Kontrakten med jeres IT-leverandør bør sige, hvilke logs leverandøren skal slå til og gemme, hvor længe, at I kan få dem udleveret hurtigt, at leverandøren skal bistå ved bevissikring, også når en uvildig IT-sagkyndig skal ind, og at leverandøren ikke må slette eller ændre noget, når I har bedt om bevarelse. Står det ikke i kontrakten, er I afhængige af leverandørens velvilje, når sagen opstår. Og den kan være begrænset, især hvis leverandøren selv er en del af sagen.
Kontrakten skal forhandles, før der sker noget. Når sagen er der, er det for sent.
Hvorfor det er et problem uden klausuler
I mange mindre virksomheder er det IT-leverandøren, der har administratoradgangen, styrer backuppen og kender logningen. Når der opstår en sag, er leverandøren derfor den, der kan sikre sporene. Uden en aftale kan der opstå tre problemer:
- Leverandøren svarer langsomt, fordi bevissikring ikke er en del af aftalen.
- Leverandøren vil have betaling efter en timepris, I ikke kender, før de går i gang.
- Leverandøren er selv en del af sagen, fx efter et angreb, hvor det er uklart, om leverandøren har lavet en fejl.
I den sidste situation er der en indbygget interessekonflikt. Det er leverandøren, der skal dokumentere, hvad der skete, og det er leverandøren, der kan blive gjort ansvarlig. → Cyberangreb: tvisten med IT-leverandøren
De klausuler, I bør have med
Logning
- Hvilke logs leverandøren skal have slået til, fx login, administratorhandlinger, mail og filadgang.
- Hvor længe de skal gemmes.
- At logs over leverandørens egne administratorhandlinger i jeres miljø også gemmes.
- At logning ikke må slås fra eller ændres uden jeres skriftlige accept.
Udlevering
- At I kan få logs og data udleveret på anmodning, i et almindeligt format.
- Inden for hvilken frist, fx inden for et bestemt antal arbejdsdage, og hurtigere i akutte situationer.
- Hvad det koster, eller at det er en del af den faste pris.
Bevarelse
- At leverandøren straks skal stoppe sletning og overskrivning af angivne data, logs og backupsæt, når I beder om det.
- At leverandøren bekræfter skriftligt, hvad der er bevaret.
Bistand ved bevissikring
- At leverandøren skal give adgang og bistand til en uvildig IT-sagkyndig, I vælger.
- At leverandøren skal dokumentere, hvad der er gjort i jeres systemer i forbindelse med en hændelse.
- At bistanden gælder, også selv om sagen kan vedrøre leverandøren selv.
Underretning
- At leverandøren skal give jer besked hurtigt, hvis der sker en sikkerhedshændelse, der kan berøre jeres data.
- At beskeden skal indeholde det, I selv skal bruge til evt. anmeldelser og forsikring.
Ophør
- At I får alle data, logs og dokumentation udleveret ved ophør, og at leverandøren først sletter, når I har bekræftet modtagelsen. → Opsigelse af en IT-leverandør: sikr data og logfiler først
Hvad gør I nu, trin for trin
- Find jeres nuværende kontrakt med IT-leverandøren og evt. underleverandører.
- Tjek den mod listen ovenfor. Hvad står der, og hvad mangler?
- Spørg leverandøren skriftligt, hvordan de håndterer de punkter, der ikke står i kontrakten i dag. Svaret er i sig selv nyttigt.
- Få et tillæg til kontrakten, eller tag punkterne med, når den skal genforhandles.
- Afklar databehandleraftalen, så den hænger sammen med kontrakten, når leverandøren behandler persondata for jer. → Databehandleraftalen: bistand ved undersøgelser
- Skriv leverandørens kontaktoplysninger til akutte sager ind i jeres beredskabsplan.
Underleverandører og cloudtjenester
Jeres IT-leverandør bruger næsten altid andre leverandører: Microsoft eller Google til mail og filer, et datacenter til servere og en anden leverandør til backup. Mange af de logs, I får brug for, ligger hos dem. Jeres IT-leverandør kan ikke love mere, end underleverandørerne tillader.
Spørg derfor, hvor de enkelte logs og backupsæt fysisk og kontraktuelt ligger, og om jeres leverandør har adgang til at hente dem på jeres vegne. Er svaret, at det kun kan ske via underleverandørens support, så skriv det ind i jeres datakort, og spørg, hvor lang tid det tager. Ligger mail og filer i jeres egen Microsoft 365- eller Google-konto, er det en fordel, at kontoen står i jeres navn, og at I selv har en administratorkonto, som leverandøren ikke styrer alene.
Spørgsmål til leverandøren, før I skriver under
- ☐ Hvilke logs gemmer I om vores systemer, og hvor længe?
- ☐ Hvor hurtigt kan I udlevere dem, også en fredag aften?
- ☐ Hvem hos jer har administratoradgang til vores miljø, og logges det?
- ☐ Kan I stoppe backuprotation for bestemte sæt, og hvor hurtigt?
- ☐ Vil I give adgang til en uvildig IT-sagkyndig, vi vælger?
- ☐ Hvad koster bistand ved en hændelse eller en sag?
Svarene viser ofte mere end kontrakten. En leverandør, der svarer klart og hurtigt, er typisk også en, der kan levere, når det gælder.
Hvis I ikke kan forhandle
Mindre virksomheder kan sjældent ændre standardvilkårene hos store leverandører. Så kan I i stedet sørge for at kende vilkårene, vælge de indstillinger og licenser, der gemmer det, I har brug for, og selv hente de vigtigste logs jævnligt. Hos mindre, lokale leverandører er der ofte mere plads til at aftale noget, især ved en ny aftale.
Hvem gør hvad
- Leder · Forhandler og godkender kontrakten
- IT-ansvarlig · Beskriver de konkrete krav til logs og bevarelse
- Advokat · Formulerer klausulerne
- Økonomi · Vurderer pris og budget
Det skal I lade være med
- Lad være med at gå ud fra, at det er med i “drift”. Bevissikring er sjældent en del af en almindelig driftsaftale.
- Lad være med at lade leverandøren være eneste kilde. Overvej at få en kopi af de vigtigste logs til et sted, I selv kontrollerer.
- Lad være med at skrive vage krav. “Relevant logning” kan betyde hvad som helst. Skriv, hvilke logs og hvor længe.
- Lad være med at vente til opsigelsen. Når I opsiger, er forhandlingspositionen svagere, og leverandøren har mindre at miste.
Når leverandøren selv er mistænkt
Det sker, at mistanken retter sig mod leverandøren eller en af leverandørens medarbejdere: unormale login, ændrede rettigheder eller data, der er forsvundet. Så er det vigtigt, at I selv kan få adgang til logs, og at en uvildig IT-sagkyndig kan komme ind uden at gå gennem leverandøren. Det skal kontrakten muliggøre. Det samme gælder, hvis mistanken retter sig mod jeres egen IT-ansvarlige, som har nøglerne til det hele. → Mistanke mod IT-administratoren → Når IT-driften ligger hos en ekstern leverandør
Hvornår skal I have hjælp?
Klausulerne bør formuleres af en advokat med kendskab til IT-kontrakter. Er I i tvivl om, hvilke logs der er relevante for jeres systemer, og hvordan kravene skal beskrives teknisk, kan en uvildig IT-sagkyndig, der ikke selv sælger drift, gennemgå kravene sammen med jer.
Læs også: Ansættelseskontrakten: klausuler om data, udstyr og kontrol · Databehandleraftalen: bistand ved undersøgelser og udlevering · Ordbog for ledere
→ Bevissikring ved fratræden af nøglemedarbejdere · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
