De fleste beviser går ikke tabt, fordi nogen sletter dem med vilje. De går tabt, fordi ledelsen handler hurtigt og i god tro: videresender mails, kigger i telefonen, beder IT om at geninstallere eller konfronterer medarbejderen. De første timer handler om at lade være med at ændre noget, ikke om at finde svaret.
Listen her er skrevet til lederen eller ejeren, der netop har fået en mistanke og har lyst til at gøre noget. Den er ikke en juridisk vurdering, men en liste over de fejl, der oftest gør en sag sværere, end den behøvede at være. Hver fejl står med det, I kan gøre i stedet.
Fejl 1: At videresende mails til sig selv
En leder ser en mistænkelig mail og videresender den til sin egen indbakke eller privat adresse for at “gemme den”. Videresendelsen fjerner en del af de tekniske oplysninger i den oprindelige mail, og nu findes der en kopi et sted, ingen har styr på.
Gør i stedet: Lad mailen ligge. Skriv afsender, modtager, tidspunkt og emnelinje ned, og bed IT om at bevare hele postkassen. En forsvarlig kopi tages senere fra serveren.
Fejl 2: At kigge i telefonen eller computeren
Det er fristende at åbne medarbejderens computer eller firmatelefon “bare for at se”. Hver gang en enhed bruges, ændres tidsstempler, og nye data kan overskrive gamle spor. Det er også et spørgsmål om reglerne for kontrol med medarbejdere og om privatliv.
Gør i stedet: Sluk ikke en tændt telefon, men læg den til side, oplad den og hold den væk fra netværk, hvis det kan lade sig gøre. Lad computeren være. Notér, hvem der har haft udstyret, og hvornår.
Fejl 3: At bede IT om at geninstallere eller nulstille
Udstyret skal videre til en ny medarbejder, eller det ser ud til at være inficeret, og IT får besked på at gøre det rent. Så er de spor, der kunne vise, hvad der skete, væk.
Gør i stedet: Stop al geninstallation, nulstilling og sletning af konti for de personer, sagen kan handle om. Sig det højt til IT, og få det bekræftet.
→ Det må IT ikke gøre, før beviserne er sikret
Fejl 4: At advare den, sagen handler om
Mange ledere vil gerne give medarbejderen en chance for at forklare sig. Det er forståeligt, men en samtale, før data er bevaret, giver tid til at slette, ændre eller flytte noget. Advarslen kan også komme indirekte, for eksempel når en kollega spørger, eller når adgange pludselig ændres.
Gør i stedet: Bevar først, tal bagefter. Planlæg samtalen med HR og advokat, og hold kredsen af indviede lille.
→ Undgå at advare den, sagen handler om
Fejl 5: At fortælle det til for mange
Ledergruppen bliver orienteret, nærmeste leder får besked, og en kollega bliver bedt om at holde øje. Hver person, der ved noget, øger risikoen for, at det slipper ud, og alle kan senere blive spurgt, hvad de vidste og gjorde.
Gør i stedet: Udpeg én, der ejer sagen. Lav en liste over, hvem der ved hvad, og hvornår de fik det at vide.
Fejl 6: At skrive om sagen i almindelige kanaler
Mistanken bliver drøftet i en Teams-tråd eller i en mail med vurderinger og navne. Den slags beskeder kan senere blive en del af sagen, og kan ende hos modparten.
Gør i stedet: Skriv kort og sagligt, kun til dem, der skal vide det. Hold vurderinger ude af skriftlige beskeder, og saml beslutninger i en beslutningslog.
→ Alt, I skriver om sagen, kan blive bevis
Fejl 7: At lade jeres egen IT undersøge
Jeres IT-medarbejder eller IT-leverandør kender systemerne og vil gerne hjælpe. Men en kollega, der søger i en kollegas data, kan blive vidne, kan være tæt på personen og kan komme til at ændre det, der skal undersøges. Det svækker værdien af det fundne.
Gør i stedet: Lad IT bevare, ikke undersøge. Lad en uvildig IT-sagkyndig sikre og gennemgå data, når sagen kan ende i en tvist.
Fejl 8: At slette eller deaktivere kontoen
En medarbejder er stoppet, og kontoen slettes efter den sædvanlige procedure. I mange cloudtjenester betyder det, at postkasse og filer forsvinder efter en kort periode.
Gør i stedet: Spær adgangen, men slet ikke. Bed IT om at sætte bevarelse på postkasse og filer, og stop automatiske oprydningsjob.
Fejl 9: At vente på at være sikker
Ledelsen vil ikke “overreagere” og venter på flere tegn. Imens udløber logs, backup roteres, og telefonen synkroniseres. Nogle spor er kun tilgængelige i få uger.
Gør i stedet: Bevaring er ikke en beskyldning. I kan godt sikre data i stilhed, mens I finder ud af, om mistanken holder.
Fejl 10: At glemme at skrive ned, hvad I allerede har gjort
Måske har nogen allerede kigget, videresendt eller slettet noget. Det er sjældent katastrofalt, hvis det er dokumenteret. Det bliver et problem, hvis det kommer frem senere.
Gør i stedet: Lav et ærligt notat med tidspunkter: hvem gjorde hvad, og hvorfor. Giv det til advokaten og den IT-sagkyndige fra starten.
Fejl 11: At regne med, at alt ligger i backup
Mange ledere går ud fra, at IT altid kan finde data frem igen. Men backup er lavet til at genskabe drift, ikke til at dokumentere en sag. Den gemmer måske kun de seneste uger, den dækker ikke nødvendigvis cloudtjenester, og ældre kopier overskrives løbende.
Gør i stedet: Spørg IT, hvor langt tilbage backuppen rækker, og bed om, at de relevante kopier tages ud af rotation. Regn ikke med backuppen som den eneste kilde.
Hvem gør hvad i de første timer?
- Leder eller ejer · Ejer sagen, holder kredsen lille, beslutter at bevare
- HR · Samler kontrakt, politikker og notat
- IT · Spærrer, bevarer og stopper sletning, uden at undersøge
- Advokat · Vurderer de juridiske skridt
- IT-sagkyndig · Sikrer data forsvarligt
Har I kun få medarbejdere, kan en person have flere roller. Det vigtige er, at det er klart, hvem der gør hvad. Skriv rollerne ned, også selvom det føles overflødigt i en lille virksomhed. Når sagen senere skal forklares, er det en hjælp at kunne vise, hvem der traf hvilke beslutninger, og at de, der rørte ved data, havde en klar opgave.
Hvornår skal I have hjælp udefra?
Tidligt. En kort samtale med en advokat og en IT-sagkyndig i de første timer koster langt mindre end at genskabe tabte spor bagefter, og nogle spor kan slet ikke genskabes. Sig tydeligt, hvis data kan forsvinde snart, så hjælpen kan prioriteres. Brug den korte tjekliste, mens I venter på at komme igennem.
→ Tjekliste: den første time ved mistanke
Læs også: Økonomifunktionens rolle: bank, ERP og betalingsspor · Hvem ringer vi til først: advokat, IT-sagkyndig eller IT-leverandør?
→ IT-sagkyndig for virksomheder · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
