Når flere medarbejdere bruger samme login, kan systemet kun vise, at kontoen gjorde noget. Det kan ikke vise, hvem der sad ved tastaturet. Opstår der en uregelmæssighed, står I derfor med et bevisproblem fra start. Det betyder ikke, at sagen er håbløs. Andre spor kan ofte indsnævre, hvem der kan have handlet. Men I skal sikre dem hurtigt, og I skal holde op med at dele logins, når sagen er overstået.
Artiklen handler om begge dele: hvad I gør, når sagen er der, og hvad I ændrer bagefter.
Hvor delte logins typisk findes
Delte konti opstår sjældent af ond vilje. De opstår, fordi det er praktisk, eller fordi en licens pr. bruger virker dyr. Typiske steder er:
- økonomisystemet, hvor bogholder og vikar deler adgang,
- kassesystemet i butikken, hvor alle bruger samme kode,
- webshoppens administration,
- netbanken, hvor en godkender har givet sin kode videre,
- administratorkonti til servere, firewall og Microsoft 365,
- fælles postkasser som info@ eller ordre@, hvor flere logger direkte ind,
- konti hos leverandører, fragtfirmaer og annonceplatforme.
Administratorkonti er de farligste. Med dem kan man ikke kun gøre noget, men ofte også ændre eller slette de logs, der skulle vise det.
Hvad gør I nu, når der er sket noget
- Skriv det ned. Hvad er der sket, i hvilket system, og hvornår blev det opdaget? Hvem kender til det?
- Lav en liste over alle, der har kendt koden. Også tidligere medarbejdere, vikarer, revisor og eksterne konsulenter. Listen er ofte længere, end I tror.
- Sikr systemets egen log. Bed IT eller leverandøren eksportere revisions- og ændringslog for perioden, før den overskrives. Spørg, hvor længe loggen gemmes.
- Find de andre spor. Hvem var på arbejde? Hvilke computere var tændt? Adgangskort, vagtplan, tidsregistrering, VPN-log og loginlog på selve computeren kan sammen pege på, hvem der kunne have handlet.
- Skift koden, og notér tidspunktet. Så kan det senere ses, hvad der skete før og efter skiftet.
- Hold kredsen lille. Alle, der kendte koden, er i princippet en del af sagen. Spørg dem ikke i flok.
→ Mistanke mod en ansat: beslutningstræ
Hvad sporene kan vise
- Systemets ændringslog · Hvad der blev ændret, og hvornår
- Loginlog med IP og enhed · Hvilken computer eller hvilket netværk der blev brugt
- Windows-login på pc’en · Hvem der var logget på den computer, handlingen kom fra
- Adgangskort og vagtplan · Hvem der var fysisk til stede
- Kamera, hvis det findes · Hvem der stod ved kassen eller computeren
Hvert spor er indirekte. Det er kombinationen, der kan gøre et billede tydeligt. Et økonomisystem kan for eksempel vise, at en betaling blev oprettet fra en bestemt computer klokken 14.12. Hvis kun én medarbejder var logget på den computer på det tidspunkt, er det et stærkere spor end selve loginnavnet.
→ ERP-systemets ændringslog som bevis
Hvem gør hvad
- Leder: ejer sagen og beslutter, hvem der skal vide hvad.
- Økonomi: kortlægger posteringer og godkendelser og leverer bilag. Rører ikke ved selve dataene i systemet ud over almindelig drift.
- IT: eksporterer logs, sikrer computere og skifter adgange. Notérer hvert skridt.
- Leverandøren: kan have logs, I ikke selv kan se. Bed om dem skriftligt, og bed om, at de bevares.
- Advokat og IT-sagkyndig: vurderer, hvad sporene kan bære, og hvordan de sikres, så de kan bruges i en tvist.
Er den, der normalt administrerer systemet, selv en af dem, der kendte koden, bør en anden stå for sikringen.
Det skal I lade være med
- Pege på den mest sandsynlige. Når flere har haft samme adgang, er det let at gætte. Et gæt, der bliver til en anklage, kan ende som en tvist mod jer selv.
- Lade de mistænkte rydde op. Den, der administrerer systemet, skal ikke selv “lige kigge loggen igennem”.
- Slette den delte konto. Så forsvinder historikken måske med den. Skift koden i stedet.
- Spørge alle på mail. En rundspørge advarer og skaber rygter.
- Gennemgå medarbejdernes private enheder. Det er ikke jeres udstyr, og det kræver særlige hensyn.
Gennemgang af logs om navngivne medarbejdere er behandling af personoplysninger. Formålet skal være sagligt, og medarbejderne bør være orienteret om, at der logges. Tjek jeres IT-politik og en eventuel kontrolaftale eller overenskomst.
Samtaler med dem, der kendte koden
Når sporene er sikret, skal de, der har haft adgang, høres. Gør det én ad gangen, med HR til stede, og med de samme åbne spørgsmål til alle: Hvornår har du brugt kontoen? Har du givet koden videre? Har du set andre bruge den? Har du bemærket noget usædvanligt? Skriv referat samme dag.
Pas på med at lade samtalen blive et forhør. Formålet er at få oplysninger, der kan holdes op mod de sikrede data, ikke at få nogen til at indrømme noget. Det er også her, I ofte finder ud af, at koden har været kendt af flere, end listen viste, for eksempel en tidligere vikar eller en leverandør. Tilføj dem til listen, og overvej, om der skal sikres spor hos dem.
Viser samtalerne, at koden har ligget på en seddel, i en fælles mail eller i et regneark, så skriv også det ned. Det svækker ikke kun sagen. Det er en oplysning, I skal bruge, når I ændrer rutinerne bagefter.
Hvad I ændrer bagefter
Uanset hvordan sagen ender, er en delt konto et svagt punkt. Det næste gang kan være en svindelsag udefra, hvor I heller ikke kan se, hvilken medarbejder der blev narret. Gør derfor følgende:
- ☐ Giv hver medarbejder sin egen konto i økonomi-, kasse- og webshopsystemer.
- ☐ Brug personlige administratorkonti, og hold dem adskilt fra den daglige konto.
- ☐ Slå to-faktor-godkendelse til, hvor det kan lade sig gøre.
- ☐ Lad fælles postkasser være delte postkasser, som man tilgår med sin egen konto, ikke med fælles kode.
- ☐ Gem koder, der må deles, i en adgangskodeboks med log over, hvem der har set dem.
- ☐ Undersøg, hvor længe hvert system gemmer sin log, og forlæng det, hvor det er muligt.
- ☐ Opdatér IT-politikken, og orientér medarbejderne om ændringen.
→ Delt postkasse: hvem skrev hvad?
Licensudgiften til personlige konti er ofte lille i forhold til den tid, en sag uden spor kan tage. Det er en ledelsesbeslutning, ikke kun en IT-beslutning.
→ Minimumslogning for mindre virksomheder
Hvornår skal I have hjælp udefra?
Få hjælp, når beløbet eller konsekvensen er stor, når flere mulige personer er involveret, eller når en administratorkonto er brugt. En IT-sagkyndig kan sikre logs og computere, så sikringen kan efterprøves, og samle de indirekte spor til en tidslinje. Det giver jeres advokat et bedre grundlag for at vurdere, om der er en sag, og mod hvem.
Læs også: “Det var ikke mig”: når medarbejderen afviser handlingen · Mistanke om snyd med arbejdstid og hjemmearbejde
→ Undersøgelse af en medarbejders computer · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
