Computeren kommer tilbage, men den er nulstillet eller geninstalleret. Det kan være sket i god tro, fordi medarbejderen ville fjerne private filer, eller det kan være sket for at skjule noget. Uanset hvad betyder det sjældent, at alt er tabt. Meget af det, der var på computeren, findes også i skyen, i mailen, i logs og i backup. Og selve nulstillingen er en oplysning, der skal dokumenteres. Det vigtigste nu er at stoppe al videre brug af computeren og bevare de andre kilder.
Det første døgn
- ☐ Tag computeren ud af brug. Den må ikke tændes, sættes op igen eller gives videre.
- ☐ Notér, hvad I ved: hvornår computeren blev afleveret, af hvem, i hvilken stand, og hvad medarbejderen har sagt om nulstillingen.
- ☐ Bevar cloud-data: postkasse, OneDrive, SharePoint, Teams eller Google Drive. Bed IT sætte bevarelse på med det samme.
- ☐ Sikr revisionsloggen, før den udløber. Den kan vise, hvad der blev hentet, synkroniseret eller slettet i ugerne før.
- ☐ Tag den relevante backup ud af rotation, så den ikke overskrives.
- ☐ Hold kredsen lille, og kontakt en advokat, hvis der er mistanke.
Hvad der stadig kan findes
- Postkassen · Sendte og modtagne mails, også til private adresser
- OneDrive og SharePoint · Filer, versioner, delinger og slettede filer i en periode
- Revisionsloggen · Downloads, synkronisering, sletninger og delinger
- Mobilstyring (MDM) · Hvornår computeren blev nulstillet, og hvornår den sidst var online
- Backup · Computerens eller serverens indhold på et tidligere tidspunkt
- CRM og fagsystemer · Eksporter og ændringer med bruger og tidspunkt
- Firewall og VPN · Forbindelser og datamængder i perioden før afleveringen
Hvad der er tilgængeligt, afhænger af jeres licenser og opsætning. Bed IT afklare det hurtigt, fordi flere af kilderne kun gemmes i en begrænset periode. → Kan slettede filer gendannes?
Kan computeren selv stadig vise noget?
Måske. Det afhænger af, hvordan nulstillingen er sket, og hvilken type disk computeren har. På nyere computere med SSD og kryptering er chancen for at genskabe slettede data efter en fuld nulstilling ofte lille, fordi disken selv rydder op. På ældre computere, eller hvis nulstillingen kun var delvis, kan der være mere. → SSD, TRIM og gendannelse
Selv når indholdet ikke kan genskabes, kan computeren ofte vise, hvornår den blev nulstillet, og hvordan. Det kan være vigtigt, for eksempel hvis nulstillingen skete efter, at medarbejderen fik besked om en tvist, eller dagen før en aftalt aflevering. Det er en vurdering for en IT-sagkyndig, ikke for jeres egen IT.
Hvorfor IT ikke selv skal prøve at gendanne
Det er fristende at hente et gratis gendannelsesprogram og se, hvad der dukker op. Lad være. Hvert forsøg skriver på disken og kan overskrive netop de rester, en sagkyndig kunne have fundet. Et program installeret på computeren efterlader også sine egne spor, og det kan senere blive svært at skelne dem fra det, medarbejderen gjorde. Hvis sagen ender i retten, vil modparten spørge, hvem der har haft computeren i hænderne, og hvad der er gjort ved den.
Det samme gælder at tænde computeren for at “se, om Windows starter”. Lad den være slukket.
Nulstillingen som dokumentation
En nulstilling lige før en aflevering er ikke i sig selv bevis for, at noget er galt. Men den kan indgå i det samlede billede. Hvis det kan vises, at data er slettet, efter at medarbejderen vidste, at der var en uenighed, kan det få betydning i en senere sag. Hvordan det vurderes, afhænger af omstændighederne. → Når data er slettet: bevisforspildelse i civile sager
Skriv derfor ned, hvad der er sagt og aftalt om afleveringen. Bad I om, at computeren ikke måtte nulstilles? Står det i IT-politikken? Har medarbejderen forklaret, hvorfor det skete? Svarene kan blive vigtige.
Hvem gør hvad
- Leder · Beslutter, om der skal sikres, og kontakter advokat
- HR · Notat om afleveringen, kontrakt og IT-politik, kontakt med medarbejderen
- IT · Bevarer cloud, logs og backup, rører ikke computeren
- IT-sagkyndig · Undersøger computeren og sikrer cloud-data, så det kan efterprøves
- Advokat · Vurderer nulstillingens betydning og næste skridt
Det skal I lade være med
- Lad være med at sætte computeren op igen og give den til en ny medarbejder.
- Lad være med at køre gendannelsesprogrammer eller andre værktøjer på den.
- Lad være med at slette medarbejderens konto, fordi computeren “alligevel er tom”. Cloud-data er nu jeres vigtigste kilde.
- Lad være med at konfrontere medarbejderen med beskyldninger, før data er bevaret, og advokaten er inddraget.
- Lad være med at lade backup køre videre uden at tage stilling til, om den gamle version skal gemmes.
Hvis telefonen også er nulstillet
Det sker ofte samtidig. Fremgangsmåden er den samme: tag telefonen ud af brug, lad den være, og bevar det, der ligger i skyen. Beskeder i Teams, mails og filer i OneDrive findes ofte uafhængigt af telefonen. Sms og beskeder i private apps er sværere, og her kan det være nødvendigt at tale med advokaten om andre veje.
Når nulstillingen skete i god tro
Mange medarbejdere nulstiller deres computer, fordi de tror, det er det rigtige. De vil fjerne private billeder, gemte koder og netbank, før udstyret går videre. Er der intet andet, der tyder på et problem, så behandl det sådan. Notér det, bevar cloud-data som ved enhver fratræden, og lad computeren ligge i den aftalte karantæne. Skriv til medarbejderen og bekræft, at computeren er modtaget nulstillet, uden at gøre det til en anklage. Hvis der senere opstår mistanke af andre grunde, har I både en rolig dokumentation og de vigtigste kilder bevaret.
Forebyggelse
Nulstillinger før aflevering kan langt hen ad vejen forebygges. Skriv i IT-politikken og i instruksen ved fratrædelse, at udstyr skal afleveres uden nulstilling. Sørg for, at medarbejdere ikke har lokale administratorrettigheder, så de ikke selv kan geninstallere. Og overvej rutinemæssig sikring af nøglemedarbejderes udstyr ved fratræden.
Hvornår skal I have hjælp udefra?
Er der mistanke om, at nulstillingen skulle skjule noget, så kontakt en IT-sagkyndig, før IT gør noget ved computeren eller lader logs udløbe. Tid betyder noget, fordi cloud-logs og backup forsvinder efter en periode. Haster det, er det en hastesag, og hastesager koster ekstra. → Pris og tilbud hos Nielco IT
Fortæl den sagkyndige præcist, hvad der er sket med computeren siden afleveringen: hvem har haft den, om den har været tændt, og om nogen har forsøgt noget. Det er sjældent et problem, hvis det er skrevet ned. Se også artiklen om slettede mails og filer, hvis sletningen er sket i skyen og ikke kun på computeren. → Medarbejderen har slettet mails og filer
Læs også: Medarbejderen vil ikke oplyse adgangskoden til arbejdscomputeren · Medarbejderen har slettet mails og filer: kan de findes igen?
→ Medarbejderen har taget data: hjælp til virksomheden · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
