Handel snel, maar handel juist

De eerste reflex na een incident is opruimen. Precies dat vernietigt het bewijs. Zet het systeem niet uit, log niet in, verwijder niets, en bel ons.

Wat wij doen

Bewijsvaste kopie met hashwaarde, zodat de integriteit later aantoonbaar is
Sluitende chain of custody: wie had wanneer welk materiaal onder zich
Analyse van toegang, dataverkeer, verwijderde bestanden en aangesloten media
Rapport dat standhoudt in een arbeidsrechtelijke of strafrechtelijke procedure

Meldplicht

Bij een datalek loopt de AVG-termijn van 72 uur vanaf het moment dat u het lek kent. Wij leveren de tijdlijn die u voor die melding nodig heeft.

Wanneer u ons belt

Vertrek van een medewerker met kennis. Een accountmanager die opzegt en de week ervoor het klantenbestand exporteerde. Dit is de meest voorkomende opdracht die wij krijgen, en de bewijsvoering staat of valt met wat er in de eerste dagen gebeurt.

Vermoeden van datadiefstal of misbruik. Bestanden die naar privéopslag zijn gekopieerd, een USB-apparaat dat er niet hoorde te zijn, e-mail die is doorgestuurd naar een privéadres.

Na een inbraak of gijzelsoftware. Vaststellen hoe men binnenkwam, wat er is benaderd en of gegevens het pand hebben verlaten. Die laatste vraag bepaalt of u een datalek moet melden.

Bij een geschil. Wanneer partijen het oneens zijn over wat er is gebeurd en wanneer, en een onafhankelijke reconstructie de knoop moet doorhakken.

Wat wij onderzoeken

Werkplekken en laptops, servers en netwerkapparatuur, mobiele apparatuur, cloudomgevingen zoals Microsoft 365, en losse gegevensdragers. Bij een verwijderd bestand is vaak nog vast te stellen dat het er is geweest, wanneer het verdween en of het eerst is gekopieerd.

Wat wij níét doen is uitspraken opschrijven die het materiaal niet draagt. Een rapport dat verder gaat dan de bevindingen, houdt geen stand op het moment dat het ertoe doet.

Wat u krijgt

Een rapport met de feitelijke bevindingen, de gehanteerde methode, en de beperkingen van het onderzoek. Dat laatste hoofdstuk lijkt tegen uw belang in te gaan en is juist wat een rapport bruikbaar maakt: een tegenpartij zoekt er precies naar, en als u het zelf al hebt benoemd, is het geen verrassing meer.

Bij een gerechtelijke procedure kunnen wij de bevindingen toelichten.

De eerste twee uur

Wat u doet voordat wij er zijn, bepaalt vaak wat er nog te achterhalen valt.

Laat het apparaat met rust. Niet afsluiten, niet inloggen, niet opruimen.
Trek de netwerkkabel eruit of haal het toestel van wifi, als er nog activiteit is.
Leg vast wat u al weet. Wie, wanneer, wat opviel, en wie er inmiddels van weet.
Beperk de kring. Hoe meer mensen meekijken, hoe groter de kans dat er iets wordt aangeraakt.
Bel ons. Ook als u nog twijfelt of het ergens over gaat; dat is later niet meer terug te draaien.

In combinatie met andere trajecten

Forensisch onderzoek loopt zelden op zichzelf. Vaak volgt er een arbeidsrechtelijk traject, een melding aan de toezichthouder of een verzekeringsclaim. Wij stemmen het onderzoek af op wat daarna nodig is, want een rapport dat voor de ene procedure volstaat, schiet voor de andere tekort.

Zie ook cybersecurity en pentesting.

Digitaal forensisch onderzoek