De fleste beviser i en mindre virksomhed ligger i Microsoft 365: mails, Teams-chats, filer i OneDrive og SharePoint og loggen over, hvem der gjorde hvad. Om de stadig findes, den dag en sag opstår, afhænger af nogle få indstillinger, som I kan tjekke på en eftermiddag. Gør det, før I har brug for det. Når sagen er der, er det ofte for sent at slå noget til bagudrettet.
Artiklen er en tjekliste til den, der administrerer Microsoft 365, enten internt eller hos en IT-leverandør. Den handler om, hvad I skal tjekke, og hvorfor det betyder noget i en sag. Den tekniske opsætning af de enkelte funktioner er beskrevet andre steder.
→ Hvor længe gemmes data i Microsoft 365, Google og på telefoner?
Hvorfor det er værd at bruge en eftermiddag nu
Typiske sager i en mindre virksomhed starter stille. En sælger siger op, og et par måneder senere forsvinder kunderne. En leverandør påstår, at I har godkendt en ændring på mail. En medarbejder klager over beskeder i Teams. I alle tre situationer er spørgsmålet det samme: Hvad skete der, hvornår, og hvem gjorde det?
Svaret ligger i loggen og i det indhold, der er bevaret. Hvis loggen kun gemmes i kort tid, eller hvis kontoen blev slettet ved fratrædelsen, kan I ikke få svaret bagefter. Det er ikke et spørgsmål om dyre værktøjer. Det er et spørgsmål om, hvad der er slået til, og hvor længe det gemmes.
Tjeklisten
1. Revisionsloggen
- ☐ Er den samlede revisionslog (audit log) slået til i jeres tenant?
- ☐ Hvor længe gemmes den med jeres licens?
- ☐ Hvem kan søge i den, og er det dokumenteret?
Revisionsloggen viser blandt andet logins, filadgang, delinger og ændringer i postkasser. Den er det vigtigste spor i mange sager. Hos mange virksomheder er den slået til som standard, men det er ikke sikkert hos jer, især hvis tenanten er gammel. Gemmetiden afhænger af licensen og er typisk kortere end den tid, der går, før en sag bliver opdaget.
→ Unified Audit Log i Microsoft 365
2. Postkasse-revision
- ☐ Er revision af postkasser aktiv for alle brugere, også delte postkasser?
- ☐ Er der brugere, hvor revisionen er slået fra?
Postkasse-revisionen registrerer, når nogen åbner, flytter eller sletter mails i en anden persons postkasse. Den er vigtig, hvis en sag handler om adgang til andres mail.
3. Opbevaringspolitikker
- ☐ Har I opbevaringspolitikker for mail, OneDrive, SharePoint og Teams?
- ☐ Sletter nogen af dem automatisk efter kort tid?
- ☐ Er der en politik, der beskytter data for fratrådte medarbejdere?
Opbevaringspolitikker kan både redde og ødelægge beviser. En politik, der bevarer mail i fem år, hjælper. En politik, der sletter Teams-chats efter 30 dage, gør det modsatte. Gennemgå dem, og skriv ned, hvorfor de er sat, som de er.
4. Gendannelse af slettede elementer
- ☐ Hvor længe kan slettede mails gendannes?
- ☐ Er perioden sat til det længst mulige?
Når en bruger tømmer papirkurven, ligger mails i en skjult mappe i en periode. Standardperioden kan ofte forlænges uden ekstra omkostning. Det giver mere tid, hvis nogen har slettet mails før en fratrædelse. → Medarbejderen har slettet mails og filer før fratrædelsen
5. Fratrådte brugere
- ☐ Hvad sker der i dag med kontoen, postkassen og OneDrive, når en medarbejder stopper?
- ☐ Hvor længe bevares OneDrive efter sletning af brugeren?
- ☐ Er der en fast procedure, der spørger lederen, om der er en mulig tvist?
Den hyppigste fejl er, at kontoen slettes som en rutine, og at data dermed forsvinder efter en frist. → Microsoft 365-kontoen, når medarbejderen er stoppet
6. Mulighed for hold
- ☐ Giver jeres licens mulighed for at sætte et hold på en postkasse?
- ☐ Ved IT, hvem der må bestille et hold, og hvordan det dokumenteres?
Et hold bevarer indholdet, også hvis brugeren sletter. Det er ikke alle licenser, der har det. Find ud af det nu, så I ikke opdager det midt i en sag. → Litigation hold i Microsoft 365
7. Videresendelse og eksterne delinger
- ☐ Er automatisk videresendelse til eksterne adresser blokeret?
- ☐ Ved I, hvilke filer der er delt med alle, der har linket?
Begge dele er typiske veje, data forlader virksomheden ad. En blokering forebygger, og en oversigt gør det lettere at se, hvad der er sket.
8. Administratorkonti
- ☐ Hvem er global administrator, og er der mindst to?
- ☐ Bruger administratorer separate konti til administration?
- ☐ Kræver alle administratorkonti totrinsgodkendelse?
Hvis én person har alle nøgler, bliver det svært, hvis sagen handler om netop den person.
Når tjeklisten er gået igennem: tre beslutninger
Tjeklisten giver et billede af, hvordan jeres opsætning er i dag. Derefter skal ledelsen tage stilling til tre ting.
Hvor langt tilbage vil I kunne se? Tænk på jeres typiske sager. Hvor lang tid går der fra en medarbejder stopper, til I opdager, at kunderne forsvinder? Hvis svaret er måneder, skal loggen kunne gemmes mindst lige så længe.
Hvad gør I ved fratrædelser? Beslut, om data for fratrådte medarbejdere skal bevares i en fast periode som standard, og hvem der kan forlænge den, hvis der er en tvist på vej.
Hvem har ansvaret? Udpeg en person, der hvert år tjekker, at indstillingerne stadig er, som de skal være. Licenser skifter, leverandører skifter, og Microsoft ændrer standarder. En opsætning, der var god for to år siden, er ikke nødvendigvis god i dag.
Hvem gør hvad
- Leder eller ejer · Beslutter gemmetider og licensniveau
- IT eller IT-leverandør · Tjekker indstillingerne og dokumenterer dem
- Økonomi · Ser på, om en højere licens er nødvendig
- HR · Sikrer, at fratrædelser går gennem IT med et spørgsmål om tvist
Skriv resultatet ned i et kort notat med dato. Notatet viser, hvordan systemet var sat op, og det er nyttigt, hvis I senere skal forklare, hvorfor noget findes eller mangler.
Det skal I lade være med
- At slå alt til med maksimal gemmetid uden at tænke. Logning af medarbejdere kræver et sagligt formål og orientering. Tjek jeres IT-politik og eventuel kontrolaftale eller overenskomst.
- At ændre indstillinger midt i en sag uden at notere det. Hvis sagen allerede er opstået, skal ændringer dokumenteres med tidspunkt og årsag.
- At gå ud fra, at Microsoft har en backup til jer. Det, der er slettet og udløbet, er som regel væk.
- At lade én person stå alene med indstillingerne. Beslutninger om gemmetid er ledelsens ansvar.
Hvornår skal I have hjælp udefra
Tjeklisten kan klares af jeres egen IT eller IT-leverandør. Få en IT-sagkyndig ind, hvis I allerede står med en sag og er i tvivl om, hvad der stadig kan sikres, eller hvis I vil have gennemgået opsætningen uvildigt, før I skal bruge den. Haster sikringen, fordi loggen er ved at udløbe, så sig det tydeligt. Hastesager koster ekstra. → Pris og tilbud
Læs også: Litigation hold i Microsoft 365: hvornår skal ledelsen bede IT slå det til? · Er auditloggen slået til? Spørgsmål til IT-leverandøren
→ Gennemgang af en medarbejders mailkonto · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
