Et datakort er en enkel oversigt over de systemer, hvor jeres virksomheds data ligger: hvad systemet bruges til, hvem der er leverandør, hvem hos jer der er ansvarlig, hvilke logs der findes, hvor længe data gemmes, og hvem der kan stoppe sletning. Det er det første, en advokat eller en IT-sagkyndig spørger om, når en sag opstår. Har I svaret klar, sparer I tid, og I mister færre spor.
For de fleste mindre virksomheder kan kortet laves på en eftermiddag. Det behøver ikke være teknisk. Det skal bare være rigtigt.
Hvorfor I skal have et datakort
Når der opstår en sag, er det første spørgsmål: Hvor kan sporene ligge? En medarbejder, der har taget kundedata med, kan have brugt mail, CRM, et cloudlager, en chat og en firmatelefon. Hvert sted har sin egen leverandør, sine egne logs og sine egne regler for sletning.
Uden et kort bruger I de første timer på at finde ud af, hvilke systemer I har. Med et kort kan I gå direkte til at sikre dem. Kortet er også grundlaget for at vurdere, om logningen er god nok, og om der er konti, der står i forkerte navne. → Bevisberedskab: vær klar, før sagen opstår
Skabelon: det skal stå for hvert system
Lav én linje eller ét kort pr. system. Brug et regneark eller et dokument, hvad der passer jer. For hvert system skal I udfylde disse felter:
- System: navn og hvad det bruges til, fx “Microsoft 365: mail, filer, Teams”.
- Data: hvilke typer data der ligger der, fx kundedata, personaledata, regnskab, tilbud.
- Ansvarlig hos os: den person, der ejer systemet internt.
- Administratorer: hvem der har fuld adgang, både hos jer og hos leverandøren.
- Leverandør og kontakt: firmanavn, aftale, telefon og mail til support.
- Kontoens ejer: står kontoen i virksomhedens navn med en firmamail, eller i en medarbejders?
- Logs: hvilke logs findes, fx login, ændringer, sletning, deling.
- Opbevaring: hvor længe gemmes data og logs, og slettes noget automatisk?
- Hold og eksport: kan sletning stoppes, og kan data og logs eksporteres? Hvem kan gøre det?
- Backup: er der backup, hvor langt tilbage, og hvem har den?
- Sidst tjekket: dato og initialer.
Felterne om logs, opbevaring og hold er de vigtigste i en sag. Er de tomme, er det dem, I skal starte med at undersøge. → Hvor længe skal virksomheden gemme logs?
De systemer, der tit bliver glemt
Start med det oplagte: mail, filer, regnskab og CRM. Men tænk også på:
- telefoner og mobilabonnementer, og den MDM-løsning, der styrer dem,
- chat uden for Teams, fx WhatsApp, Slack eller sms med kunder,
- webshop, hjemmeside og domæne,
- sociale medier og annoncekonti,
- lønsystem og HR-system,
- netbank og betalingsløsninger,
- adgangskontrol, alarm og videoovervågning,
- adgangskodeadministrator,
- AI-tjenester og andre små abonnementer betalt med firmakort,
- gamle systemer, der er lukket ned, men stadig indeholder historik.
Et godt sted at finde de glemte systemer er bogføringen. Gennemgå et års fakturaer og kortudlæg, og skriv alle abonnementer ned. Spørg også de nyeste medarbejdere. De har ofte et friskt blik på, hvilke værktøjer der bruges i hverdagen, og hvilke der aldrig er blevet nævnt i en oversigt. Og spørg dem, der har været der længst, om de gamle systemer, som ingen længere bruger, men som stadig kører et sted.
Hvad gør I nu, trin for trin
- Udpeg en ansvarlig for datakortet. Det kan være IT, men en fra ledelsen skal godkende det.
- Lav listen over systemer ud fra bogføring, IT’s oversigt og en runde blandt afdelingerne.
- Udfyld felterne. Brug jeres egne oplysninger først. Det, I ikke ved, skriver I som spørgsmål til leverandøren.
- Send spørgsmålene til leverandørerne og bed om skriftlige svar, især om logs, opbevaring og eksport.
- Markér de røde felter: konti i private navne, logs, der ikke er slået til, data, der slettes hurtigt.
- Lav en plan for de røde felter med en ansvarlig og en dato.
- Gem kortet to steder, også et sted, der kan nås, hvis jeres egne systemer er nede.
Et eksempel på én linje
Sådan kan en udfyldt linje se ud for et typisk CRM-system:
- System: CRM, bruges af salg og kundeservice.
- Data: kundekontakter, tilbud, noter fra møder.
- Ansvarlig hos os: salgschefen.
- Administratorer: salgschefen og IT-leverandøren.
- Kontoens ejer: virksomheden, oprettet på it@-adressen.
- Logs: login og ændringer på kunder, eksport logges ikke. Spørg leverandøren.
- Opbevaring: slettede kunder ligger i 30 dage. Skal bekræftes skriftligt.
- Hold og eksport: kan eksportere data, ukendt om sletning kan stoppes.
Linjen viser to røde felter med det samme: eksport logges ikke, og det er uklart, om sletning kan stoppes. Netop de to ting kan blive afgørende, hvis en sælger stopper og har taget kundelisten med.
Hvem gør hvad
- Ejer eller direktør · Godkender og prioriterer de røde felter
- IT eller IT-leverandør · Udfylder de tekniske felter
- Økonomi · Finder abonnementer og aftaler i bogføringen
- Afdelingsledere · Fortæller, hvilke systemer de faktisk bruger
Det skal I lade være med
- Lad være med at skrive adgangskoder i datakortet. Kortet skal kunne deles med en advokat eller en IT-sagkyndig. Adgangskoder hører hjemme i en adgangskodeadministrator.
- Lad være med at gøre det for detaljeret. Et kort med ti systemer, der er rigtigt, er bedre end et med hundrede, der er halvt udfyldt.
- Lad være med at gætte på opbevaringstider. Skriv “ukendt”, og spørg leverandøren.
- Lad være med at lade kortet ligge. Opdater det, når I tager et nyt system i brug eller skifter leverandør.
Konti i private navne
Datakortet afslører ofte konti, der er oprettet af en medarbejder på en privat mail: et cloudlager, en annoncekonto, en domæneregistrering eller en Facebook-side. Det går godt, indtil medarbejderen stopper, eller samarbejdet går i stykker. Så kan det være svært at få adgang, og endnu sværere at dokumentere, hvad der er sket på kontoen. Flyt dem til virksomhedens navn nu, mens samarbejdet er godt. → Cloudkontoen står i en medarbejders navn
Kortet i en sag
Når en sag opstår, er datakortet det dokument, I giver advokaten og den IT-sagkyndige først. Det svarer på de spørgsmål, de alligevel ville stille, og det viser, at I har styr på jeres systemer. Advokatsitet har en skabelon til samme formål, set fra advokatens side. → Skabelon: datakort til det første klientmøde
Hvornår skal I have hjælp?
Få hjælp, hvis I har mange systemer og leverandører, hvis leverandørerne ikke kan svare klart på spørgsmål om logs og eksport, eller hvis kortet afslører huller, I ikke selv kan vurdere. En uvildig IT-sagkyndig kan gennemgå kortet og pege på, hvor sporene vil mangle, hvis der opstår en sag.
Læs også: Tjekliste: er virksomheden klar til en bevissag? · Minimumslogning: hvad bør være slået til, før noget sker? · Ordbog for ledere
→ Bevissikring ved fratræden af nøglemedarbejdere · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
