Ofte ja. Når en medarbejder kopierer filer, efterlader det som regel spor: i loggen i Microsoft 365 eller Google Workspace, i synkroniseringen til OneDrive, i computerens registrering af USB-enheder og i mailsystemet. Men sporene er skrøbelige. Nogle udløber efter en periode, andre overskrives, når computeren bruges. Det vigtigste er derfor at bevare sporene, før nogen begynder at lede efter dem.
Siden her samler det, ledelsen og IT skal vide om spor efter kopiering. Først en oversigt over, hvor sporene findes, og hvor længe de lever. Så hvad sporene kan og ikke kan vise, hvad I gør nu, og hvad IT ikke selv skal gøre. Til sidst svar på de spørgsmål, der oftest kommer, og en kort ordliste. Den tekniske gennemgang af sporene på en Windows-computer findes på søstersitet om den tekniske dybde.
→ Windows-artefakter: LNK, jump lists, shellbags og USB
Sporene side om side
- Revisionslog i Microsoft 365 eller Google · Hvad det kan vise: Downloads, delinger, synkronisering og åbning af filer · Hvor længe det typisk findes: En fast periode efter licens og indstillinger
- OneDrive, SharePoint og Google Drive · Hvad det kan vise: Hvilke filer der er delt eksternt, og med hvem · Hvor længe det typisk findes: Så længe delingen og kontoen findes
- Computeren · Hvad det kan vise: Tilsluttede USB-enheder, åbnede filer og mapper · Hvor længe det typisk findes: Længe, men overskrives ved brug
- Mailsystemet · Hvad det kan vise: Mails med vedhæftninger sendt til private adresser · Hvor længe det typisk findes: Så længe postkassen bevares
- Fagsystemer og CRM · Hvad det kan vise: Eksporter og store udtræk · Hvor længe det typisk findes: Afhænger af systemets egen log
- Firewall og netværk · Hvad det kan vise: Store mængder data sendt ud, for eksempel til cloudtjenester · Hvor længe det typisk findes: Ofte kort tid
Ikke alle spor findes i alle virksomheder. Det afhænger af jeres licenser, jeres indstillinger, og hvor længe loggen gemmes. Tjek, hvad der er slået til hos jer, og hvor længe det gemmes. Det er bedst at gøre, før der er en sag, men det er aldrig for sent at spørge.
→ Er auditloggen slået til? Spørgsmål til IT-leverandøren
Data forlader typisk virksomheden ad tre veje: en USB-nøgle eller ekstern disk, en privat mail eller en privat cloudtjeneste. Hver vej efterlader forskellige spor, og de ligger forskellige steder. → USB, privat mail eller cloud: de tre veje, data forlader virksomheden
Hvad sporene kan, og hvad de ikke kan
Sporene kan typisk vise, at en fil er åbnet, downloadet, synkroniseret eller sendt, og hvornår. De kan ofte vise, at en USB-nøgle har været tilsluttet, og hvilke filer der er åbnet fra den.
Sporene kan sjældent vise, hvad der skete med filen bagefter. Hvis en fil er kopieret til en privat USB-nøgle og derefter taget med hjem, kan I ikke se, hvad der skete på hjemmecomputeren. Det kræver juridiske skridt, som advokaten skal vurdere.
Vær også opmærksom på, at mange spor har en uskyldig forklaring. Medarbejdere downloader filer hele tiden som en del af arbejdet. Synkronisering til OneDrive sker automatisk. Det er mønstret, mængden og tidspunktet, der gør sporet interessant, for eksempel mange filer på kort tid lige før en opsigelse, eller adgang til områder, som medarbejderen normalt ikke bruger.
Et enkelt spor er sjældent nok. Det er sammenhængen mellem flere spor, der giver et billede: en USB-nøgle, der tilsluttes samme aften, som mange filer åbnes, og som ikke er set før. En IT-sagkyndig læser sporene i sammenhæng og skriver, hvad de viser, og hvad de ikke viser.
Når tiden løber
Levetiden er det spørgsmål, der oftest afgør en sag. Revisionsloggen i skyen forsvinder automatisk efter en fast periode. Slettede filer i OneDrive og SharePoint ligger i papirkurven en tid og kan derefter være væk. Spor på computeren kan ligge længe, men overskrives gradvist, når computeren bruges. En computer, der gives videre til en ny medarbejder, mister mange spor på få dage. Og kontoen kan blive slettet automatisk, når en medarbejder er fratrådt, hvis I har en sådan regel. → Hvor længe gemmes data i Microsoft 365, Google og på telefoner?
Derfor er de første dage afgørende. En mistanke, der opstår tre måneder efter en fratrædelse, kan stadig undersøges, men ofte med færre spor.
Er medarbejderen stadig ansat, er situationen en anden. Så kan en undersøgelse advare vedkommende, og I skal overveje, om sikringen skal ske i stilhed. Det er en beslutning, der skal tages sammen med advokaten. → Beslutningstræ: mistanke mod en medarbejder, der stadig er ansat
Hvad gør I nu?
- Skriv mistanken ned. Hvad har givet anledning til den, og hvornår?
- Bed IT bevare, ikke lede. Bed IT om at gemme revisionsloggen og slå bevarelse til på postkasse og OneDrive. Bed IT tage computeren ud af brug, hvis medarbejderen er stoppet.
- Lad computeren være. Hvis medarbejderen stadig er ansat, så overvej, om computeren skal sikres i stilhed. Hvis den er afleveret, må den ikke tændes, geninstalleres eller gives videre.
- Tal med advokaten. Før I går videre, skal det vurderes, hvad I må undersøge, og hvordan.
- Få sporene sikret og læst korrekt. En IT-sagkyndig kan sikre computeren og loggen og læse sporene, så resultatet kan bruges.
Lederen beslutter at bevare og inddrager advokaten. IT gemmer loggen og slår bevarelse til. HR samler kontrakt, IT-politik og fratrædelsesdokumenter. Den IT-sagkyndige sikrer computer og log og læser sporene. Hvordan en sådan undersøgelse er bygget op, når virksomheden selv står bag den, er beskrevet under intern IT-undersøgelse.
Er medarbejderen allerede stoppet, så følg tidslinjen for de første 48 timer. → Medarbejderen er stoppet: de første 48 timer
Sådan bliver sporene til et svar
Det kan være nyttigt at vide, hvad der sker, når en IT-sagkyndig får opgaven. Først sikres kilderne: computeren som forensisk kopi, revisionsloggen for hele den relevante periode, postkassen og eventuelt eksportloggen fra CRM’et. Hver kilde får en kontrolværdi, så det senere kan vises, at intet er ændret.
Derefter aftales spørgsmålene. Et godt spørgsmål er afgrænset: “Er der i de sidste fire uger før opsigelsen kopieret filer fra salgsmappen til eksterne enheder eller tjenester?” Et dårligt spørgsmål er “find alt, hvad medarbejderen har gjort”. Det afgrænsede spørgsmål er hurtigere at besvare, og det er lettere at forsvare over for reglerne om medarbejderkontrol.
Til sidst læses sporene på kopien, ikke på originalen. Resultatet er en rapport, der beskriver, hvad der er fundet, hvordan det er fundet, og hvilke forbehold der er. Den skal kunne efterprøves af en anden sagkyndig, og den skal skelne klart mellem det, sporene viser, og det, de ikke viser.
Det må IT ikke selv gøre
Det er forståeligt, at IT gerne vil hjælpe og hurtigt finde svaret. Men en række almindelige handlinger ødelægger netop de spor, der skal bruges:
- Logge ind på medarbejderens computer for at se. Hvert login ændrer spor og tidsstempler, også dem, der viser, hvad medarbejderen har gjort.
- Sætte en USB-nøgle i for at kopiere filer ud. Den nye USB-enhed blandes med de spor, I leder efter.
- Køre et oprydnings- eller antivirusprogram. Det kan slette midlertidige filer og logs.
- Søge i revisionsloggen og eksportere udsnit. Det er bedre end ingenting, men det kan give et ufuldstændigt billede. Eksportér hele loggen for den relevante periode.
- Slette kontoen eller nulstille computeren. Så er sporene væk.
Husk, at et spor kun er så godt som den måde, det er sikret på. En eksport, som IT har lavet i en fart, kan være nyttig til at forstå sagen, men den kan være ufuldstændig, og det kan være svært at forklare bagefter, hvordan den er lavet. Jeres egen IT-medarbejder kan også blive vidne, hvis sagen går videre. Det er en grund mere til, at IT bevarer, og en uvildig part undersøger.
→ Det må IT ikke gøre, før beviserne er sikret
Kontrol af medarbejdere skal ske efter reglerne
At undersøge, hvad en medarbejder har gjort, er en form for kontrol. Det skal ske inden for de regler, der gælder for arbejdsgiverens kontrol, jeres IT-politik og en eventuel kontrolaftale eller overenskomst. Medarbejderen skal typisk være orienteret om, at logning finder sted. Tjek jeres egne regler, og tal med en advokat, før I gennemgår loggen for en bestemt person.
Spørgsmål, vi ofte får
Kan vi se, hvilke filer der er kopieret til en USB-nøgle?
Ofte kan det ses, at en bestemt USB-nøgle har været tilsluttet, og hvornår. Det kan også ofte ses, hvilke filer der er åbnet fra den. Selve kopieringen efterlader færre spor, og det afhænger af opsætningen, om den er logget. Har I et system, der logger USB-brug, er det en vigtig kilde. → USB-nøgler: logning og en enkel politik
Kan vi se, om filer er sendt til en privat mail?
Hvis de er sendt fra jeres mailsystem, ja, så længe postkassen og loggen findes. Det kan som regel ses, hvem mailen gik til, hvornår, og hvilke vedhæftninger den havde. Selve indholdet må kun gennemgås efter reglerne om medarbejderkontrol. → Medarbejderen har sendt filer til sin private mail
Kan vi se, om kundelisten er trukket ud af CRM’et?
Det afhænger af systemet. Mange CRM-systemer har en eksport- eller rapportlog, men den er ikke altid slået til. Sikr den, før adgangen lukkes, og før loggen udløber. → CRM: medarbejderen har eksporteret kundelisten
Computeren er allerede nulstillet. Er alt så tabt?
Ikke nødvendigvis. Sporene i skyen, i mailsystemet og i fagsystemerne ligger uden for computeren. Nogle spor på selve computeren kan også overleve en nulstilling, afhængigt af hvordan den er lavet. → Computeren blev nulstillet før afleveringen
Medarbejderen har slettet filer før fratrædelsen. Kan det ses?
Sletning efterlader ofte sine egne spor, og slettede filer i skyen kan ligge i papirkurven en periode. Sletning lige før fratræden er ikke i sig selv bevis for noget, men det kan være vigtigt i sammenhæng med andre spor. → Medarbejderen har slettet mails og filer før fratrædelsen
Kan vi se, om der er printet kundelister?
Kun hvis jeres printere eller printstyring fører en log. Mange gør, men loggen ligger ofte på printeren selv eller hos leverandøren og gemmes kort tid. Bed om den hurtigt. → Udskrifter af kundelister: printstyring og udskriftslog
Hvad hvis medarbejderen har fotograferet skærmen med sin telefon?
Det efterlader sjældent spor i jeres systemer. Det, I kan se, er, hvilke filer der var åbne, og hvornår. Om det er nok, er en vurdering for advokaten sammen med de øvrige spor.
Kan vi selv søge i loggen for at se, om der er noget at komme efter?
En kort, afgrænset kontrol kan være forsvarlig, hvis reglerne er overholdt, og hvis den dokumenteres. Men lad være med at eksportere udsnit og sende dem rundt. Bevar hele loggen for perioden først, og lad den egentlige gennemgang ske på en sikret kopi.
Ordforklaringer
- Revisionslog (auditlog): Systemets egen liste over handlinger som logins, downloads, delinger og sletninger. Den gemmes en fast periode og slettes derefter automatisk.
- Synkronisering: Når filer automatisk kopieres mellem computeren og en cloudtjeneste som OneDrive. Det sker hele tiden og er i sig selv normalt.
- Artefakt: Et spor, som styresystemet efterlader under almindeligt brug, for eksempel en genvej til en nyligt åbnet fil eller en registrering af en USB-enhed.
- Ekstern deling: Et link eller en adgang, der giver personer uden for virksomheden adgang til en fil eller mappe.
- Forensisk kopi: En nøjagtig kopi af en computer eller telefon, lavet uden at ændre originalen, så sporene kan læses og kontrolleres bagefter. → Forensisk kopi
Hvornår skal I have en uvildig vurdering?
Når der er en konkret mistanke om, at forretningshemmeligheder, kundelister eller andet vigtigt materiale er kopieret, og især hvis medarbejderen er på vej til en konkurrent. Jo tidligere, jo flere spor er der tilbage. Er revisionsloggen tæt på at udløbe, eller skal computeren bruges igen om få dage, så sig det tydeligt, når I tager kontakt. Så kan sikringen af det mest flygtige prioriteres først, og resten kan vente til bagefter. Hastesager koster ekstra. → Pris og tilbud hos Nielco IT
Den situation, hvor data allerede er taget med, er beskrevet på opslagssitet.
→ Medarbejderen har taget data med
Læs også: Beslutningstræ: mistanke mod en medarbejder, der stadig er ansat · USB, privat mail eller cloud: de tre veje, data forlader virksomheden
→ Undersøgelse af en medarbejders computer · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
