Jeres system til at forhindre datalæk (DLP) har slået alarm. En medarbejder har sendt en fil med kundenumre ud af huset, kopieret en mappe til en USB-nøgle eller delt et dokument med en privat adresse. En alarm er ikke en sag. Den er et signal, som skal vurderes. Første skridt er at gemme alarmen og de data, den bygger på. Andet skridt er en rolig vurdering af, om der er noget at undersøge, og af hvem.
En alarm er ikke et bevis
DLP-systemer arbejder med regler og mønstre. De slår alarm, når noget ligner følsomme data, eller når data flyttes på en bestemt måde. Mange alarmer har en harmløs forklaring:
- en medarbejder sender et regneark til en kunde, som skal have det,
- en fil indeholder tal, der ligner CPR-numre eller kortnumre, men ikke er det,
- en medarbejder arbejder hjemmefra og flytter en fil på en måde, systemet ikke kender,
- et automatisk job flytter data, og alarmen peger på en konto, ingen bruger.
Derfor skal en alarm aldrig føre direkte til en samtale med medarbejderen. Den skal føre til en vurdering.
Hvad gør I nu, i rækkefølge
- Gem alarmen. Eksportér den med alle detaljer: tidspunkt, bruger, enhed, fil, modtager og den regel, der udløste den. Gem eksporten uændret.
- Gem de underliggende data. Alarmen er et resumé. Bed IT gemme de relevante logs fra mail, skytjenester eller computeren, før de roterer.
- Lad én person vurdere alarmen. Typisk den IT- eller sikkerhedsansvarlige. Vurderingen skal svare på: Er der en sandsynlig harmløs forklaring? Er data følsomme? Er data faktisk forladt virksomheden?
- Skriv vurderingen ned. Også når konklusionen er, at der ikke er noget. Notatet viser, at alarmen blev behandlet sagligt.
- Eskalér, hvis der er grund til det. Hvis vurderingen peger på, at følsomme data er sendt ud uden en saglig grund, skal leder og HR ind.
- Hold kredsen lille. Så få som muligt skal vide, at der er en alarm på en bestemt medarbejder. → Undgå at advare den, sagen handler om
Sådan ser et godt vurderingsnotat ud
Notatet behøver ikke være langt. Det skal svare på de samme spørgsmål hver gang, så alarmer behandles ens, uanset hvem de handler om:
- Hvilken alarm er det, hvornår kom den, og hvilken regel udløste den?
- Hvilke data handler det om, og hvor følsomme er de?
- Hvor er data sendt hen, og er de faktisk forladt virksomheden?
- Er der en saglig forklaring, for eksempel en kunde, der skulle have filen?
- Hvad er konklusionen: lukket, overvåget eller eskaleret?
- Hvem vurderede alarmen, og hvornår?
Undgå at skrive gæt om motiver. Skriv ikke “medarbejderen ville tage kundelisten med til en konkurrent”. Skriv “filen med kundeliste blev sendt til en privat Gmail-adresse kl. 22.14; der er ikke fundet en arbejdsmæssig grund”. Det sidste kan bruges. Det første kan blive et problem, hvis det viser sig forkert.
Ensartede notater har også en anden fordel. Hvis en medarbejder senere mener at være behandlet anderledes end kolleger, kan I vise, at alarmer behandles efter samme fremgangsmåde.
Hvem vurderer, og hvornår kommer HR ind?
- Alarm · Hvem: IT eller sikkerhedsansvarlig · Hvad: Gemmer, vurderer og skriver notat
- Mistanke · Hvem: Leder · Hvad: Beslutter, om der skal undersøges videre
- Personalesag · Hvem: HR og advokat · Hvad: Vurderer ansættelsesretlige skridt og samtale
- Sikring · Hvem: IT-sagkyndig · Hvad: Sikrer computer, konto og logs uvildigt
Det er vigtigt, at IT ikke selv går videre med at undersøge medarbejderen ud over det, alarmen handler om. Når sagen bliver til en mistanke mod en person, skal beslutningen om at undersøge mere træffes af ledelsen, med HR og ofte advokat.
Må I bruge DLP-data om medarbejdere?
DLP behandler oplysninger om, hvad medarbejdere gør. Det er kontrol med medarbejdere og behandling af persondata. Det kræver som udgangspunkt, at medarbejderne er informeret, at formålet er sagligt, og at kontrollen er proportional. Er I omfattet af en overenskomst eller en kontrolaftale, kan der være krav om varsling. → Hvad må arbejdsgiveren kontrollere?
Tjek derfor, før I bruger alarmen i en personalesag, at DLP-løsningen er indført korrekt. Er den ikke, så tal med jeres advokat om, hvad det betyder for sagen.
Det skal I lade være med
- Konfrontér ikke medarbejderen på grundlag af alarmen alene. I kender ikke forklaringen endnu, og har medarbejderen sendt data ud, kan vedkommende nå at slette dem.
- Slet ikke alarmen, fordi den ser harmløs ud. Gem den med jeres vurdering.
- Lad ikke IT gå på opdagelse i medarbejderens mail og filer. Undersøgelsen skal holde sig til det, alarmen handler om, indtil ledelsen har besluttet andet.
- Bloker ikke kontoen, uden at nogen har besluttet det. Det advarer medarbejderen og kan være forkert.
- Lad være med at sende alarmen rundt i ledergruppen. Det skaber rygter og risikerer at krænke medarbejderen.
Når alarmen bliver til en sag
Peger vurderingen på, at data er sendt ud uden saglig grund, gælder de samme principper som i andre sager om data, der forlader virksomheden: bevar først, undersøg bagefter, og lad det ske i en rækkefølge, der ikke ødelægger sporene. → Medarbejderen har sendt filer til sin private mail
DLP-alarmen kan være et godt udgangspunkt, men den viser sjældent hele billedet. Den viser én hændelse. En undersøgelse kan vise, om der er flere, og hvad der er sket med data bagefter. → Kan vi se, om en medarbejder har kopieret filer?
Hvis alarmen afslører noget andet
Nogle gange viser en alarm noget, der ikke har med datalæk at gøre, for eksempel private forhold eller noget om en kollega. Det er et tilfældigt fund. Det skal håndteres forsigtigt og ikke bare bruges, fordi det er fundet. → Tilfældigt fund under en intern undersøgelse
Hvornår skal I have hjælp udefra?
Få hjælp fra en uvildig IT-sagkyndig, hvis alarmen peger på, at følsomme data eller forretningshemmeligheder er sendt ud, hvis en tvist med medarbejderen er sandsynlig, eller hvis jeres egen IT er tæt på den medarbejder, sagen handler om. Sikringen skal kunne holde, hvis den senere bliver efterprøvet.
Gør alarmerne bedre
Mange alarmer er støj. Brug notaterne fra vurderingerne til at justere reglerne. En DLP-løsning, der slår alarm for ofte, bliver ignoreret. En, der er tilpasset jeres virksomhed, giver færre, men bedre signaler. Skriv ændringer i reglerne ned med dato og begrundelse. Hvis en alarm senere bliver brugt i en sag, kan modparten spørge, hvordan reglen så ud på det tidspunkt, og hvorfor den blev indført. Gem også information til medarbejderne om løsningen, så I kan vise, hvad de fik at vide, og hvornår.
Læs også: Kommunikation efter et cyberangreb, der ikke ødelægger beviserne · Opkald eller videomøde med “direktøren” var en deepfake: de første timer
→ Hacket eller snydt? Hjælp til virksomheden · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
