Bestyrelsen behøver ikke forstå teknikken for at vurdere, om virksomheden er klar til en sag med digitale beviser. Den skal stille de rigtige spørgsmål og forlange klare svar. Spørgsmålene nedenfor kan bruges på et bestyrelsesmøde, i årshjulet eller som en del af den årlige gennemgang af IT-sikkerheden.
Bevisberedskab betyder, at virksomheden kan finde, bevare og dokumentere data, når der opstår en tvist, en intern undersøgelse eller en hændelse. Det er tæt knyttet til IT-sikkerhed, men det er ikke det samme. En virksomhed kan have god sikkerhed og alligevel stå uden de logs og den dokumentation, der skal bruges, når noget er sket. → Bevisberedskab: vær klar, før sagen opstår
Hvorfor bestyrelsen bør spørge
Bestyrelsen har ansvaret for, at virksomheden er forsvarligt organiseret. Det omfatter i dag også, hvordan data håndteres. Når en sag opstår, er det ofte for sent at slå logning til eller lave en plan. Det, der ikke blev gemt, kan som regel ikke skaffes bagefter.
Spørgsmålene er ikke en kontrol af IT-afdelingen. De er en måde at gøre et usynligt område synligt, så direktionen kan prioritere det.
Tag gerne spørgsmålene i bidder. Én gruppe pr. møde er ofte nok, og det giver direktionen tid til at finde rigtige svar frem for hurtige. Det vigtigste er, at svarene bliver skrevet ned, så bestyrelsen kan se, om der er sket noget siden sidst.
Spørgsmål om data og logs
- Ved vi, hvor vores vigtigste data ligger? Findes der et overblik over systemer, cloudtjenester og leverandører?
- Hvilke logs er slået til i mail, filer og vigtige systemer, og hvor længe gemmes de?
- Er der systemer, hvor vi ikke kan se, hvem der har gjort hvad?
- Hvor langt tilbage kan vi gå i backup, og er backuppen testet?
- Hvad sker der med mail og filer, når en medarbejder stopper, og hvor længe er de til rådighed?
Svarene på spørgsmål 2 og 5 overrasker ofte. Standardindstillinger i cloudtjenester gemmer ikke altid data så længe, som ledelsen tror. → Hvor længe gemmes data i Microsoft 365, Google og på telefoner?
→ Minimumslogning: hvad bør være slået til?
Spørgsmål om roller og ansvar
- Hvem beslutter, at data skal bevares, når der opstår mistanke eller en tvist?
- Hvem kan give IT en instruks om at stoppe sletning, også hvis sagen angår direktionen?
- Har vi en liste over, hvem vi ringer til: advokat, IT-leverandør og IT-sagkyndig?
- Er det beskrevet, hvem der må se medarbejderes mails og filer, og på hvilket grundlag?
- Hvem orienterer bestyrelsen, og hvornår?
Det sidste spørgsmål er vigtigt. Hvis mistanken retter sig mod direktionen, skal der være en vej uden om. Aftal på forhånd, at formanden kan give IT og IT-leverandøren en direkte instruks.
Spørgsmål om leverandører
- Hvilke af vores data ligger hos eksterne leverandører?
- Har vi i kontrakterne ret til at få logs og data udleveret, også hvis samarbejdet ophører?
- Hvor hurtigt kan leverandøren hjælpe med at bevare data i en sag?
- Står administratorkonti og domæner i virksomhedens navn, eller i en medarbejders eller leverandørs?
- Hvad sker der med vores data, hvis leverandøren lukker?
Mange mindre virksomheder har hele IT-driften hos en ekstern leverandør. Det er fint, men så skal det stå i aftalen, hvad leverandøren skal bistå med, når der er brug for beviser.
Spørgsmål om politikker og medarbejdere
- Har vi en IT-politik, som medarbejderne kender, og som beskriver, hvad virksomheden må kontrollere?
- Er der en kontrolaftale eller overenskomst, som stiller krav til kontrol og varsling?
- Bruger medarbejdere private telefoner, private mailkonti eller beskedtjenester med autosletning til arbejde?
- Har vi en fast proces for fratrædelse, der sikrer, at data ikke slettes for tidligt?
Medarbejderkontrol og persondata kræver omtanke. Reglerne, en eventuel overenskomst og kontrolaftale skal altid tjekkes, før der indføres nye former for logning eller kontrol.
Spørgsmål om øvelse og opfølgning
- Har vi nogensinde øvet, hvad vi gør, hvis der opstår en sag?
- Hvornår har vi sidst testet, at vi kan finde og eksportere en bestemt postkasse eller log?
- Hvad lærte vi af den seneste hændelse, og er det fulgt op?
En kort skrivebordsøvelse med direktion og IT viser hurtigt, hvor planen halter. → Øv en bevissag: skrivebordsøvelse for ledelsen
Spørgsmål om bestyrelsens eget materiale
Bestyrelsen bør også se indad. Bestyrelsesmateriale er ofte det første, en modpart, en kurator eller en ny ejer beder om, hvis der opstår en tvist om ledelsens beslutninger.
- Hvor ligger bestyrelsesmaterialet, og hvem har adgang til det?
- Bruger bestyrelsesmedlemmer private mailadresser eller private enheder til bestyrelsesarbejde?
- Kan vi finde materiale og referater fra tidligere år, også fra medlemmer, der er udtrådt?
- Logges det, hvem der har åbnet materialet i bestyrelsesportalen?
- Hvad sker der med materialet, når et medlem forlader bestyrelsen?
Svarene viser, om bestyrelsen selv lever op til de krav, den stiller til direktionen. → Bestyrelsesmedlemmer, der bruger privat mail
Sådan bruger bestyrelsen svarene
Bed direktionen om skriftlige svar, gerne i et kort skema med tre kolonner: spørgsmål, svar og eventuel handling. Det giver et overblik, der kan følges op år for år.
- “Ja, og det er testet” · Notér og følg op næste år
- “Ja, men ikke testet” · Bed om en test
- “Nej” eller “ved ikke” · Bed om en plan med ansvarlig og dato
Undgå at lade spørgsmålene blive en tjekliste, der krydses af uden indhold. Et “ja” uden dokumentation er ikke et svar. Bed om at se eksemplet: hvor lang tid tog det at finde loggen, og hvad viste den?
→ Tjekliste: er virksomheden klar til en bevissag?
Det skal bestyrelsen lade være med
- At overlade alt til IT-leverandøren. Leverandøren kan svare på teknikken, men ledelsen skal beslutte, hvad der er godt nok.
- At bede om “mest mulig logning”. Logning af medarbejdere skal være begrundet og i overensstemmelse med reglerne.
- At glemme bestyrelsens egne data. Bestyrelsesmateriale på private mailkonti er en svaghed i sig selv.
- At tage emnet op én gang og så glemme det. Systemer og leverandører skifter, og svarene bliver forældede.
Hvornår skal I have hjælp udefra?
De fleste spørgsmål kan direktion og IT besvare selv. En ekstern vurdering kan give mening, når svarene er usikre, når IT-driften ligger hos en leverandør, som ikke selv kan vurdere bevisværdien, eller når bestyrelsen ønsker en uafhængig gennemgang.
En IT-sagkyndig, der arbejder med sager i praksis, kan pege på de huller, der typisk viser sig, når en sag opstår. Nielco IT er uvildig, sælger ikke produkter og har ingen leverandørpartnerskaber, og kan derfor vurdere beredskabet uden at have interesse i et bestemt system.
Læs også: Rapportering til bestyrelsen om en intern undersøgelse · Ledelsens IT-beslutninger: dokumentér dem, før de bliver et ansvarsspørgsmål
→ Uvildig IT-undersøgelse for bestyrelsen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
