Ofte ja, men ikke uden videre. Som arbejdsgiver kan I typisk se, hvilke sider der er besøgt på virksomhedens udstyr og netværk, når der er et sagligt formål, når medarbejderne er orienteret, og når gennemgangen er afgrænset. Browserhistorik siger meget om en persons privatliv, så den skal behandles forsigtigt, og reglerne skal tjekkes i jeres konkrete situation.
Det praktiske problem er ofte et andet end det juridiske. Browserhistorik forsvinder let, og den ændres, så snart nogen åbner browseren for at kigge. Mange sager mister sporene, fordi en leder eller IT ville “lige se efter”.
Hvorfor browserhistorik er følsom
Historikken viser ikke kun arbejde. Den kan vise søgninger om sygdom, økonomi, familie, fagforening, religion eller jobsøgning. Nogle af de oplysninger er særligt beskyttede efter databeskyttelsesreglerne. Derfor skal en gennemgang være målrettet, og den, der ser historikken, skal kun se det, der er relevant for formålet.
Hvornår kan det være relevant
Typiske situationer, hvor browserhistorik kan have betydning:
- Mistanke om, at filer er uploadet til en privat cloud-tjeneste eller en filoverførselstjeneste.
- Mistanke om arbejde for en konkurrerende virksomhed i arbejdstiden. → Mistanke om bijob i arbejdstiden
- Mistanke om, at medarbejderen har logget ind på en kundes eller en konkurrents system uden lov.
- En sikkerhedshændelse, hvor I skal finde ud af, hvordan skadelig software kom ind.
Det er sjældent rimeligt at gennemgå historikken for at se, om medarbejderen “spilder tiden”. Det er indgribende i forhold til formålet, og der findes som regel andre veje.
Hvor findes historikken?
Browserhistorik ligger flere steder, og det er vigtigt for sikringen:
- På computeren i browserens egne filer. Den kan slettes af brugeren eller automatisk.
- I browserens synkronisering, hvis medarbejderen er logget ind med en konto. Er det en privat konto, er det ikke virksomhedens data.
- I firewall, proxy eller DNS-filter, som ofte logger, hvilke domæner der er besøgt, men ikke de enkelte sider.
- I cloud-sikkerhedsværktøjer, hvis I har sådan et.
Den tekniske side, og hvad der kan udledes af de enkelte browsere, er beskrevet på digitalforensics.dk.
Hvad I gør nu, i rækkefølge
- Rør ikke browseren. Åbn den ikke, og log ikke ind som medarbejderen. Det ændrer historikken og tidsstemplerne.
- Skriv formålet ned. Hvad vil I finde ud af, og hvilken periode handler det om?
- Tjek orienteringen. Hvad siger IT-politikken om logning og kontrol af internetbrug?
- Bed IT bevare netværkslogs. Firewall- og DNS-logs slettes ofte efter kort tid.
- Tag computeren ud af brug, hvis den er central for sagen. Lad være med at geninstallere den.
- Få en uvildig til at sikre og gennemgå. Med en afgrænsning i tid og emne, aftalt med advokaten.
- Notér alt, hvad I har gjort. Også hvis nogen allerede har kigget.
Hjemmearbejde og privat netværk
Når medarbejderen arbejder hjemmefra, går trafikken ofte ikke gennem virksomhedens firewall. Så findes historikken kun på computeren og eventuelt i et sikkerhedsværktøj, der følger med maskinen. Det gør computeren endnu vigtigere at bevare uændret. Har medarbejderen brugt sin private computer til arbejdet, er situationen en anden: Den er ikke jeres, og I kan ikke uden videre undersøge den. Her skal I have juridisk råd, før I gør noget, og en eventuel sikring kræver som regel medarbejderens samtykke eller en retlig beslutning.
Private browserprofiler og inkognito
Mange medarbejdere har en privat profil i browseren på arbejdscomputeren, eller de bruger et privat vindue. En privat profil er ikke usynlig for en forensisk undersøgelse, men den indeholder typisk mest private data, og den skal behandles derefter. Et privat vindue efterlader færre spor på computeren, men netværkets logs kan stadig vise, hvilke domæner der er besøgt. Det er netop derfor, netværkslogs skal bevares tidligt. De udløber ofte efter få dage eller uger, afhængigt af hvordan jeres udstyr er sat op.
Spørg ikke medarbejderen, om vedkommende har brugt et privat vindue, før sporene er sikret. Spørgsmålet afslører, hvad I leder efter.
Hvem gør hvad
- Leder · Beslutter formål og periode
- HR · Tjekker IT-politik og orientering
- IT · Bevarer netværkslogs og udstyr, ser ikke indholdet
- Advokat · Vurderer, om gennemgangen er rimelig
- IT-sagkyndig · Sikrer computeren og trækker det relevante ud
Det skal I lade være med
- At åbne medarbejderens browser. Det er den mest almindelige fejl, og den kan ikke rettes bagefter.
- At logge ind på medarbejderens private konti, for eksempel en Google-konto, der synkroniserer historikken. Det er ikke jeres data, og det kan være ulovligt.
- At udskrive hele historikken og sende den rundt. Den indeholder næsten altid private oplysninger.
- At tage skærmbilleder i stedet for at sikre. Skærmbilleder viser ikke de bagvedliggende tidsstempler og kan let anfægtes.
- At konfrontere medarbejderen med en enkelt side. Et besøg på en side beviser ikke i sig selv, at noget er sket.
Private oplysninger i historikken
I vil næsten altid støde på noget privat. Det er ikke et problem i sig selv, hvis gennemgangen er afgrænset. Det, der ikke er relevant for formålet, skal ikke noteres, deles eller bruges. Er der tvivl, så stop og spørg. → Når I støder på private data
En IT-sagkyndig kan filtrere på domæner og perioder, så I kun får de linjer, der handler om sagen. Det beskytter medarbejderen, og det gør resultatet stærkere, fordi det viser, at I ikke har ledt efter noget at bruge.
Hvad historikken kan og ikke kan vise
Browserhistorik kan vise, at en side er åbnet fra en bestemt brugerkonto på en bestemt computer. Den kan ikke alene vise, hvem der sad ved tasterne, eller hvad der skete på siden. En upload kræver ofte flere spor: filsystemet, netværkslog og tjenestens egne logs. Brug historikken som én brik, ikke som hele beviset.
→ Må vi læse medarbejderens mail?
Hvis nogen allerede har kigget
Det sker ofte, at en leder eller en IT-medarbejder har åbnet browseren, før nogen tænkte på bevissikring. Skjul det ikke. Skriv ned, hvem der kiggede, hvornår, hvad der blev åbnet, og om der blev taget skærmbilleder. Lad være med at kigge mere. En IT-sagkyndig kan ofte stadig sikre computeren og skelne mellem det, der skete før og efter. Det er langt lettere, når I har fortalt det fra starten.
Hvornår skal I have hjælp udefra
Få en IT-sagkyndig ind, hvis historikken skal bruges i en sag, eller hvis der er tvivl om, hvad den viser. En korrekt sikring tager kort tid, men den skal ske, før computeren bruges igen. Få juridisk råd, før nogen ser på indholdet, især hvis der er følsomme oplysninger, eller hvis medarbejderen stadig er ansat.
Læs også: Kontrolaftalen: varsling af nye kontrolforanstaltninger · Må vi gennemgå firmatelefonen?
→ Gennemgang af en medarbejders mailkonto · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
