Den bedste tid til at forberede sig på en bevissikring er, før der er brug for den. En klar IT-politik, som medarbejderne kender, gør det lettere at sikre og bruge digitale beviser, hvis en medarbejder tager data med eller misbruger systemerne. Uden en politik kan selv en velbegrundet mistanke være svær at forfølge, fordi I først skal bruge tid på at finde ud af, hvad I overhovedet må.
Politikken er ikke et overvågningsredskab. Den er en fælles aftale om, hvad der er arbejde, hvad der er privat, og hvad der sker, hvis noget går galt. Det beskytter både virksomheden og medarbejderne.
Hvorfor politikken er vigtig
- Orientering: Medarbejdere skal som udgangspunkt være orienteret om kontrol, før den sker.
- Klarhed: Hvad er arbejde, og hvad er privat? Uklarhed her er den hyppigste grund til, at en undersøgelse går i stå.
- Proces: Hvem må gøre hvad, når der er mistanke? Uden en proces risikerer I, at en leder eller IT-medarbejder handler på egen hånd.
- Fratrædelse: Hvad sker der med udstyr og data, når en medarbejder stopper?
- Troværdighed: Kan I vise, at reglerne var kendt og fulgt, står jeres materiale stærkere, hvis det senere bliver brugt i en tvist.
Hvad politikken bør indeholde
- Arbejdsudstyr · Ejes af virksomheden, må bruges privat i begrænset omfang
- Mail og chat · Arbejdsredskaber; private mails holdes i private konti
- Filer · Arbejdsfiler gemmes i virksomhedens systemer
- USB og cloud · Regler for USB-drev og private cloudtjenester
- Logning · Hvilke systemer logger aktivitet, og hvor længe
- Kontrol · Hvornår og hvordan kontrol kan ske, og hvem der beslutter
- Fratrædelse · Aflevering af udstyr, bevarelse af data i en periode
- Private enheder · Regler for arbejdsdata på private telefoner og computere
Hold sproget enkelt. En politik, som medarbejderne ikke forstår, giver et svagt grundlag, også selv om den er underskrevet.
Hvad politikken ikke kan
En politik giver ikke fri adgang til alt. Kontrol skal stadig være saglig og proportional, og private data har stadig en beskyttelse. Gælder der en overenskomst eller en kontrolaftale, skal politikken passe til den. Men politikken skaber det grundlag, som den konkrete vurdering bygger på.
→ Må vi læse en medarbejders mail?
Sådan gør I, trin for trin
- Kortlæg jeres systemer. Hvor ligger mail, filer, chat og kundedata? Hvilke systemer logger, og hvor længe gemmes loggen? IT-ansvarlig eller den eksterne IT-leverandør kan svare.
- Skriv et udkast. Brug tabellen ovenfor som skelet. Skriv kun det, I faktisk kan og vil gennemføre.
- Få det gennemgået. En advokat ser på de juridiske dele, og en IT-sagkyndig ser på, om de tekniske løfter holder.
- Tilpas systemerne. Slå logning til, sæt bevarelse op, og begræns USB, hvis politikken siger det.
- Orientér medarbejderne. Se næste afsnit.
- Gentag årligt. Systemer skifter, og politikken skal følge med.
Sådan orienteres medarbejderne
- Ved ansættelse: politikken udleveres og kvitteres.
- Ved ændringer: orientering med en rimelig frist, før ændringen træder i kraft.
- Løbende: politikken er let at finde, fx på intranettet.
- Dokumentation: gem kvitteringer, så I kan vise, hvem der har modtaget hvilken version.
Er der tillidsrepræsentant eller samarbejdsudvalg, så tal med dem i god tid. Det gør orienteringen lettere og mindsker risikoen for uenighed senere.
Hvem gør hvad
- Ledelsen · Beslutter politikken og står bag den
- HR · Orienterer, indsamler kvitteringer, styrer fratrædelser
- IT · Sætter logning, bevarelse og begrænsninger op
- Advokat · Gennemgår de juridiske dele
- IT-sagkyndig · Vurderer, om de tekniske dele kan bruges til sikring
→ Rollefordeling i en bevissag
Tekniske forudsætninger
Politikken er kun lidt værd, hvis systemerne ikke understøtter den:
- Revisionslog slået til i Microsoft 365 eller Google Workspace, med tilstrækkelig opbevaring → Unified Audit Log i Microsoft 365
- Bevarelse af data fra fratrådte brugere i en fast periode
- Styring af enheder (MDM) for telefoner og computere
- Begrænsning af USB og private cloudtjenester, hvis politikken siger det
Tjek også, hvor længe jeres systemer gemmer data som standard. Mange regner med, at alt gemmes for evigt, men logs og slettede elementer forsvinder ofte efter en kort periode.
Typiske fejl
- Politikken ligger i en skuffe. Den er skrevet, men aldrig udleveret. Så kan I ikke vise, at medarbejderne kendte den.
- Løfter, som systemerne ikke holder. Politikken siger, at data gemmes i seks måneder, men postkassen slettes efter 30 dage.
- For bred kontrol. En politik, der lover adgang til alt, kan give problemer, fordi kontrollen stadig skal være proportional.
- Ingen proces ved mistanke. IT-medarbejderen begynder at læse mails på eget initiativ. Det kan både krænke medarbejderen og svække beviserne.
- Gamle versioner er væk. Gem hver version med dato, så I kan vise, hvad der gjaldt på et bestemt tidspunkt.
Når mistanken opstår
Politikken skal også beskrive, hvad der sker, når nogen har mistanke om misbrug. Et enkelt forløb kan se sådan ud:
- Mistanken meldes til en navngiven person i ledelsen eller HR, ikke til IT direkte.
- Ledelsen beslutter, om der skal undersøges, og skriver begrundelsen ned.
- IT sikrer data uden at læse indholdet, fx ved at stoppe sletning og eksportere logs.
- En advokat og evt. en IT-sagkyndig vurderer, hvad der må gennemgås, og af hvem.
Så ved alle, hvad de skal gøre, og ingen handler på egen hånd i de første hektiske timer.
Fratrædelse
Beskriv i politikken, at udstyr og data bevares en periode efter fratrædelse. Det gør det muligt at undersøge, hvis mistanken først opstår senere, fx når en kunde pludselig skifter til en konkurrent.
→ Offboarding uden at miste beviser
Små virksomheder
Selv uden IT-afdeling kan en kort politik på en side gøre en stor forskel. Det vigtigste er, at arbejdsdata ligger i virksomhedens systemer, at logning er slået til, og at udstyr ikke nulstilles straks efter en fratrædelse.
→ Små virksomheder uden IT-afdeling
Hvornår skal I have hjælp udefra?
Politikken bør gennemgås af en advokat, og de tekniske dele af en IT-sagkyndig, så den passer til jeres systemer. Det gælder især, hvis I bruger private enheder til arbejde, har medarbejdere med adgang til forretningshemmeligheder, eller allerede har haft en sag, hvor beviserne manglede.
Nielco IT er uvildig, sælger ikke produkter og kan gennemgå de tekniske dele af en IT-politik med fokus på, om data kan sikres, hvis det bliver nødvendigt.
Næste skridt
- Bevisberedskab: vær klar, før sagen opstår
- Tjekliste: er virksomheden klar til en bevissag?
- Datakort: hvor ligger vores data?
- Minimumslogning: hvad bør være slået til, før noget sker?
Læs også: Opbevaringsfrister samlet: bogføring, løn, persondata, logs og forældelse · Slettepolitik og bevarelse: sådan spiller de to sammen · Ordbog for ledere
→ Bevissikring ved fratræden af nøglemedarbejdere · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
