Når der er mistanke mod en medarbejder, er IT’s opgave i den første time at bevare, ikke at undersøge. Det betyder fire ting, IT ikke må: geninstallere eller nulstille udstyr, slette konti eller postkasser, fjernslette telefoner og “lige kigge” i medarbejderens data. Alle fire er almindelige rutiner i en IT-afdeling, og alle fire kan ødelægge beviser, som ikke kan genskabes. I stedet skal IT stoppe sletning, sikre logs og skrive ned, hvad der er gjort.
Artiklen er til IT-ansvarlige, IT-medarbejdere og IT-leverandører, der får besked om en sag. Den er en konkret forbudsliste og en kort liste over det, I skal gøre i stedet.
Forbudslisten
1. Geninstallér eller nulstil ikke udstyret
Den sædvanlige procedure, når en medarbejder stopper, er at geninstallere computeren og give den til den næste. Det overskriver spor af filkopiering, USB-brug, browserhistorik, slettede filer og meget mere. Selv en “let” oprydning, hvor man fjerner brugerprofilen, kan fjerne afgørende spor.
Tag computeren ud af brug. Sæt en seddel på den. Lås den inde.
2. Slet ikke kontoen eller postkassen
Sletning af en konto i Microsoft 365 eller Google Workspace kan tage postkasse, OneDrive, chat og andre data med sig. Selv om der ofte er en periode, hvor data kan gendannes, er den kort, og den kan være overskredet, før nogen opdager det.
Spær kontoen, hvis det er besluttet. Slet den ikke.
3. Fjernslet ikke telefonen
Mobile Device Management gør det let at fjerne virksomhedens data eller hele telefonen på afstand. Det er et godt værktøj, når en telefon er mistet, men det ødelægger beviser i en sag. Har medarbejderen telefonen, så tal med den, der styrer sagen, før der gøres noget.
Har I telefonen, så hold den opladet og tændt, hvis den er tændt. Overvej at isolere den fra netværk, så den ikke kan fjernslettes af andre.
→ Opbevar telefonen til bevissikring
4. Kig ikke selv
Det er fristende at åbne postkassen, søge i OneDrive eller tænde computeren for at se, om mistanken holder. Men hver handling efterlader spor, ændrer tidsstempler og blander jeres aktivitet sammen med medarbejderens. Og en gennemgang af medarbejderens data kræver et grundlag, som ledelsen skal have vurderet.
Det gælder også “bare lige at tjekke”, om en fil er der. Lad være. Har ledelsen brug for et hurtigt svar, er den rigtige vej at få data sikret først og derefter gennemgået i en kopi.
5. Lad ikke automatik rydde op
Mange miljøer har automatiske regler: sletning af konti efter et antal dage, rotation af logs, oprydning i gamle backups. De kører, uanset om der er en sag. Find dem og stop dem for den konkrete bruger.
6. Fortæl det ikke videre
IT har adgang til meget og ser meget. Sagen er fortrolig. Kun de IT-folk, der skal udføre en opgave, skal kende til den.
Det skal IT gøre i stedet
- Få en skriftlig instruks fra den, der styrer sagen. En kort mail er nok, men den skal være der.
- Sæt hold på postkasse og cloud-lager, hvis jeres licens giver mulighed for det.
- Stop automatisk sletning for brugerens konto og data.
- Eksportér eller beskyt revisionslogs, før de udløber.
- Tag relevante backups ud af rotation.
- Spær adgangen, hvis det er besluttet, og log brugeren ud af aktive sessioner, uden at slette noget.
- Opbevar udstyret uændret og aflåst.
- Skriv ned, hvad I har gjort, hvornår og hvorfor.
→ Sessioner og tokens: når adgangen fortsætter
Når instruksen er uklar
Det sker, at IT får en mundtlig besked som “luk lige adgangen for den medarbejder” uden at vide, at der er en sag. Eller at to ledere giver forskellige beskeder. Spørg tilbage, før I handler:
- Er der en mistanke eller en sag, eller er det en almindelig fratrædelse?
- Hvem styrer sagen, og hvem skal I tage imod instrukser fra?
- Skal kontoen spærres, eller skal den bare holdes øje med?
- Hvad skal der ske med udstyret?
Er I i tvivl, så vælg det, der bevarer mest. En konto, der står uændret en dag ekstra, kan altid slettes senere. En slettet konto kan ikke altid hentes tilbage.
Når IT er en ekstern leverandør
Ligger driften hos en IT-leverandør, gælder forbudslisten også for leverandøren. Leverandøren følger måske en fast procedure for fratrædelser, som kører automatisk, når kunden giver besked. Giv derfor leverandøren en skriftlig besked om, at den sædvanlige procedure ikke må bruges for den pågældende bruger, og bed om en bekræftelse. Bed også leverandøren skrive ned, hvad de gør.
Hvis I allerede har gjort noget
Det sker. Computeren er geninstalleret, eller kontoen er slettet, før nogen sagde stop. Så er det vigtigste:
- Stop yderligere ændringer med det samme.
- Skriv ned, hvad der er sket, hvornår og af hvem.
- Fortæl det til den, der styrer sagen, med det samme.
- Undersøg, om data kan gendannes fra papirkurv, gendannelsesperiode eller backup, men uden at gøre det selv, før det er aftalt.
Det er sjældent et problem, at noget er sket, når det er dokumenteret. Det bliver et problem, hvis det kommer frem senere.
Hvorfor IT ikke skal sikre beviserne selv
Jeres IT-afdeling eller leverandør kender systemerne bedst. Men der er gode grunde til, at selve sikringen og gennemgangen laves af en uvildig IT-sagkyndig:
- IT kan blive vidne og skal kunne forklare sig om, hvad der skete i systemerne.
- IT kender ofte den undersøgte personligt.
- Forensisk sikring kræver værktøjer og dokumentation, som de fleste IT-afdelinger ikke har til daglig.
- En modpart kan sætte spørgsmålstegn ved en sikring, som virksomhedens egen IT har lavet.
→ Kan klientens egen IT-afdeling sikre beviserne?
Hvem gør hvad
- Sagsejer · Giver IT skriftlig instruks
- IT · Bevarer, stopper sletning og dokumenterer
- HR · Ingen tekniske skridt; samler dokumenter
- IT-sagkyndig · Sikrer forensisk og gennemgår
→ HR’s tjekliste, når en sag har digitale beviser
Myter, der koster beviser
Mange af fejlene skyldes udbredte antagelser: at alt kan gendannes, at det er bedre at kigge hurtigt end at vente, eller at IT-afdelingen godt kan lave en kopi. Det er ikke rigtigt, eller i hvert fald ikke altid.
→ 10 myter om digital bevissikring
Hvornår skal I have hjælp udefra?
Når I har bevaret det, der kan bevares, og skrevet ned, hvad I har gjort. Ring hellere tidligt end sent. Nielco IT er uvildig IT-sagkyndig med erfaring fra finanssektoren, offentlige myndigheder og kritisk infrastruktur og sikrer data i civile sager og interne undersøgelser i hele landet. I akutte sager kan John Nielsen være på stedet inden for få timer. Hastesager koster ekstra. → Pris og tilbud
Læs også: HR’s tjekliste, når en sag har digitale beviser · Økonomifunktionens rolle: bank, ERP og betalingsspor
→ IT-sagkyndig for virksomheder · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
