Fjernsupport gør det let for IT at hjælpe. Det gør det også let for nogen at være inde på en computer uden at sidde ved den. Når spørgsmålet er, hvem der var inde, og hvad der skete, er værktøjets egen log ofte det bedste spor. Den kan typisk vise, hvem der forbandt, til hvilken computer, hvornår og hvor længe. Den viser sjældent, hvad der blev gjort undervejs. Og den ligger ofte flere steder, hvoraf nogle styres af andre end jer.
Artiklen er til ledere og IT-ansvarlige, der står med en intern sag eller en uenighed med IT-leverandøren om, hvem der gjorde hvad.
Hvornår spørgsmålet opstår
Det opstår i flere typer sager:
- Intern mistanke. En medarbejder har måske brugt et fjernværktøj til at tilgå sin arbejdscomputer hjemmefra og hente filer, også efter fratrædelsen.
- Mistanke mod IT-administratoren. Den, der har alle nøglerne, kan også have været inde på ledelsens computere. → Mistanke mod IT-administratoren
- Uenighed med IT-leverandøren. Leverandøren har faktureret timer for fjernsupport, eller der er sket en fejl, som leverandøren og I er uenige om årsagen til.
- Ukendt adgang. Nogen har installeret et fjernværktøj, som IT ikke kender, eller en medarbejder er blevet narret til at give adgang i et falsk supportopkald.
Det sidste kan være en sikkerhedshændelse. Så skal den håndteres som sådan, men sporene skal stadig sikres, før computeren renses.
Hvor loggen ligger
Fjernværktøjer gemmer typisk oplysninger flere steder.
På computeren, der blev tilgået. Mange værktøjer skriver en lokal log over indgående forbindelser. Den kan vise tidspunkter, varighed og ofte et id for den, der forbandt.
På computeren, der forbandt. Den, der gav support, har ofte en log over udgående forbindelser.
I værktøjets administrationsportal. Har I eller leverandøren en firmakonto, er der ofte en central log over sessioner, brugere og enheder. Hvor længe den gemmes, afhænger af produkt og abonnement.
I jeres egne systemer. Windows kan registrere logins og installation af programmer. Firewall-loggen kan vise forbindelser til værktøjets servere. → Firewall-, VPN- og loginlogs
Det vigtige er, at den centrale log ofte ligger på IT-leverandørens konto, ikke jeres. Er det leverandøren, sagen handler om, skal I tænke over, hvordan I får loggen udleveret uden at give leverandøren anledning til at ændre den.
Hvad gør I nu?
- Lad computeren være. Den skal ikke renses, geninstalleres eller opdateres, før sporene er sikret. Afinstallér heller ikke fjernværktøjet endnu.
- Stop yderligere adgang uden at slette noget. Er der ukendt adgang i gang, så tag computeren af netværket. Notér tidspunktet.
- Find ud af, hvilke værktøjer der er i brug. Spørg IT og leverandøren, og lav en liste over værktøjer, konti og hvem der har adgang.
- Bed om eksport af den centrale log. Skriftligt, med en klar periode, og med besked om, at loggen ikke må ændres eller slettes. → Når IT-driften ligger hos en ekstern leverandør
- Sikr computerens lokale spor. Lad en IT-sagkyndig sikre computeren, så de lokale logs og spor kan undersøges i en kopi.
- Skift adgangskoder til fjernværktøjets konti, når loggen er sikret, og notér tidspunktet.
Det skal I lade være med
- Lade den, sagen handler om, hente loggen. Er mistanken rettet mod jeres egen IT-medarbejder eller leverandøren, skal en anden stå for det.
- Afinstallere værktøjet for at lukke hullet. Afinstallation kan fjerne den lokale log. Bloker i stedet adgangen.
- Læse loggen som en fuld historik. Den viser forbindelser, ikke alle handlinger. Hvad der skete på skærmen, skal findes i andre spor.
- Konfrontere leverandøren, før loggen er udleveret. Ikke fordi I skal mistænke dem, men fordi en sag om fakturering eller fejl er lettere at løse, når fakta ligger på bordet.
Uenighed med IT-leverandøren
Mange tvister med IT-leverandører handler om tid og ansvar. Hvor meget support blev der givet? Hvem lavede den ændring, der fik systemet til at gå ned? Fjernværktøjets log kan svare på dele af det: hvornår en tekniker var forbundet, til hvilken computer, og hvor længe.
Loggen er dog kun ét spor. En session kan have stået åben, uden at der blev arbejdet. En opgave kan være løst uden fjernadgang, for eksempel direkte i en cloudportal. Sammenhold derfor loggen med fakturaer, supportsager og ændringslog. → Leverandøren har faktureret timer, der ikke er brugt
Læg vægt på det, I kan se, ikke det, I tror. En rolig gennemgang af loggen sammen med leverandøren løser mange uenigheder, før de bliver til en sag.
Hvis en medarbejder gav adgang i et falsk supportopkald
En medarbejder har fået et opkald fra en, der sagde, at de ringede fra IT eller fra Microsoft, og har installeret et program og givet adgang. Det er en sikkerhedshændelse, og den skal håndteres hurtigt. Men sporene er de samme som ovenfor, og de er vigtige, både for at forstå, hvad der skete, og for en eventuel forsikringssag.
Gør det i denne rækkefølge:
- Tag computeren af netværket, men sluk den ikke uden råd.
- Skriv ned, hvad medarbejderen husker: tidspunkt, telefonnummer, hvad der blev sagt, og hvad der blev gjort på skærmen.
- Skift adgangskoder til de konti, medarbejderen brugte, fra en anden computer.
- Få computeren sikret, før den renses.
Gør det uden skyldsfokus. Medarbejderen er den bedste kilde til, hvad der skete, og vil fortælle mere, hvis det ikke føles som et forhør.
Hvem gør hvad?
- Leder · Ejer sagen og beslutter, om den skal videre
- IT (hvis ikke involveret) · Laver liste over værktøjer og stopper adgang
- IT-leverandør · Udleverer den centrale log uændret
- IT-sagkyndig · Sikrer computeren og læser loggen i sammenhæng
- Advokat · Inddrages, hvis der er en tvist med leverandøren
Forebyg: styr på fjernadgangen
- ☐ Brug ét godkendt fjernværktøj, og bloker de andre.
- ☐ Lad værktøjet køre på en firmakonto, som virksomheden selv ejer.
- ☐ Kræv, at hver tekniker har sin egen bruger, ikke en fælles.
- ☐ Find ud af, hvor længe sessionsloggen gemmes, og hvem der kan hente den.
- ☐ Skriv i kontrakten med IT-leverandøren, at loggen udleveres på forespørgsel.
- ☐ Fjern fjernadgang for medarbejdere, der stopper, samme dag.
Har medarbejderne lov til at tilgå deres arbejdscomputer hjemmefra med et fjernværktøj, så skriv det i IT-politikken, og skriv, at forbindelserne logges.
Hvornår skal I have hjælp udefra?
Når loggen skal bruges i en sag, når mistanken rettes mod jeres egen IT eller leverandøren, eller når der er ukendt fjernadgang, som I ikke kan forklare. En uvildig IT-sagkyndig kan sikre computeren og loggene og beskrive, hvad de viser, så begge parter kan forholde sig til det samme materiale. Nielco IT har ingen leverandørpartnerskaber og kan derfor også bruges, når uenigheden står mellem jer og jeres IT-leverandør.
Læs også: Netværk og gæstenet: private enheder på firmanettet · Hjemmearbejde: privat netværk, printer og computer
→ Undersøgelse af en medarbejders computer · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
