Når en medarbejder stopper, bliver computeren ofte geninstalleret og givet videre samme uge. Det er effektivt, men det sletter de spor, I kan få brug for, hvis det senere viser sig, at noget var galt. En enkel regel løser det: Udstyr fra fratrådte medarbejdere står urørt i en fast periode, før det genbruges. Det koster lidt plads på hylden og lidt ekstra udstyr. Det kan spare en hel sag.
Artiklen er til ejere, IT-ansvarlige og HR, der vil have en fast regel, som ikke kræver, at nogen skal vurdere hver fratrædelse for sig.
Hvorfor en fast regel
Mistanken kommer sjældent samme dag, som medarbejderen stopper. Den kommer, når en kunde forsvinder, når en konkurrent pludselig har jeres priser, eller når en kollega nævner noget, den tidligere medarbejder sagde. Det kan tage uger eller måneder.
Er computeren allerede geninstalleret, er de fleste spor på den væk. Spor af, hvilke filer der blev åbnet, hvilke USB-nøgler der blev sat i, og hvilke cloudtjenester der blev brugt, ligger ofte netop på computeren. → Kan vi se, om en medarbejder har kopieret filer?
En fast regel har to fordele:
- Ingen skal vurdere, om der er mistanke. Udstyret gemmes altid. Det undgår, at nogen lader være med at sige noget, fordi de ikke vil virke mistroiske.
- Ingen kan beskylde jer for at have udvalgt. Behandles alt udstyr ens, er det let at forklare, hvorfor netop denne computer blev gemt.
Sådan ser reglen ud
Reglen kan stå på én side og lyde nogenlunde sådan:
- Computer, firmatelefon og andre lagringsenheder fra fratrådte medarbejdere geninstalleres eller genbruges ikke i en fast periode efter fratrædelsen.
- Udstyret slukkes, mærkes med navn, fratrædelsesdato og serienummer og lægges i et aflåst skab.
- Det registreres, hvem der modtog udstyret, og hvornår.
- Ingen må åbne, bruge eller låne udstyret i perioden.
- Når perioden er udløbet, og der ikke er opstået en sag, slettes udstyret på en dokumenteret måde og genbruges.
- Opstår der en sag i perioden, forlænges karantænen, indtil sagen er afklaret.
Hvor lang perioden skal være, afhænger af jeres risiko. Har medarbejderen haft adgang til kundelister, priser eller kildekode, giver en længere periode mening. For en medarbejder uden adgang til følsomme data kan en kortere periode være nok. Vælg én eller to faste perioder frem for en vurdering hver gang. Gemmer I udstyr med persondata, skal perioden også kunne begrundes ud fra databeskyttelsesreglerne.
Telefoner kræver særlig omtanke
En telefon er ikke som en computer. Slukker I den, og har den en kode, kan det i nogle tilfælde være sværere at sikre den senere. Lader I den være tændt og på netværk, kan den slettes på afstand.
Det enkle svar er: Er der den mindste tvivl om en sag, så lad telefonen sikre, før den lægges i karantæne. Er der ingen tvivl, så notér telefonens tilstand, fjern den fra netværket og opbevar den sammen med computeren. → Sådan opbevarer du en telefon, der skal sikres
Husk også at stoppe en eventuel automatisk fjernsletning ved fratrædelse, hvis I har den.
Glem ikke det andet udstyr
Computeren og telefonen er de oplagte. Men medarbejdere har ofte mere med sig, som også kan rumme data eller spor:
- eksterne diske og USB-nøgler, som virksomheden har udleveret,
- en tablet eller en ekstra bærbar til hjemmearbejde,
- en arbejdsstation i produktionen eller på lageret, som især én person brugte,
- et SIM-kort eller en mobil router.
Tag det med i samme regel, og skriv det på kvitteringen. Udstyr, der står hjemme hos medarbejderen, skal afleveres som en del af fratrædelsen, ligesom computeren.
Ledere, sælgere og IT-administratorer
Nogle roller giver adgang til mere end andre. En direktør, en sælger med de største kunder eller en IT-administrator med adgang til alle systemer er typisk dem, der giver de største sager, hvis noget går galt. For dem kan det være en god idé at lade en IT-sagkyndig lave en forensisk kopi ved fratrædelsen, selv uden mistanke. Så kan computeren genbruges, og kopien kan gemmes i stedet.
Det er en beslutning, ledelsen kan tage én gang for bestemte roller, så det ikke bliver en vurdering af den enkelte person.
Hvem gør hvad?
- Ejer eller direktør · Beslutter reglen og perioderne
- HR · Giver IT besked om alle fratrædelser og om konflikter
- IT · Modtager, mærker, opbevarer og registrerer udstyret
- Nærmeste leder · Siger til, hvis der opstår tvivl i perioden
Kvitteringen ved aflevering er en vigtig del af reglen. Den viser, hvad der blev afleveret, i hvilken stand og til hvem. → Skabelon: kvittering for udlevering og aflevering af udstyr
Det skal I lade være med
- Lade IT geninstallere med det samme for at spare tid. Det er den mest almindelige grund til, at spor forsvinder.
- Give computeren til den nye medarbejder midlertidigt. Bare et par dages brug kan overskrive spor.
- Lade kolleger hente filer fra den gamle computer. Hent i stedet filerne fra fællesdrevet eller fra en kopi, eller vent til en sagkyndig har sikret computeren.
- Gemme udstyret i et åbent lager. Så kan ingen sige, hvem der har haft adgang.
- Sælge eller bortskaffe udstyret i perioden. Heller ikke, hvis det er gammelt.
Når der opstår en sag i karantænen
Så er det godt, at reglen findes. Gør følgende:
- ☐ Forlæng karantænen for det konkrete udstyr, og skriv det på mærkatet.
- ☐ Notér, hvornår mistanken opstod, og hvem der har haft adgang til skabet.
- ☐ Kontakt advokat og en IT-sagkyndig.
- ☐ Lad den sagkyndige lave en forensisk kopi, før nogen ser på indholdet. → Hvad er en forensisk kopi?
Reglen sikrer kun det, der er på udstyret. Postkasse, OneDrive og konti i cloudtjenester skal bevares særskilt. Det hører med i den samlede offboarding. → Offboarding uden at miste beviser
Hvad det koster, og hvad det sparer
Karantæne betyder, at I skal have lidt ekstra udstyr på lager, så nye medarbejdere ikke venter. For de fleste små og mellemstore virksomheder er det få computere og telefoner ad gangen. Det er en udgift, ledelsen kan beslutte én gang og så lade være med at tænke over.
Sammenlign det med situationen uden reglen: En mistanke opstår, computeren er væk, og I må forsøge at finde sporene i logs og backup, hvis de stadig findes. Det er dyrere, tager længere tid og giver et svagere resultat.
Hvornår skal I have hjælp udefra?
Reglen kan I indføre selv. Hjælp udefra er først nødvendig, når der opstår en sag, eller hvis I er i tvivl om, hvordan telefoner skal håndteres. Nielco IT arbejder som uvildig IT-sagkyndig og kan sikre udstyr fra karantænen, så sporene kan bruges i en civil sag eller en intern undersøgelse.
Læs også: MDM og firmatelefoner: hvad kan virksomheden se og sikre? · USB-nøgler: logning og en enkel politik
→ Undersøgelse af en medarbejders computer · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
