Sådan arbejder vi med digitale beviser i en virksomhed

Når data i jeres virksomhed skal bruges som bevis, er det ikke nok, at de findes. Det skal også kunne vises, at de ikke er ændret, siden de blev sikret, og at undersøgelsen har holdt sig til det, sagen handler om. Her kan I læse, hvordan Nielco IT griber opgaven an, og hvad det betyder for jer i virksomheden. Fremgangsmåden er den samme, uanset om sagen ender i en forhandling, hos en voldgiftsret, i retten eller bare i en beslutning i ledelsen.

1. Først spørgsmålet, så data

Arbejdet starter med en samtale om, hvad I vil have svar på. Har medarbejderen kopieret kundelisten? Hvem godkendte betalingen? Blev aftalen ændret, efter den var sendt? Spørgsmålet afgør, hvilke personer, konti, enheder og perioder der skal med, og hvad der kan blive liggende.

En snæver afgrænsning beskytter både jer og de medarbejdere, der ikke har noget med sagen at gøre. Den gør også resultatet lettere at stå på mål for, hvis det bliver læst af en modpart. Kan spørgsmålet ikke besvares med de data, I har, får I det at vide fra begyndelsen. → Afgrænsning af en undersøgelse

2. Jeres folk rører ikke ved det, der skal sikres

Mange spor går tabt i de første timer, fordi nogen vil hjælpe. IT logger på medarbejderens computer for at kigge, en leder bladrer i telefonen, eller en konto slettes for at lukke adgangen. Hver af de handlinger kan ændre tidsstempler og fjerne data.

Derfor er de første råd næsten altid de samme: stop automatisk sletning, læg udstyr til side i den tilstand, det er i, og skriv ned, hvad der allerede er gjort. Resten venter til sikringen. → Det må IT ikke gøre, før beviserne er sikret

3. Kopi før undersøgelse

Data sikres, før nogen undersøger dem. Der arbejdes på en kopi, så originalen forbliver uændret.

Computere og lagermedier kopieres med udstyr, der forhindrer, at der skrives til kilden.
Firmatelefoner sikres med et udtræk. Hvor meget der kan hentes, afhænger af model, styresystem og adgang, og det står i dokumentationen.
Microsoft 365, Google Workspace og andre cloudtjenester sikres oftest gennem tjenestens egne eksport- og søgefunktioner. Det kræver adgang som administrator, og jeres IT-ansvarlige eller leverandør skal typisk give den. → Det skal virksomheden stille til rådighed under en sikring
Logs sikres tidligt, fordi mange systemer kun gemmer dem en begrænset periode.

Hvis en sikring ikke kan gennemføres uden at efterlade spor, for eksempel fordi der skal logges på en konto, beskrives det præcist, hvad der blev gjort.

4. Et fingeraftryk af materialet

Når data er sikret, beregnes en hashværdi. Det er en lang talværdi, der fungerer som fingeraftryk: Ændres en enkelt byte, får materialet et andet aftryk. Beregnes værdien igen senere med samme resultat, er det dokumenteret, at intet er ændret.

For jer betyder det, at I kan dele materialet med jeres advokat, et forsikringsselskab eller en modpart, uden at der kan rejses tvivl om, at det er det samme, som blev sikret. → Hashværdier forklaret

5. Kæden af ansvar

Fra den dag, materialet sikres, noteres det, hvem der har haft det, hvornår, og hvad der er sket med det. Notaterne omfatter blandt andet:

tid og sted for sikringen, og hvem der var til stede
identifikation af enheden eller kontoen
hashværdier ved sikringen og ved senere kontrol
hvor materialet opbevares, og hvem der kan få adgang
hver gang materialet udleveres, og til hvem

Virksomheden fører sin egen log over det, I selv har gjort, før sikringen. → Skabelon: log over beviser · Kæde af ansvar

6. Kontrol af værktøjer og fund

Software til undersøgelser kan have fejl og begrænsninger. Derfor noteres værktøj og version ved hvert trin, vigtige fund kontrolleres så vidt muligt på en anden måde, og kendte begrænsninger nævnes. En anden fagperson skal kunne gentage arbejdet og nå samme resultat.

Arbejdet følger principperne i anerkendte retningslinjer for digitale beviser, blandt andet ISO/IEC 27037. Retningslinjerne tilpasses de systemer, I har, og hvor der afviges fra almindelig praksis, forklares det.

7. Private data holdes ude

Arbejdscomputere og firmatelefoner indeholder næsten altid private oplysninger. Undersøgelsen holder sig til det, sagen handler om, og private data, der dukker op, gennemgås ikke ud over det nødvendige. Reglerne om kontrol med medarbejdere og om persondata skal tjekkes i hver sag, og det samme gælder en eventuel overenskomst eller kontrolaftale. → Mappen hedder “Privat”

8. En rapport, ledelsen kan læse

Rapporten skiller tydeligt mellem det, der er konstateret i data, og den sagkyndiges vurdering af, hvad det betyder. Andre mulige forklaringer nævnes, også dem, der ikke taler for jeres sag. Tekniske begreber forklares, og tidspunkter angives med tidszone og kilde.

Det er ledelsen og jeres advokat, der beslutter, hvad der skal ske på grundlag af rapporten. Den IT-sagkyndige tager ikke stilling til, hvem der har ret. → Sådan læser ledelsen rapporten

9. Når sagen er afsluttet

Til sidst aftales det, om materialet skal leveres tilbage, opbevares videre eller slettes. Sletning dokumenteres. → Hvor længe må virksomheden gemme bevismaterialet?