De første timer: når mistanken opstår

De første timer afgør ofte, om beviserne findes bagefter. Det vigtigste er at bevare, ikke at undersøge selv. Haster det, så se Akut hjælp eller Selvtest: hvor akut er jeres sag?. Skal I vælge, hvem der skal hjælpe, så se Valg af hjælp.

Første timer og valg af hjælp

• Rollefordeling: HR, IT, ledelse og advokat i en bevissag Bevissager går ofte galt, fordi ingen ved, hvem der gør hvad. Her er en rollefordeling mellem ledelse, HR, IT, økonomi, advokat og IT-sagkyndig.
• HR’s tjekliste, når en sag har digitale beviser Mistanke mod en medarbejder, og sagen har digitale spor? HR’s tjekliste trin for trin, og hvad HR ikke selv må røre i IT-systemerne undervejs.
• Det må IT ikke gøre, før beviserne er sikret Mistanke mod en medarbejder? Forbudslisten til IT: geninstallér ikke, slet ikke kontoen, fjernslet ikke, og kig ikke selv. Og hvad IT skal gøre i stedet.
• Fejl, ledelsen begår i de første timer Hvad må man ikke gøre ved mistanke mod en medarbejder? De typiske fejl, ledelsen begår i de første timer, og hvad I gør i stedet, så beviserne holder.
• Det første opkald til en IT-sagkyndig: det skal I have klar Skal I kontakte en IT-sagkyndig? Her er listen over det, virksomheden skal have klar til det første opkald, så sikringen kan planlægges hurtigt og rigtigt.
• Når IT-driften ligger hos en ekstern leverandør: det kan I kræve Ligger IT-driften hos en ekstern leverandør? Se, hvad leverandøren kan levere af logs og data i en bevissag, og hvordan I bestiller det skriftligt.
• Beslutningstræ: skal vi sikre data nu, eller kan det vente? Skal I sikre data nu, eller kan det vente? Et beslutningstræ til ledere, der bygger på jeres situation: fratrædelse, mistanke, cyberangreb eller tvist.
• Alt, I skriver om sagen, kan blive bevis Interne mails og chats om sagen kan ende som bevis, også hos modparten. Sådan skriver ledelse og HR sagligt, kort og kun til dem, der skal vide det.

Medarbejderen siger op og stopper

• Medarbejderen er stoppet: de første 48 timer og månederne efter Mistanke om, at en fratrådt medarbejder har taget data? Tidslinjen for de første 48 timer og måneden efter, for leder, HR og IT, og de fejl I skal undgå.
• Offboarding-tjekliste for HR og IT: uden at miste beviser Normal offboarding sletter konti og nulstiller udstyr. Her er en procedure og en tjekliste for HR og IT, der bevarer sporene, hvis I får brug for beviser.
• Medarbejderen har sagt op og skal til en konkurrent: hvad gør I i opsigelsesperioden? En medarbejder har sagt op og skal til en konkurrent. Sådan sikrer leder og HR data og adgange i opsigelsesperioden, uden at I går for langt.
• Medarbejderen har sagt op: tjekliste for opsigelsesperioden Tjekliste til HR og IT, når en medarbejder har sagt op: adgange, udstyr, overlevering og bevarelse af data, uanset hvor medarbejderen skal hen.
• Fritstilling: den rigtige rækkefølge for adgange, udstyr og sikring Minutplan for fritstillingsdagen: hvad HR og IT gør før, under og efter mødet, og hvad I gør, når planen ikke holder. Adgange, udstyr og data i orden.
• Luk adgangene med det samme, eller vent? Skal I lukke en medarbejders adgang med det samme eller vente? Sådan vejer IT og ledelsen risikoen for tab mod risikoen for at miste spor og advare.
• Før afskedigelsesmødet: det skal være sikret, inden I siger noget Før en tjenstlig samtale eller et afskedigelsesmøde skal data være bevaret og planen klar. Her er HR’s og lederens forberedelse, trin for trin.
• Bortvisning: dokumentationen skal ligge klar før beslutningen Overvejer I en bortvisning? Her er HR’s tjekliste og tidsplan for de digitale beviser, så dokumentationen er sikret, før beslutningen træffes.

Mistanke mod en medarbejder

• Mistanke om, at en medarbejder sender kunder videre Mistanke om, at en ansat sender kunder eller tilbud til en konkurrent? Sådan handler ledelsen uden at advare medarbejderen og uden at ødelægge beviser.
• Fortrolighedsaftaler og NDA-brud Et brud på en fortrolighedsaftale skal kunne vises: hvad blev delt, med hvem og hvornår. Her er, hvad I skal dokumentere, og hvor sporene typisk ligger.
• Beslutningstræ: mistanke mod en medarbejder, der stadig er ansat Mistanke mod en medarbejder, der stadig er ansat? Beslutningstræet hjælper leder og HR med at vælge mellem at konfrontere, fritstille eller sikre først.
• Kan vi se, om en medarbejder har kopieret filer? Kan I se, om en medarbejder har kopieret filer før opsigelsen? Ofte ja. De typiske spor i SharePoint, OneDrive og USB, og hvad IT ikke selv skal gøre.
• Medarbejderen har sendt filer til sin private mail Har en medarbejder sendt filer til sin private mail? Sådan bevarer HR og IT sporene i mailsystemet, og derfor må I ikke skrive og bede om sletning først.
• Medarbejderen driver en konkurrerende virksomhed ved siden af Mistanke om, at en ansat driver et konkurrerende firma ved siden af? Sådan bruger ledelsen offentlige kilder og egne systemer og sikrer før konfrontation.
• Mistanke mod IT-administratoren: når den mistænkte har nøglerne Mistanke mod jeres IT-administrator? Sådan beslutter ledelse og bestyrelse, hvem der tager over, og hvordan I undgår at advare og at miste data.
• Opslag i kunde- og fagsystemer uden arbejdsmæssig grund En medarbejder har slået op i kundedata uden arbejdsmæssig grund. Sådan håndterer IT, HR og DPO opslagsloggen, personalesagen og persondatabruddet.

Svindel, hacking og forsikring

• Vi er blevet hacket: bevissikring efter et cyberangreb eller ransomware Er I blevet hacket eller ramt af ransomware? Her er, hvad ledelse og IT selv skal sikre til forsikring, kunder og Datatilsynet under genopretningen.
• Leverandøren blev hacket: hvad skal I dokumentere? Er jeres leverandør ramt af et angreb, kan jeres data og drift være ramt med. Her er, hvad I dokumenterer over for leverandør, forsikring og Datatilsynet.
• Vi har betalt en falsk faktura: de første timer Har virksomheden betalt en falsk faktura? De første timer for økonomi og ledelse: ring til banken, sikr mailsporene, underret forsikringen og bevar alt.
• CEO-svindel: mail fra “direktøren” om en hasteoverførsel CEO-svindel: Har økonomi fået en falsk mail fra direktøren om en hasteoverførsel? Sådan sikrer I mailen og sporene til banken og forsikringen.
• Hacket mailkonto: sikr sporene, før I nulstiller adgangskoden Er en mailkonto i virksomheden hacket? Sådan sikrer leder og IT loggen, reglerne og de sendte mails, før adgangskoden nulstilles og sporene forsvinder.
• Login fra et ukendt land: sikr loggen, før I nulstiller Advarsel om login fra et ukendt land? Sådan sikrer IT og leder loggen og tjekker kontoen, før I nulstiller, så en lille hændelse ikke vokser sig stor.
• Mistanke om, at nogen læser med i ledelsens mail Mistanke om, at nogen læser med i ledelsens mail? Se de tegn, I kan tjekke, og hvordan leder og IT sikrer sporene, før nogen rydder op i adgangene.
• Videresendelsesregler i mailen: tjek dem, før I gør noget andet Ukendt regel, der videresender mail? Sådan dokumenterer IT og leder reglen, før den slettes, og finder ud af, om det er en medarbejder eller angriber.

Brug for hjælp udefra?

• Det haster Data kan forsvinde i dag. Ring 70 13 63 23. Hastesager koster ekstra.
• IT-sagkyndig for virksomheder Uvildig sikring og undersøgelse af digitale beviser i hele landet.
• Intern IT-undersøgelse Når mistanken skal afklares, før I beslutter noget.
• Beskriv jeres sag Hvad I skal skrive, og hvad der sker bagefter. Fortrolighedsaftale på forespørgsel.

Afgrænsning

Siden handler om civile sager, interne undersøgelser og udenretlige tvister. Læs mere om, hvad der ligger uden for: Afgrænsning.