IT ser login fra et andet land på en almindelig arbejdsdag. Det viser sig, at det ikke er et angreb, men en medarbejder, der arbejder fra udlandet uden at have aftalt det. Det er ikke nødvendigvis en stor sag, men det kan have betydning for sikkerhed, forsikring, skat og ansættelsesforholdet. Det rigtige første skridt er at skelne mellem et sikkerhedsproblem og en personalesag, sikre de spor, I har, og tage en saglig samtale.
Sikkerhed først: er det overhovedet medarbejderen?
Et login fra udlandet kan være to ting. Enten er det medarbejderen selv, eller også er kontoen overtaget. Den første opgave er derfor sikkerhed, ikke HR.
- Se på mønsteret. Kommer loginnet fra medarbejderens kendte computer eller telefon? Er MFA godkendt på den sædvanlige enhed? Er der samtidig login fra Danmark?
- Kontakt medarbejderen ad en kendt kanal. Ring på det nummer, I har, i stedet for at skrive til den mail, der måske er kompromitteret.
- Er I i tvivl, så handl som ved et angreb. Afslut sessioner, skift adgangskode, og sikr loginloggen. Det er bedre at forstyrre en medarbejder på ferie end at lade en fremmed være inde.
Er det klart, at det er medarbejderen, går sagen over i en personalesag. Notér tidspunktet, hvor I konstaterede det, og hvordan.
Hvorfor det betyder noget
For mange virksomheder er det ikke selve opholdet i udlandet, der er problemet. Det er, at det sker uden aftale. Det kan berøre flere forhold:
- Informationssikkerhed: Offentlige netværk, andre landes regler om adgang til data og risiko for tyveri af udstyr.
- Kunde- og leverandøraftaler: Nogle aftaler kræver, at data kun behandles fra bestemte lande.
- Persondata: Adgang til persondata fra et land uden for EU kan være en overførsel, der kræver et grundlag.
- Forsikring: Arbejdsskadeforsikring og rejseforsikring dækker ikke nødvendigvis arbejde i udlandet.
- Skat og social sikring: Længere ophold kan have betydning for, hvor medarbejderen og virksomheden skal betale skat og bidrag.
Det er ikke IT’s opgave at vurdere disse spørgsmål, men det er IT’s spor, der viser, hvad der er sket.
Hvilke spor findes typisk?
- Loginlog i Microsoft 365 eller Google · Land, IP-adresse og tidspunkt for login
- VPN- og firewalllog · Hvorfra der blev koblet på jeres netværk
- Enhedsstyring (MDM) · Hvilken enhed der blev brugt, og evt. dens tidszone
- Rejseafregning og kalender · Om der var en kendt rejse i perioden
Vær forsigtig med at lægge for meget i en IP-adresse. Den viser, hvor forbindelsen kom fra, ikke nødvendigvis hvor personen var. VPN-tjenester, mobilnetværk og hoteller kan få en forbindelse til at se ud, som om den kommer fra et andet land, end den gør. Omvendt kan en privat VPN skjule, at nogen sidder i udlandet. Det er mønsteret over tid, der fortæller noget.
→ Firewall-, VPN- og loginlogs
Hvad gør I nu, i rækkefølge
- Sikr loginloggen. Eksportér loginhistorik for perioden, før den udløber. Notér, hvem der eksporterede, og hvornår.
- Beskriv det, I har set. Datoer, lande, enheder. Undgå konklusioner som “medarbejderen har løjet”.
- Tjek jeres egne regler. Står der noget i ansættelseskontrakten, IT-politikken eller personalehåndbogen om arbejde fra udlandet? Hvis ikke, er sagen svagere, end den føles.
- Inddrag HR. HR vurderer den ansættelsesretlige side og forbereder samtalen.
- Hold samtalen. Spørg åbent, hvor medarbejderen har arbejdet fra, og hvorfor. Skriv referat.
- Beslut fremadrettet. Skal der laves en aftale, stoppes det, eller er der grundlag for en advarsel?
Samtalen med medarbejderen
Forbered samtalen, så den handler om fakta og om fremtiden. Medarbejderen kan have en god forklaring: en syg forælder i udlandet, en misforståelse om, hvad der var aftalt, eller en leder, der mundtligt har sagt god for det. Spørg derfor først, før I fremlægger loggene.
Gode spørgsmål er: Hvor har du arbejdet fra i perioden? Har du aftalt det med nogen? Hvilket udstyr og hvilket netværk har du brugt? Har du haft kundedata eller andre følsomme oplysninger med? Svarene holdes op mod de sikrede logs bagefter, ikke under samtalen.
Skriv referat samme dag, og lad medarbejderen få det. Er der givet en mundtlig tilladelse, skal I tage det med i vurderingen. Det er svært at give en advarsel for noget, en leder har sagt ja til.
Har medarbejderen været sygemeldt eller på ferie i perioden, men alligevel været logget på, er det en anden sag. Den handler om sygefravær eller ferie, og den kræver særlig forsigtighed. Tal med HR og evt. advokat, før I gør noget.
Hvem gør hvad
- IT: sikrer loginlog og vurderer sikkerhedsrisikoen. Undersøger ikke medarbejderens private forhold.
- HR: ejer personalesagen og samtalen.
- Leder: bidrager med, hvad der er aftalt om hjemmearbejde i praksis.
- Advokat: vurderer ansættelsesretlige, skattemæssige og persondataretlige følger, hvis sagen er alvorlig.
- IT-sagkyndig: inddrages, hvis medarbejderen bestrider loggene, eller hvis sagen skal kunne bruges i en tvist.
Det skal I lade være med
- Spore medarbejderens telefon. Funktioner til at finde en mistet enhed er ikke til personaleopfølgning.
- Gennemgå private sociale medier for feriebilleder. Det er ikke en IT-opgave og rejser spørgsmål om proportionalitet.
- Spærre kontoen uden besked. Medmindre der er en sikkerhedsrisiko, skaber det mere konflikt end nødvendigt.
- Konkludere ud fra én IP-adresse. Se på mønsteret og spørg, før I beslutter noget.
Brugen af loginlogs til at følge op på, hvor en medarbejder arbejder, er behandling af personoplysninger. Tjek, at medarbejderne er orienteret om logning, og at formålet er sagligt. Overenskomst eller kontrolaftale kan stille krav.
→ Hvad må arbejdsgiveren kontrollere?
Forebyg næste gang
Mange sager af denne type opstår, fordi reglerne ikke er skrevet ned. En kort politik om arbejde fra udlandet løser meget: hvornår det er tilladt, hvem der skal godkende det, hvilke lande der er udelukket, og hvilke sikkerhedskrav der gælder. IT kan supplere med betingede adgangsregler, der blokerer eller kræver ekstra godkendelse ved login fra bestemte lande. Det giver også en log over forsøg, som kan være nyttig, hvis spørgsmålet opstår igen.
Sørg for, at medarbejderne kender reglerne, og at de gælder for alle, også ledere. Gentag dem gerne før sommerferien, hvor spørgsmålet oftest opstår.
Hvornår skal I have hjælp udefra?
De fleste af disse sager kan løses internt med en god samtale. Få hjælp, hvis kontoen kan være overtaget, hvis medarbejderen har haft adgang til følsomme data fra et land uden for EU, eller hvis sagen ender med opsigelse og bliver bestridt. En IT-sagkyndig kan sikre og forklare loggene uvildigt, så I ikke står med jeres egen IT som eneste vidne.
Læs også: Mistanke om snyd med arbejdstid og hjemmearbejde · Kørselsregnskab og GPS-data, der ikke stemmer
→ Undersøgelse af en medarbejders computer · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
