tehnične ugotovitve in dokumentira njihovo utemeljitev. Odločitve o obveznostih poročanja, odgovornosti, ukrepih v skladu z delovnim pravom ali drugih pravnih posledicah so v pristojnosti ustreznih organov podjetja, pooblaščencev za varstvo podatkov in pravnih svetovalcev.

LanCologne za forenzično analizo in nadzorovano obnovo

LanCologne združuje tehnično podrobnost s predstavitvijo, ki je razumljiva za nosilce odločitev. Ne dokumentiramo le, kateri ukrepi so bili izvedeni, temveč tudi, na kakšnih tehničnih dejstvih so temeljili in kakšne so omejitve njihovih zaključkov. To zagotavlja preglednost za poslovodstvo, pravno svetovanje, zavarovalnico in morebitno poznejšo strokovno preverjanje.

Pogosta vprašanja

🔗 Sorodne teme