En mindre virksomhed bør som minimum logge fire ting: hvem der logger ind og hvorfra, hvad der sker i mailsystemet, hvem der åbner, deler og sletter filer, og hvad administratorerne gør. Er de fire områder dækket, og gemmes loggene længe nok, kan I svare på de fleste spørgsmål, der opstår i en sag om en medarbejder, en kunde eller et angreb.
Logning er ikke slået til som standard alle steder, og hvor den er, gemmes den ofte kort. Det er derfor, I skal tage stilling nu og ikke når sagen opstår.
Hvorfor logs er så vigtige
Logs er det, der kan vise, hvem der gjorde hvad hvornår. En fil kan vise, hvad der står i den. En log kan vise, at den blev downloadet af en bestemt bruger fra en bestemt computer klokken 22.14 aftenen før, medarbejderen sagde op.
I mange sager er det loggen, der gør forskellen mellem en mistanke og noget, der kan dokumenteres. Og loggen er ofte det første, der forsvinder, fordi den overskrives automatisk efter en periode. → Logfiler og logrotation
De fire områder
1. Login
- Vellykkede og mislykkede login til mail, cloud og vigtige systemer.
- IP-adresse, land og enhed, hvor det er muligt.
- Login via VPN og fjernadgang.
Loginlogs viser, om en tidligere medarbejder stadig kommer ind, om en konto er overtaget, og hvornår nogen har arbejdet. → Firewall-, VPN- og loginlogs
2. Mail
- Oprettelse og ændring af regler, især videresendelse.
- Sletning af mails, også permanent sletning.
- Adgang til andres postkasser, fx delte postkasser og stedfortrædere.
3. Filer og deling
- Åbning, download, kopiering og sletning i fælles mapper og cloudlagre.
- Deling med eksterne, især anonyme links.
- Synkronisering til nye enheder.
4. Administratorhandlinger
- Oprettelse og sletning af brugere.
- Ændring af rettigheder og roller.
- Ændring af logindstillinger, herunder at logning slås fra.
- Nulstilling af adgangskoder og fjernelse af tofaktor.
Det sidste punkt er vigtigt. Den, der har mest adgang, er også den, der lettest kan skjule sine spor. Loggen over administratorhandlinger bør derfor gemmes et sted, som administratorerne ikke selv kan ændre. Det gælder også, hvis administratoren er jeres eksterne IT-leverandør. I en tvist med leverandøren er det jeres kopi af loggen, der tæller, ikke leverandørens.
Hvad gør I nu, i rækkefølge
- Spørg IT eller jeres IT-leverandør skriftligt, hvilke af de fire områder der logges i dag, og hvor længe loggene gemmes. Bed om et skriftligt svar. → Er auditloggen slået til? Spørgsmål til IT-leverandøren
- Tjek jeres licenser. I Microsoft 365 og Google Workspace afhænger både omfang og opbevaringstid af licensen. Den billige licens gemmer ofte kortere. → Licensniveau og beviser
- Slå det til, der mangler, og notér datoen. Logning virker kun fremad.
- Beslut opbevaringstiden for hver type log, og skriv begrundelsen ned. → Hvor længe skal virksomheden gemme logs?
- Overvej at samle loggene ét sted, så de ikke afhænger af det enkelte system, og så administratorerne ikke kan slette dem.
- Orientér medarbejderne om, hvad der logges, og hvornår det kan gennemgås.
- Test det. Bed IT finde ét login fra sidste måned og én slettet fil. Kan det ikke lade sig gøre, virker logningen ikke, som I tror.
Ud over minimum: logs, der ofte er værd at have
Når de fire områder er på plads, er der en række logs, der ofte får betydning i sager i mindre virksomheder. De er ikke alle relevante for jer, men gå listen igennem:
- CRM og fagsystemer: eksport af kundelister, ændring af priser og opslag på kunder.
- Regnskab og netbank: oprettelse af kreditorer, ændring af kontonumre og godkendelse af betalinger.
- Telefoner: MDM-løsningens log over enheder, fjernsletning og installerede apps.
- Fjernsupport: hvem der har været på hvilken computer og hvornår.
- Adgangskort og alarm: hvem der var i bygningen uden for normal arbejdstid.
- Printere: udskrifter af store dokumenter, fx kundelister.
Hver af dem kan svare på et konkret spørgsmål, som de fire grundområder ikke dækker. Vælg ud fra, hvilke sager I mest sandsynligt kan komme ud for.
Når loggen skal bruges
En log, der findes, er ikke det samme som en log, der kan bruges. Når der opstår en sag, skal loggen eksporteres, før den overskrives, og eksporten skal dokumenteres: hvem hentede den, hvornår, fra hvilket system og med hvilke filtre. Ellers kan modparten stille spørgsmål ved, om den er komplet.
Skriv derfor ned allerede nu, hvordan de vigtigste logs eksporteres, og hvem der kan gøre det. Det sparer tid, og det mindsker risikoen for, at den, der er under mistanke, selv står for udtrækket. → Bevisberedskab i Microsoft 365
Hvem gør hvad
- Ledelse · Beslutter omfang, opbevaring og budget
- IT eller IT-leverandør · Slår logning til, samler og tester
- HR · Orienterer medarbejderne
- DPO eller ansvarlig for persondata · Vurderer persondata og opbevaringstid
Det skal I lade være med
- Lad være med at logge alt uden formål. Logs indeholder persondata. De skal have et sagligt formål, og I skal kunne forklare, hvorfor I gemmer dem.
- Lad være med at slå logning til i stilhed og bruge den mod en medarbejder bagefter. Orientering kommer først, og der kan være krav i overenskomst eller kontrolaftale.
- Lad være med at lade den eneste kopi af loggen ligge hos den, der administrerer systemet. Det gælder både intern IT og jeres leverandør.
- Lad være med at regne med, at “det gør leverandøren”. Spørg konkret, og få svaret skriftligt.
Hvad med officielle anbefalinger?
Myndighederne har udgivet vejledning om logning som en del af et godt cyberforsvar. Den er skrevet med sikkerhed for øje, men den dækker i vid udstrækning de samme områder som her. Brug den som supplement, hvis I vil gå videre end minimum.
Er I omfattet af NIS2-reglerne, kan der være krav, der går videre end minimum. Det skal vurderes konkret.
Hvad koster det?
Det kan ikke siges generelt. Noget logning er gratis og skal bare slås til. Andet kræver en højere licens eller en løsning, der samler loggene. Det er en ledelsesbeslutning at afveje udgiften mod værdien af at kunne dokumentere, hvad der er sket. Start med det, der er gratis, og tag stilling til resten bagefter. Skriv beslutningen ned, også hvis I vælger noget fra, så det senere kan ses, at det var et bevidst valg.
Hvornår skal I have hjælp?
Få hjælp udefra, hvis jeres IT-leverandør ikke kan svare klart på, hvad der logges, hvis I har mange systemer, eller hvis I vil være sikre på, at loggene kan bruges som dokumentation i en tvist. En uvildig IT-sagkyndig kan gennemgå opsætningen og pege på hullerne uden at sælge jer et logprodukt.
Læs også: Datakort: hvor ligger vores data? · Hvor længe skal virksomheden gemme logs? · Ordbog for ledere
→ Bevissikring ved fratræden af nøglemedarbejdere · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
