Digitale Beweissicherung in Unternehmen Vorkehrungen, caveats & Durchführung Ziviltechniker DDipl.-Ing. Mag.rer.soc.oec. Gernot Schmied gernot.schmied@iktech.net, http://www.iktech.net Impulsvortrag im Rahmen der IIR Tagung - IT in Banken Wien, 13-14. April 2011
Einleitende Gedanken & Agenda 2 Motivation & Notwendigkeit Dokumentation: Beweissicherungsleitfaden Prozessmodell: Beweissicherungsablauf, Vorgehensweise Organisationsaspekte Daten-, Geheimnis- & Informationsschutz technische Aspekte (Ausstattung, Know-How) Weitergabe & Auswertung (e-discovery, forensische Analyse) Durchsuchungen & Beschlagnahme IKS & Controls Conclusio
Motivation & Notwendigkeit 3 Wie bewerte ich im konkreten Anlassfall die Notwendigkeit zur digitalen Beweissicherung (präventiv/reaktiv)? Monitoring, Supervision/Aufsicht, Detektion Was tun bis zum Eintreffen von Spezialisten? Typische Bedrohungsszenarien: e-fraud, Geldwäsche, WIKRI Geheimnisverrat, data leakage/loss Industriespionage Datenbeschädigung E-Stalking, Mobbing, Verleumdung, Rufschädigung Korruption
Dokumentation 4 Leitfaden Beweissicherung Was tun bis zum Eintreffen von Spezialisten? Wen involvieren, verständigen? Eskalation? Was dokumentieren? Welche Sofortmaßnahmen setzen (konservieren volatiler evidence )? Meldepflichten Auskunftsbegehren & Auskunfspflichten (Vorratsdatenspeicherung, SPG, TKG, Staatsanwaltschaften & Gerichte) Leitfaden Datenrettung & Datenträgerentsorgung Leitfaden Auskunftsbegehren & Auskunfspflichen Leitfaden Durchsuchungen & Beschlagnahme
Prozessmodell 5 Paradigma: Vorsorge, Detektion & Reaktion Sobald klar wird, dass eine Beweissicherung bedeutsam sein könnte, wird der Prozess parallel zu sonstigen Aktivitäten durchlaufen! Beweissicherung als Bestandteil der Incident Response (Process Map)
Organisationsaspekte 6 Beweissicherung durch IT (4-Augen Prinzip) + interner Beobachter Beweissicherungsbeauftragter als Rolle denkbar Log-Management und Protokollierung als monitoring control, Beweissicherung als Reaktion auf Sachverhalt/Vorfall Unternehmensjuristen & externe Rechtsanwälte Privatdetektive Forensiker (Ziviltechniker, Sachverständige) Datenretter Werkschutz & Security (Industriespionage, data loss prevention) Berührungspunkte mit der Internen Revision, dem ERM und dem IKS Eine etablierte Beweissicherungskultur hat erzieherische und auch abschreckende Wirkung und erhöht die Transparenz i.s. des IKS
Daten-, Geheimnis- & Informationsschutz 7 Problematik Durchbrechung von Arbeitsrecht & Datenschutzrecht Spannungsfeld Menschenwürde, Privatsphäre, Persönlichkeitsrechte Compliance & due diligence Anforderungen - präventive (problematischer da verdachtsunabhängig), detektive & reaktive Aspekte Einige Durchbrechungsargumente ohne Anspruch auf Vollständigkeit: Gefahr im Verzug konkreter und substanzieller Verdacht gelindeste Mittel eingesetzt (Verhältnissmäßigkeit des Eingriffes) Interessensabwägung materierechtlicher Zwang (z.b. Meldepflicht)
technische Aspekte 8 Betriebsführung vs. Forensik vs. Revisionsanforderungen Log-, Event- & Incident Management technische Auditsubsysteme Beweissicherung in der Regel reaktiv, Protokollierung/Logging als Mittel der Überwachung und des daily housekeeping Beweissicherungsüberlegungen haben Auswirkungen auf automatische Protokollierung manipulationssichere Ablage Aufbewahrungsdauer von Logs Umgang mit Datenträgern Anpassung von monitoring controls (Detektion, Trigger, Schwellwerte Früherkennungssystem, Echtzeitsystem)
Weitergabe & Auswertung 9 Wem, was, wie? Schutzinteressen: Aktenschwärzung in der digitalen Welt :-) Trusted third parties (credentials) Selbst- vs. Fremdauswertung (interne Untersuchung mit externer Unterstützung 4-Augen Prinzip) Weitergabe von forensischen Datenträger- Duplikaten und sonstiger digital evidence evidence bag Vertraulichkeitsvermerk Übernahmebestätigung
Durchsuchungen & Beschlagnahme 10 Procedere vorbereiten, gelassen und bestimmt auftreten, nicht überrumpeln, einschüchtern oder unter Druck setzen lassen Weggesperrtes kann nicht so ohne Weiteres mitgenommen werden! Kein Zutritt/keine Herausgabe ohne Unternehmensjurist oder Rechtsanwalt (Bevollmächtigter) Legitimation und Ermächtigung aller handelnden Personen überprüfen Keine Herausgabe ohne vollständige Erfassung Ausschalten vs. geordnet Herunterfahren Verhältnismäßigkeit (nicht das gesamte RZ leerräumen) & gelindestes Mittel - der Zweck heiligt nicht den Einsatz beliebiger Mittel! Datenbeschädigung durch unsachgemäßes Vorgehen verhindern Interessen unschuldiger Dritter wahren (z.b. Bankgeheimnis, Mandantengeheimnis, TK-Geheimnis)
Zusammenfassende Empfehlungen 11 Alles dokumentieren: wer, was, wann, wie, womit? Rechtzeitige Partnerauswahl (Werkschutz, Detektive, Zivitechniker, Rechtsanwälte, Forensiker, Sachverständige) Eine realistische Selbsteinschätzung was das Unternehmen selbst bewältigen kann (Sofortmaßnahmen) - immer 4-Augen Prinzip Organisatorisches: In großen Unternehmen könnte die forensische Rolle jemand aus der Informationssicherheit übernehmen - Beweissicherungsbeauftragter Die Internen Revision sollte auf das Vorhandensein und die Funktionsfähigkeit geeigneter Regelungen und Anweisungen achten Paradigma: Keine Spuren verwischen und volatile Spuren konservieren Paradigma: Umsichtiges Vorgehen bis zum Eintreffen von Spezialisten Fazit: Rechtzeitig drauf schaun, dass man's hat wenn man's braucht!