Når en kunde ringer og beder jer tjekke, om en medarbejder har sendt filer hjem, er jeres opgave i den første time at bevare, ikke at undersøge. Få anmodningen på skrift fra en person med ret til at give den, stop alt, der kan slette data, og log jeres egne handlinger. Selve undersøgelsen bør ligge hos en, der ikke også skal drive kundens IT bagefter.
Artiklen er skrevet til IT-leverandøren: den lille IT-virksomhed, driftspartneren eller konsulenten, der passer kundens Microsoft 365, servere og pc’er. Kundens egen tjekliste til jer findes her. → Tjekliste: IT-leverandørens første time i en bevissag
Typiske opkald
- “Kan I se, om [medarbejder] har kopieret kundelisten?”
- “Luk [medarbejder]s konto nu, vedkommende er fritstillet.”
- “Kan I sende os alle mails mellem [medarbejder] og [konkurrent]?”
- “Nulstil computeren, den skal bruges af en ny i morgen.”
Hvert af de fire opkald kan ødelægge sagen, hvis I gør præcis, som der bliver sagt. Det er ikke ond vilje fra kunden. Det er en leder under pres, der ikke ved, hvad der skal til.
Den første time, trin for trin
- Find ud af, hvem der ringer. Er det en person, der har ret til at bestille noget på vegne af kunden? Er vedkommende selv en del af sagen? Mistanken kan angå netop den leder eller administrator, I normalt taler med.
- Få anmodningen på skrift. En kort mail fra direktøren eller ejeren er nok: hvilke konti og enheder, og hvad I skal gøre. Ring tilbage på et nummer, I kender, hvis I er i tvivl om afsenderen.
- Stop sletning. Sæt hold på postkasse og OneDrive eller tilsvarende, tag relevante backups ud af rotation, og sæt automatisk oprydning på pause for brugeren.
- Rør ikke indholdet. Åbn ikke mails, filer eller chats. Log ikke ind som brugeren.
- Ændr kun adgange efter aftale. Skal kontoen spærres, så spær den uden at slette den, og notér tidspunktet.
- Udstyr i karantæne. Bed kunden lægge computer og telefon til side uden at slukke, tænde, nulstille eller give dem videre.
- Skriv en log. Hvem bad om hvad, hvornår, og hvad I gjorde, med klokkeslæt og jeres brugernavn.
- Anbefal næste skridt. Fortæl kunden, at de bør tale med en advokat, og at sikring og undersøgelse bør ligge hos en uvildig IT-sagkyndig.
Hvorfor I ikke selv skal undersøge
Det kan virke som god service at finde svaret selv. Der er tre grunde til at lade være.
Sporene. Når I åbner filer, søger i postkassen eller logger ind som brugeren, efterlader I nye spor. Bagefter kan det være svært at skille jeres aktivitet fra medarbejderens.
Reglerne. Om kunden må gennemgå en medarbejders mail, afhænger af formål, orientering og regler, som kunden skal vurdere med sin advokat. Gør I det på et mundtligt “bare tjek det”, kan I selv stå i en ubehagelig position, hvis det senere viser sig at være i strid med reglerne. → Må vi læse en medarbejders mail?
Rollen. Laver I undersøgelsen, bliver I ofte vidne. Jeres medarbejder kan blive bedt om at forklare sig, og modparten vil spørge til jeres metode og jeres forhold til kunden. → Vidneforklaring fra IT-medarbejdere
Når kunden insisterer
Det sker, at kunden ikke vil vente. Lederen er vred, en vigtig kunde er på vej væk, og I bliver bedt om at “bare gøre det”. Bliv rolig og konkret. Forklar, at I gerne hjælper med at bevare alt, så intet går tabt, og at det netop er det, der gør det muligt at undersøge sagen ordentligt bagefter. Forklar også, at en undersøgelse lavet af driftsleverandøren let kan blive angrebet af modparten.
Insisterer kunden alligevel på noget, I vurderer kan skade sporene, så bed om beslutningen på skrift, og skriv i jeres log, at I har frarådet det og hvorfor. Det beskytter både kunden og jer. Ofte er en skriftlig anmodning nok til, at kunden tager en pause og ringer til sin advokat først.
Bliver I bedt om at give kunden selv administratoradgang til medarbejderens konto, gælder det samme. Det er en beslutning, kunden skal træffe med åbne øjne og med råd fra sin advokat.
Når I selv kan blive part
Nogle gange handler mistanken ikke kun om en medarbejder. Det kan dreje sig om en konto, I har oprettet, en backup, der ikke virkede, eller en adgang, der ikke blev lukket. Så kan jeres egen indsats blive en del af sagen. Sig det åbent til kunden, bevar jeres egne logs og tickets, og overvej at tale med jeres egen rådgiver. Lad i den situation en anden stå for sikringen. → Kunden giver jer skylden for nedbruddet eller angrebet
Hvem gør hvad?
- Kundens ledelse · Bestiller skriftligt og ejer sagen
- IT-leverandøren · Bevarer, spærrer efter aftale, logger og giver adgang
- Advokat · Vurderer, hvad kunden må, og hvad der skal ske
- IT-sagkyndig · Sikrer og undersøger, dokumenterer metoden
Det skal I lade være med
- Lad være med at nulstille eller genudlevere udstyr, heller ikke når kunden insisterer. Bed om en skriftlig beslutning, og forklar konsekvensen.
- Lad være med at slette kontoen, selv om det er jeres faste offboarding.
- Lad være med at sende “alle mails” til kunden. Det er en undersøgelse og kan omfatte private og tredjemands oplysninger.
- Lad være med at tale om sagen med andre hos kunden end den, der har bestilt.
- Lad være med at skrive vurderinger i tickets. Skriv, hvad I har gjort, ikke hvad I tror.
Henvis uden at miste kunden
Mange IT-leverandører frygter, at en henvisning betyder, at en anden tager kunden. En uvildig IT-sagkyndig, der ikke sælger drift, licenser eller produkter, konkurrerer ikke med jer. Den sagkyndige har brug for jer til adgange og til at forklare opsætningen, og I fortsætter driften bagefter. Nielco IT sælger ingen produkter og har ingen leverandørpartnerskaber. Mere om samarbejdet mellem leverandør og kunde i en sag findes på vores side til IT-leverandører. → For IT-leverandører
Aftal det, før næste opkald
Skriv en kort intern procedure for, hvad jeres teknikere gør, når en kunde ringer med en mistanke, og hvem hos jer der tager imod opkaldet. Tag den med i jeres kontrakter, så kunderne ved, at I bevarer først og henviser undersøgelsen. Det gør den første time roligere for alle.
Hvornår skal kunden have hjælp udefra?
Altid, når mistanken kan ende i en afskedigelse, et krav eller en tvist. Haster det, fordi data kan forsvinde, kan sikringen begynde samme dag, hvis det praktisk kan nås. Hastesager koster ekstra. → Pris og tilbud
Læs også: Pressen ringer midt i en intern sag · Beslutningsoplæg: få ledelsen til at sige ja til en IT-undersøgelse
→ IT-sagkyndig for virksomheder · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
