Er auditloggen slået til? Spørgsmål til IT‑leverandøren

Som leder behøver I ikke at kunne opsætte en auditlog. Men I skal vide, om den findes, hvor længe den gemmes, og hvem der kan få fat i den. Det får I at vide ved at stille jeres IT-leverandør nogle få, præcise spørgsmål og bede om svarene på skrift. Her er spørgsmålene, og hvad I skal lytte efter i svarene.

En auditlog, også kaldet revisionslog, er systemets egen optegnelse over, hvem der loggede ind, hvem der åbnede, delte eller slettede noget, og hvornår. I en tvist med en tidligere medarbejder, en leverandør eller en kunde er den ofte det eneste, der kan vise, hvad der faktisk skete. Indholdet af en mail viser, hvad der blev skrevet. Loggen viser, hvad der blev gjort. Uden loggen står det ofte påstand mod påstand.

→ Hvor længe gemmes data i Microsoft 365, Google og på telefoner?

Hvorfor det er et ledelsesspørgsmål

Gemmetiden for logs er en beslutning med konsekvenser. Den påvirker, om I kan dokumentere noget, der skete for et halvt år siden. Den påvirker licensudgiften. Og den påvirker, hvor meget I registrerer om medarbejderne. Derfor bør beslutningen ikke ligge alene hos en tekniker hos leverandøren. Mange leverandører bruger standardopsætninger, som ingen hos kunden har taget stilling til. Det er ikke forkert i sig selv, men det betyder, at ingen har tænkt over, om opsætningen passer til de sager, netop jeres virksomhed kan komme ud for.

Spørgsmålene

Send dem på mail, så I har svaret skriftligt.

1. Er auditloggen slået til i vores Microsoft 365 eller Google Workspace? Bed om datoen for, hvornår den blev slået til, hvis den kendes.
2. Hvor længe gemmes loggen med vores nuværende licens? Svaret bør være et konkret antal dage eller måneder, ikke “længe nok”.
3. Hvilke handlinger registreres? Logins, fildeling, sletning, ændringer af regler i postkasser, administratorhandlinger?
4. Er revision af postkasser slået til for alle, også delte postkasser og ledelsens postkasser?
5. Hvem kan søge i loggen? Hvem hos jer, og hvem hos leverandøren?
6. Bliver loggen gemt andre steder? For eksempel i et separat logsystem eller en sikkerhedstjeneste med længere gemmetid.
7. Hvad med vores øvrige systemer? Firewall, VPN, fjernadgang og fagsystemer har ofte deres egne logs med egne gemmetider.
8. Hvad gør I, hvis vi beder om at bevare loggen for en bestemt bruger eller periode? Hvor hurtigt, og hvordan dokumenteres det?
9. Ændrer I selv indstillinger uden at spørge os? Og bliver ændringerne noteret?

Hvad svarene betyder

• “Ja, slået til, 180 dage” · Godt udgangspunkt. Overvej, om et halvt år er nok til jeres typiske sager.
• “Det tror jeg” · Bed om at få det tjekket og dokumenteret.
• “Kun 90 dage” eller kortere · En fratrædelsessag opdaget efter tre måneder kan mangle spor.
• “Vi gemmer det i et separat system” · Spørg om gemmetid og om, hvem der ejer data, hvis I skifter leverandør.
• “Det kræver en dyrere licens” · Få en konkret pris, og tag det op som en beslutning.

Tallene i tabellen er eksempler på svar, ikke anbefalinger. Hvad der er standard, afhænger af licens og system og ændrer sig over tid.

→ Licensniveau og beviser

Lyt efter de vage svar

En god leverandør kan svare præcist og vise det i administrationsportalen. Vær opmærksom, hvis svarene er:

• “Microsoft gemmer alt.” Det gør Microsoft ikke. Slettede data og udløbne logs er som regel væk.
• “Vi har backup.” Backup af filer og mails er ikke det samme som en log over, hvem der gjorde hvad.
• “Det kan vi altid finde.” Spørg hvordan, og hvor langt tilbage.

Det er ikke et tegn på dårlig vilje, hvis leverandøren ikke kender svaret med det samme. Men I bør få det skriftligt inden for rimelig tid. Bed gerne om et skærmbillede af indstillingen fra administrationsportalen med dato. Det er en enkel måde at dokumentere, hvordan systemet var sat op på et bestemt tidspunkt, og det koster leverandøren få minutter.

Når leverandøren selv kan være en del af sagen

Hvis sagen handler om leverandøren, eller om en af jeres egne IT-administratorer, er det et problem, at de samme personer styrer loggen. Spørg derfor også, hvem der kan slette eller ændre loggen, og om det i sig selv registreres. I en sådan situation skal I ikke bede den mistænkte part om at sikre sporene. → Mistanke mod IT-administratoren

Når I skifter IT-leverandør

Et leverandørskifte er et særligt sårbart tidspunkt. Hvis den gamle leverandør har gemt logs i sit eget system, kan de forsvinde, når aftalen ophører. Og den nye leverandør kender ikke historikken. Stil derfor også disse spørgsmål, når I skifter:

• Hvor ligger vores logs i dag, og hvem ejer dem?
• Kan vi få en eksport af logs og opsætning, før aftalen ophører?
• Hvem har administratoradgang efter skiftet, og hvornår lukkes den gamle leverandørs adgang?

Få svarene skriftligt, og læg dem sammen med jeres kontrakt. Hvis der senere opstår en uenighed om, hvad der skete i overgangen, er det dokumentation, I kan bruge. → Opsigelse af en IT-leverandør: sikr data og logfiler først

Gentag spørgsmålene hvert år

Svarene gælder kun for det tidspunkt, hvor de blev givet. Licenser skifter, systemerne opdateres, og nye medarbejdere hos leverandøren ændrer indstillinger. Sæt en fast årlig påmindelse, for eksempel i forbindelse med budgettet eller fornyelsen af licenserne. Det tager kort tid, og det betyder, at I altid ved, hvor langt tilbage I kan se, hvis en sag opstår. Skriv svarene ind i samme dokument hvert år, så I kan se udviklingen.

Hvem gør hvad

• Leder eller ejer: Stiller spørgsmålene og beslutter gemmetid.
• Økonomi: Vurderer prisen på en længere gemmetid mod risikoen.
• HR: Sørger for, at medarbejderne er orienteret om logning i IT-politikken.
• IT-leverandør: Svarer skriftligt og dokumenterer ændringer.

Det skal I lade være med

• At forlænge logningen uden at orientere medarbejderne. Logning af medarbejderes aktivitet kræver et sagligt formål og orientering. Tjek jeres IT-politik og eventuel kontrolaftale eller overenskomst.
• At bede leverandøren om at “kigge i loggen” for at se, hvad en bestemt medarbejder har lavet, uden et formål og uden at tale med en rådgiver. Det kan krænke medarbejderens rettigheder og gøre et senere bevis svagere.
• At nøjes med et mundtligt svar. Skriftlige svar kan bruges til at vise, hvordan systemet var sat op.

Hvornår skal I have hjælp udefra

Spørgsmålene kan I stille selv. Få en uvildig IT-sagkyndig ind, hvis svarene er uklare, hvis sagen allerede er opstået, eller hvis leverandøren selv kan være part. En sagkyndig kan sikre loggen, før den udløber, og dokumentere det, så det kan efterprøves. → Egen IT, IT-leverandør eller uvildig IT-sagkyndig?

Læs også: Bevisberedskab i Microsoft 365: indstillinger, I bør tjekke i dag · Licensniveau og beviser: når den billige licens ikke gemmer det, I skal bruge

→ Gennemgang af en medarbejders mailkonto · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT