“Bring your own device” (BYOD) betyder, at medarbejderne bruger egen telefon, tablet eller computer til arbejde. Det er praktisk og billigt. Men når arbejdsdata skal sikres som bevis, står virksomheden svagere: Enheden er medarbejderens, og virksomheden kan ikke bare tage den ind.
Svaret er derfor at forberede sig: Sørg for, at arbejdsdata ligger i jeres egne systemer, og aftal på forhånd, hvad der sker, hvis noget skal undersøges.
Hvad er problemet?
- Virksomheden kan kræve det afleveret · Medarbejderen ejer det
- Kan sikres forensisk · Kræver samtykke eller juridiske skridt
- Private data er en undtagelse · Arbejdsdata er en undtagelse
- Kan styres via MDM · Kun den arbejdsdel, der er styret
Det betyder ikke, at private enheder er umulige at sikre. Men det tager længere tid, kræver medarbejderens medvirken eller en retslig afgørelse, og der er større risiko for, at data er væk, før I når frem.
Hvad ligger hvor?
Det vigtigste, I kan gøre, er at sørge for, at arbejdsdata ikke kun ligger på den private enhed.
- Mail: Ligger i Microsoft 365 eller Google Workspace og kan sikres derfra.
- Filer: Ligger i OneDrive, SharePoint eller Google Drive, hvis de gemmes der.
- Teams og Slack: Ligger i virksomhedens tenant.
- SMS og WhatsApp: Ligger kun på telefonen og i medarbejderens private backup.
- Billeder og noter: Ligger ofte kun på telefonen.
- Opkald: Opkaldslister ligger på telefonen og hos teleselskabet, men kan også ligge i jeres telefonsystem, hvis det bruges.
Jo mere, der ligger i virksomhedens systemer, jo mindre afhænger I af den private enhed. Et konkret skridt er at aftale, at kundekontakt foregår via mail eller Teams og ikke via private beskeder.
→ Telefonlogfiler og VoIP som bevis
MDM og arbejdsprofiler
Med MDM-systemer kan der laves en adskilt arbejdsdel på telefonen. På Android kaldes det en arbejdsprofil, og på iPhone kan virksomhedens apps og data styres adskilt. Fordele:
- Arbejdsdata kan fjernes, uden at private data røres.
- Virksomheden kan styre, hvor arbejdsdata må gemmes.
- Medarbejderen kan se, at virksomheden ikke har adgang til den private del.
Men vær opmærksom: Fjernsletning af arbejdsdelen kan også slette beviser. Slet ikke, før det er afklaret, om der skal sikres. Det gælder også den automatiske sletning, som mange MDM-systemer udfører, når en bruger fjernes.
Når der er mistanke
- Sikr først det, der ligger i jeres egne systemer: mail, filer, chat og revisionslog. Det kan ske uden at involvere den private enhed.
- Fjernslet ikke arbejdsdelen af enheden, og fjern ikke brugeren fra MDM endnu.
- Tal med en advokat om, hvordan data på den private enhed kan sikres. Det kan være med samtykke, ved aftale eller ved retslige skridt.
- Tilbyd en afgrænset sikring: Medarbejderen vil ofte være mere villig, hvis kun arbejdsdata sikres, og en uvildig IT-sagkyndig står for det.
- Skriv ned, hvad der er sagt og aftalt, og hvornår.
Hvem gør hvad
- Leder · Beslutter, om der skal undersøges, og holder kredsen lille
- HR · Står for dialogen med medarbejderen
- IT · Sikrer data i cloud og stopper automatisk sletning
- Advokat · Vurderer samtykke og retslige muligheder
- IT-sagkyndig · Foretager en afgrænset sikring af enheden
Afgrænset sikring af en privat telefon
En IT-sagkyndig kan i mange tilfælde begrænse sikringen til bestemte apps, perioder eller samtaler, så private data holdes ude. Det afhænger af telefonen og metoden. Afgrænsningen bør aftales skriftligt før sikringen: hvilke apps, hvilken periode, og hvem der får adgang til resultatet.
Det må I ikke gøre
- Tag ikke telefonen fra medarbejderen. Den er privat ejendom, også selv om der ligger arbejdsdata på den.
- Bed ikke om koden og kig selv. Det kan krænke medarbejderens privatliv og ændre data på telefonen.
- Bed ikke medarbejderen om at sende skærmbilleder som eneste dokumentation. De viser kun det udvalgte og mangler metadata.
- Fjernslet ikke, heller ikke “for at beskytte kundedata”, før der er taget stilling til sikring.
- Lov ikke mere end I kan holde. Siger I, at kun arbejdsdata sikres, skal det også være sådan.
Computere og tablets
BYOD handler ikke kun om telefoner. Bruger medarbejderne egen bærbar, ligger arbejdsfiler ofte lokalt i overførselsmappen, på skrivebordet eller i en privat synkroniseret mappe. Browseren kan huske login til jeres systemer, og filer kan være kopieret til USB-drev uden spor i jeres egne systemer.
Her hjælper det at bruge webadgang eller virtuelle skriveborde, så arbejdsfilerne bliver i jeres miljø. Kan medarbejderen kun åbne kundelisten i browseren og ikke downloade den, er der mindre at sikre på den private computer. Overvej også, om adgang fra private computere skal begrænses til bestemte funktioner, fx mail og kalender.
Forbered jer, før der sker noget
- ☐ Kortlæg, hvem der bruger private enheder til arbejde, og til hvad.
- ☐ Flyt kundekontakt til kanaler, som virksomheden ejer.
- ☐ Slå revisionslog til i cloudtjenesterne, og tjek opbevaringstiden.
- ☐ Indfør arbejdsprofiler via MDM, hvor det giver mening.
- ☐ Beskriv, hvordan fjernsletning stoppes, når der er mistanke.
- ☐ Få medarbejderne orienteret og kvitteringer gemt.
Ved fratrædelse
En medarbejder, der stopper, tager sin private telefon med. Derfor skal I sikre arbejdsdata i cloud, før kontoen lukkes, og først derefter fjerne arbejdsprofilen. Har I mistanke om, at data er taget med, er det her, I skal handle.
→ Offboarding uden at miste beviser
Skriv det ind i politikken
Politikken bør sige:
- hvilke arbejdsdata der må ligge på private enheder,
- at arbejdsdata skal gemmes i virksomhedens systemer,
- at kundekontakt sker via virksomhedens kanaler,
- hvad der sker ved fratrædelse,
- at medarbejderen skal medvirke til sikring af arbejdsdata ved mistanke.
Reglerne om medarbejderkontrol og persondata skal altid tjekkes, og en evt. overenskomst eller kontrolaftale kan stille krav.
→ IT-politik og orientering af medarbejdere
Hvornår skal I have hjælp udefra?
Få hjælp, når data på en privat enhed kan være afgørende, når medarbejderen er uenig i, hvad der må sikres, eller når I er i tvivl om, hvad I selv kan gøre uden at ødelægge noget. Nielco IT er uvildig og kan foretage en afgrænset sikring, så kun de aftalte data indgår.
Næste skridt
- Firmatelefonen er låst til medarbejderens private Apple-ID
- MDM og firmatelefoner: hvad kan virksomheden se og sikre?
- CRM: medarbejderen har eksporteret kundelisten
Læs også: Alarmsystemets log: til- og frakobling uden for åbningstid · Firmatelefonen er låst til medarbejderens private Apple-ID
→ Undersøgelse af en medarbejders computer · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
