En medarbejder bliver spurgt om en handling i et system, og svaret er: “Det var ikke mig. Nogen må have brugt mit login.” Det kan være sandt. Det kan også være en undskyldning. Jeres opgave er ikke at afgøre det i første omgang, men at sikre de data, der kan vise, hvad der faktisk skete, før nogen ændrer dem.
Det vigtigste er rækkefølgen. Sikr loginhistorik, MFA-data og oplysninger om enheder først. Hold derefter samtalen. Og lad være med at konkludere, før nogen uden for sagen har set på sporene.
Hvorfor påstanden skal tages alvorligt
Et login er ikke det samme som en person. Adgangskoder bliver delt, skrevet på sedler eller gemt i en browser på en fælles computer. Konti bliver overtaget via phishing. Og sessioner kan fortsætte i timer eller dage på en enhed, som medarbejderen har forladt. Hvis I afviser forklaringen uden at have undersøgt den, står I svagt, hvis sagen ender i en tvist.
Omvendt er “det var ikke mig” en forklaring, der kan efterprøves. Systemerne registrerer ofte mere, end man tror: hvorfra der blev logget ind, med hvilken enhed, om MFA blev godkendt, og hvad der skete lige før og efter. Det er netop de data, der skal sikres.
→ Hvem skrev beskeden? Delte telefoner, konti og computere
Hvad gør I nu, i rækkefølge
- Skriv ned, hvad der er sket. Hvilken handling, i hvilket system, hvornår, og hvem der opdagede den. Skriv også præcist, hvad medarbejderen har sagt, og hvornår.
- Stop automatisk sletning. Bed IT undersøge, hvor længe loginlogs og revisionslogs gemmes i de berørte systemer. Nogle logs gemmes kun i kort tid, så det kan være et spørgsmål om dage.
- Sikr logdata uden at ændre noget. IT eksporterer loginhistorik, MFA-hændelser og revisionslog for den relevante periode og gemmer eksporten et sted med begrænset adgang. Notér, hvem der eksporterede, hvornår og hvordan.
- Lås ikke kontoen af refleks. Overvej sammen med HR og jeres rådgiver, om adgangen skal begrænses. Skift adgangskode og afslut sessioner, hvis der er risiko for misbrug, men notér tidspunktet.
- Bevar enhederne. Arbejdscomputer og firmatelefon må ikke geninstalleres eller gives videre, mens sagen kører.
- Hold samtalen bagefter. Først når data er sikret, er det tid til at høre medarbejderens forklaring i detaljer.
→ Mistanke mod en ansat: beslutningstræ
Hvad kan virksomheden dokumentere?
Det afhænger af jeres systemer og licenser, men typisk kan følgende findes:
- Loginlog · Tidspunkt, IP-adresse og om login lykkedes
- MFA-hændelser · Om en anmodning blev godkendt, og på hvilken enhed
- Enhedsoplysninger · Hvilken computer eller telefon der blev brugt
- Revisionslog · Hvad der blev gjort efter login
- Adgangskort og VPN · Om medarbejderen var på kontoret eller koblet på udefra
Ingen af disse data står alene. Et login fra kontorets netværk viser ikke, hvem der sad ved tastaturet. Men flere datatyper, der peger samme vej, giver et billede, som kan forklares. Og hvis de peger hver sin vej, er det også vigtigt at vide, før I træffer en beslutning.
→ Firewall-, VPN- og loginlogs
Hvem gør hvad
- Leder: ejer sagen, beslutter rækkefølgen og holder kredsen lille.
- HR: samler ansættelseskontrakt, IT-politik og tidligere korrespondance. Forbereder samtalen og sørger for referat.
- IT: sikrer logs og enheder, men undersøger ikke på egen hånd. Notérer alle skridt.
- Advokat: vurderer, hvad I må bruge, og om sagen kan få ansættelsesretlige følger.
- IT-sagkyndig: sikrer data forensisk og vurderer, hvad sporene kan og ikke kan vise.
Er jeres egen IT-ansvarlige tæt på medarbejderen, eller har vedkommende selv adgang til den konto, sagen drejer sig om, bør en ekstern stå for sikringen. Ellers kan IT blive vidne i sagen i stedet for hjælper.
Det skal I lade være med
- Konkludere ud fra én log. En IP-adresse eller et tidspunkt er et spor, ikke et bevis på, hvem der handlede.
- Logge ind på medarbejderens konto. Så bliver jeres egne handlinger blandet sammen med det, I undersøger.
- Konfrontere før sikring. Medarbejderen kan nå at slette beskeder eller ændre indstillinger, også hvis vedkommende er uskyldig og bare vil rydde op.
- Lade kolleger spekulere. Har flere haft adgang til samme konto, skal de ikke høres i flok eller på mail.
- Gå i private enheder. Medarbejderens private telefon eller computer er ikke jeres at gennemgå. → Medarbejderens private data på arbejdsudstyr
Husk også, at kontrol med medarbejderes brug af IT kræver, at medarbejderne er orienteret, og at gennemgangen har et sagligt formål. Tjek jeres IT-politik og en eventuel kontrolaftale eller overenskomst, før I går i gang.
Samtalen med medarbejderen
Forbered samtalen grundigt. Aftal, hvem der deltager, og om medarbejderen skal tilbydes en bisidder. Spørg åbent: hvor var du, hvilke enheder bruger du, har andre kendt din kode, har du godkendt MFA-anmodninger, du ikke selv har startet? Svarene kan ofte holdes op mod de sikrede data bagefter.
Skriv referat samme dag, og lad medarbejderen se det. Vis ikke alle data i samtalen, før jeres rådgiver har vurderet, hvad der er klogt at fremlægge.
Forklaringen kan også pege på et sikkerhedsproblem. Siger medarbejderen, at koden har ligget i en fælles browser, eller at en kollega har haft adgang, så har I måske et problem med delte logins. Det skal håndteres uanset udfaldet af personalesagen.
Hvis kontoen faktisk var overtaget
Viser sporene login fra et ukendt land, en ukendt enhed eller en MFA-godkendelse, medarbejderen ikke kan genkende, kan forklaringen være rigtig. Så er det ikke længere kun en personalesag, men en sikkerhedshændelse. Sikr data på samme måde, skift adgange, og overvej, om andre konti er ramt. Et kompromitteret login kan også være et brud på persondatasikkerheden, som har egne frister.
Når sagen er afsluttet
Uanset udfaldet er det en god idé at se på, hvorfor spørgsmålet overhovedet kunne opstå. Kunne I hurtigt se, hvem der loggede ind, og fra hvilken enhed? Var MFA slået til på alle konti? Blev loggene gemt længe nok? Svarene viser, hvor jeres beredskab er tyndt. Notér også, hvor længe de sikrede data skal opbevares, og hvem der har adgang til dem, så materialet hverken forsvinder for tidligt eller bliver liggende uden grund.
Hvornår skal I have hjælp udefra?
Få hjælp, når handlingen kan få alvorlige følger for medarbejderen, når flere personer har haft adgang til samme konto, eller når loggene er svære at læse. En IT-sagkyndig kan sikre data, så sikringen kan efterprøves, og vurdere uvildigt, hvad sporene viser. Det beskytter både virksomheden og medarbejderen, hvis forklaringen holder.
Haster det, fordi logs udløber inden for få dage, så sig det tydeligt. Hastesager koster ekstra. → Pris og tilbud
Læs også: Opslag i kunde- og fagsystemer uden arbejdsmæssig grund · Delte logins og fælleskonti: når ingen kan bevise, hvem der gjorde det
→ Undersøgelse af en medarbejders computer · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
