Bevisberedskab betyder, at virksomheden på forhånd har sørget for, at de digitale spor, I får brug for i en sag, faktisk findes, kan findes og kan sikres hurtigt. I praksis handler det om fire ting: I ved, hvor jeres data ligger. De rigtige logs er slået til og gemmes længe nok. Der er klare regler, som medarbejderne kender. Og nogen ved, hvad der skal ske de første timer.
Det lyder som et stort projekt. Det er det ikke. For en virksomhed med 5-200 ansatte er det mest et spørgsmål om at tage nogle beslutninger og skrive dem ned. På engelsk hedder det forensic readiness.
Denne side er hovedsiden for bevisberedskab. Den starter med, hvorfor det betyder noget, og en enkel skala, så I kan se, hvor I står. Derefter kommer en plan for de første 90 dage, en tjekliste til udskrift og svar på de spørgsmål, ledelse og bestyrelse typisk stiller.
Hvorfor det betyder noget
De fleste sager, hvor digitale beviser betyder noget, starter uventet. En medarbejder siger op og tager kunder med. En kunde påstår, at I har lovet noget, I ikke har. En mailkonto bliver overtaget. En leverandør leverer ikke.
I alle tilfælde er spørgsmålet det samme: Hvad kan I dokumentere? Og svaret afhænger af beslutninger, der blev truffet, længe før sagen opstod. Var revisionsloggen slået til? Blev postkassen slettet kort efter fratrædelsen? Brugte medarbejderen en privat konto? Var der en politik?
Når sagen er der, kan I ikke gå tilbage og slå logning til. I kan kun arbejde med det, der findes.
Bevisberedskab er ikke kun til de store sager. Det gør også de små sager lettere: en uenighed med en kunde om, hvad der er aftalt, kan ofte afklares hurtigt, hvis I kan finde mailen og vise, hvornår den blev sendt.
Hvor står I? Fire niveauer
Skalaen herunder er ikke en standard, men en praktisk måde at se på jeres egen virksomhed. De fleste mindre virksomheder starter på niveau 0 eller 1, og det er helt normalt.
- 0: Ikke tænkt over · Kendetegn: Ingen ved, hvor data ligger, eller hvad der logges · Hvad sker der, når en sag opstår: Man leder efter spor, der ofte er væk
- 1: Delvist overblik · Kendetegn: IT kender systemerne, men intet er skrevet ned · Hvad sker der, når en sag opstår: Det tager dage at finde de rigtige folk og logs
- 2: Besluttet og skrevet ned · Kendetegn: Datakort, logning og en plan på én side · Hvad sker der, når en sag opstår: De første timer går efter planen
- 3: Afprøvet og vedligeholdt · Kendetegn: Planen er testet og gennemgås hvert år · Hvad sker der, når en sag opstår: Sagen starter roligt, og hullerne er kendte
Målet for en virksomhed med 5-200 ansatte er niveau 2, og gerne 3. Det kræver ikke dyre værktøjer, men det kræver, at nogen i ledelsen ejer opgaven. Vil I have en hurtig vurdering af, hvor I står, så tag selvtesten om bevisberedskab.
De fire byggesten
1. Overblik over data
Hvilke systemer bruger I, hvem er leverandør, hvor ligger data, og hvem kan stoppe sletning? Det er ikke en teknisk opgave. Det er en liste. → Datakort: hvor ligger vores data?
2. Logning og opbevaring
De vigtigste spor er logs: hvem loggede ind, hvem ændrede hvad, hvem sendte, slettede eller delte. Mange logs er ikke slået til som standard, eller de gemmes kun kort tid. Hvad der gemmes, afhænger ofte af licensen. Beslut, hvilke logs der skal være slået til, og hvor længe de skal gemmes. Det skal afvejes mod reglerne om dataminimering og opbevaring af persondata. → Minimumslogning: hvad bør være slået til? · Hvor længe skal virksomheden gemme logs?
3. Regler, som medarbejderne kender
IT-politik, AI-politik, regler om private konti og udstyr, og en orientering om, hvad der logges, og hvornår det kan gennemgås. Uden orientering kan I have spor, som I ikke kan bruge. Reglerne om kontrol med medarbejdere og evt. overenskomst eller kontrolaftale skal tjekkes. → IT-politik og orientering af medarbejdere
4. En plan for de første timer
Hvem beslutter, at noget skal bevares? Hvem ringer til advokaten? Hvem sørger for, at kontoen ikke slettes, og at computeren ikke bliver geninstalleret? Det skal ikke være en lang plan. En side er nok, hvis den er til at finde. Skriv navne og telefonnumre på, ikke kun roller. Husk også en stedfortræder for hver rolle, så planen virker, selv om den ansvarlige er på ferie eller selv er en del af sagen. → Beredskabsplan med et afsnit om bevissikring
De første 90 dage
Planen herunder er en rækkefølge, der passer til de fleste mindre virksomheder. Tempoet kan I selv bestemme. Det vigtigste er, at hvert trin bliver afsluttet og skrevet ned.
Uge 1-2: ejerskab og overblik
- Udpeg en ansvarlig. Én person i ledelsen ejer bevisberedskabet. Ikke IT alene.
- Lav datakortet. Start med de ti vigtigste systemer: mail, filer, økonomi, CRM, telefoner og de fagsystemer, I ikke kan undvære.
- Saml kontaktlisten. Hvem er systemejer, og hvem er kontakt hos leverandøren? → Skabelon: kontaktliste til systemejere og leverandører
Måned 1: logning og leverandører
- Tjek logningen. Bed IT eller jeres IT-leverandør svare skriftligt på, hvilke logs der er slået til, og hvor længe de gemmes. → Er auditloggen slået til? Spørgsmål til IT-leverandøren
- Tjek de vigtigste indstillinger i jeres mail- og cloudsystem. → Bevisberedskab i Microsoft 365 · Bevisberedskab i Google Workspace
- Læs leverandørkontrakterne med ét spørgsmål for øje: kan vi få logs og bistand, hvis der opstår en sag? → IT-leverandørkontrakten: krav om logs og bistand ved bevissikring
Måned 2: regler og orientering
- Gennemgå politikkerne. Er de udleveret, og kan I vise det?
- Afstem sletning og bevarelse, så jeres slettepolitik ikke fjerner det, I får brug for i en sag. → Slettepolitik og bevarelse: sådan spiller de to sammen
- Orientér medarbejderne om, hvad der logges, og hvornår det kan gennemgås. → Skabelon: orientering af medarbejderne om logning og kontrol
Måned 3: plan og afprøvning
- Skriv den ene side. Hvem gør hvad de første timer, når en sag opstår.
- Test det. Tag et tænkt eksempel, for eksempel en sælger, der siger op, eller en mailkonto, der bliver overtaget, og gå det igennem. Mangler der noget? → Tjekliste: er virksomheden klar til en bevissag?
- Sæt en dato for næste gennemgang. Mindst én gang om året. → Årshjul for bevisberedskab
Tjekliste til udskrift
Print listen, og sæt kryds, når punktet er afsluttet og skrevet ned.
- ☐ En navngiven person i ledelsen ejer bevisberedskabet.
- ☐ Datakortet dækker de ti vigtigste systemer.
- ☐ Domæne, mail og cloudabonnementer står i virksomhedens navn.
- ☐ Virksomheden har selv en administratorkonto i alle vigtige systemer.
- ☐ Revisionsloggen i mailsystemet er slået til, og opbevaringstiden er kendt.
- ☐ Det er besluttet, hvor længe logs og fratrådtes postkasser gemmes.
- ☐ Backup er testet, og I ved, hvor langt tilbage I kan gå.
- ☐ Leverandørkontrakterne siger noget om logs og bistand ved en sag.
- ☐ IT-politik og orientering om logning er udleveret, og det kan dokumenteres.
- ☐ Planen for de første timer findes på papir og uden for de faste systemer.
- ☐ Planen har navne, telefonnumre og stedfortrædere.
- ☐ Planen er afprøvet med et tænkt eksempel.
- ☐ Der er en dato for næste gennemgang.
Sådan mærkes forskellen i en sag
Bevisberedskab kan virke abstrakt, indtil sagen står der. De fire situationer herunder viser, hvad beredskabet konkret gør ved de første timer.
- En medarbejder stopper og går til en konkurrent. Med beredskab ved HR og IT, at postkassen og computeren skal bevares, og hvem der beslutter det. Uden beredskab bliver computeren nulstillet og givet videre. → Medarbejderen er stoppet: de første 48 timer
- En mailkonto bliver overtaget. Med beredskab er revisionsloggen slået til og gemmes længe nok til at vise, hvornår det startede. Uden beredskab er de første uger af forløbet ukendte. → Hacket mailkonto: sikr sporene, før I nulstiller
- Et cyberangreb lammer driften. Med beredskab ligger planen på papir, backup er adskilt, og IT ved, at der skal tages kopier før genopretning. → Bevissikring efter et cyberangreb
- En leverandør vil ikke udlevere data. Med beredskab har I selv en administratorkonto, og kontrakten siger noget om udlevering. → IT-leverandøren vil ikke udlevere adgange eller data
Hvem gør hvad
- Ledelse · Ejer beredskabet og træffer beslutningerne
- IT eller IT-leverandør · Logning, opbevaring, datakort
- HR · Politikker, orientering, onboarding og fratræden
- Økonomi · Aftaler, leverandører og budget
- Bestyrelse · Spørger til status og sikrer, at det bliver gjort
Det skal I lade være med
- Lad være med at overlade det hele til IT. Mange af beslutningerne er ledelsesbeslutninger: hvad må logges, hvor længe, og hvad koster det?
- Lad være med at logge alt for en sikkerheds skyld. Mere logning er ikke altid bedre. Den skal have et formål, og medarbejderne skal være orienteret.
- Lad være med at gå ud fra, at jeres IT-leverandør har styr på det. Spørg konkret, og få svaret skriftligt.
- Lad være med at skrive en plan, ingen kan finde. En plan, der ligger på en server, der er nede, hjælper ikke under et cyberangreb.
- Lad være med at gøre det til et engangsprojekt. Systemer, leverandører og medarbejdere skifter. Et datakort fra for tre år siden passer sjældent i dag.
Spørgsmål, vi ofte får
Hvad koster det at lade være?
Det kan ikke gøres op i tal, og det skal I være skeptiske over for, hvis nogen prøver. Men det, der mangler i sager, er typisk de samme ting: en log, der var udløbet, en postkasse, der var slettet, en computer, der var givet videre, eller en konto, der stod i en medarbejders private navn. Det er alle ting, der kunne være undgået med en beslutning, der tager få minutter at træffe.
Hvad skal der stå i budgettet?
Mest tid: ledelsens og IT’s tid til at lave datakortet, tjekke logning og skrive planen. Nogle gange en dyrere licens, fordi den billige ikke gemmer de logs, I får brug for. → Budgettér bevisberedskab · Licensniveau og beviser
Hvad med NIS2 og ISO 27001?
Er I omfattet af NIS2-reglerne eller arbejder efter ISO 27001, har I allerede krav om logning, hændelseshåndtering og dokumentation. Bevisberedskab passer ind i det arbejde. Det handler om at sørge for, at det, I alligevel gør, også kan bruges som dokumentation i en tvist eller en intern undersøgelse. Er I ikke omfattet, er bevisberedskab stadig relevant. → NIS2 og bevisberedskab
Må vi logge medarbejdernes aktivitet?
Logning af systemer er almindeligt, men brugen af loggen over for den enkelte medarbejder kræver et sagligt formål, orientering og respekt for reglerne om persondata. Overenskomst eller kontrolaftale kan stille yderligere krav. Tjek reglerne, før I beslutter, hvad der logges, og hvordan det må bruges.
Hvad skal bestyrelsen spørge om?
Om der er en ansvarlig, om datakort og plan findes, og hvornår beredskabet sidst blev afprøvet. → Bestyrelsens spørgsmål om bevisberedskab
Hvad gør vi, når sagen alligevel er der?
Bevisberedskab er ikke en garanti. Der vil være sager, hvor sporene ligger et sted, I ikke havde tænkt på. Men med overblik, logning og en plan kan I handle hurtigt og vide, hvem der skal ringes til. Efter en sag er det et godt tidspunkt at se på, hvad der manglede. → Bevisberedskab: råd til klienten efter sagen
Ordforklaringer
- Bevisberedskab: at have sørget for på forhånd, at de digitale spor, en sag kræver, findes og kan sikres.
- Datakort: en liste over virksomhedens systemer, hvor data ligger, og hvem der er ansvarlig.
- Revisionslog: systemets log over, hvem der gjorde hvad hvornår, for eksempel i Microsoft 365.
- Opbevaringstid: hvor længe en log eller en postkasse gemmes, før den slettes automatisk.
- Dataminimering: princippet om ikke at gemme flere persondata end nødvendigt. Det skal afvejes mod behovet for logs.
Flere ord står i ordbogen for ledere.
Hvornår skal I have hjælp?
Mange virksomheder kan komme langt selv med datakort, logning og politikker. Få hjælp udefra, hvis I er usikre på, om jeres logs kan bruges som dokumentation, hvis I har mange leverandører, eller hvis bestyrelsen ønsker en uvildig vurdering. En uvildig IT-sagkyndig, der ikke sælger produkter, kan gennemgå beredskabet uden at have en interesse i, hvad I køber. Hvad Nielco IT tilbyder virksomheder, står på siden IT-sagkyndig for virksomheder. Læs også oversigten over forebyggelse og beredskab. → Før sagen: forebyggelse og bevisberedskab
Læs også: Slettepolitik og bevarelse: sådan spiller de to sammen · Tjekliste: er virksomheden klar til en bevissag? · Ordbog for ledere
→ Bevissikring ved fratræden af nøglemedarbejdere · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
