Det er en af de sværeste situationer for en ledelse: mistanken retter sig mod den person, der har adgang til alt. IT-administratoren kan læse logs, ændre indstillinger, slette konti og se, hvem der søger efter hvad. Den almindelige fremgangsmåde, hvor ledelsen beder IT om at bevare data, virker ikke, fordi IT er den, sagen handler om. Det vigtigste er derfor at planlægge, hvem der tager over, og hvornår, før nogen i virksomheden handler, og at lade en uvildig part stå for sikringen.
Artiklen er til direktører, ejere og bestyrelser. Den gælder både en intern IT-medarbejder og en ekstern IT-leverandør, der har fuld administratoradgang.
Hvorfor det er så svært
Ved en almindelig mistanke er IT en hjælper. Her er IT en risiko. Administratoren kan typisk:
- se, at nogen har logget ind som administrator eller ændret indstillinger,
- se, hvis der er slået bevarelse til på bestemte konti,
- slette eller ændre logs, afhængigt af systemet,
- have adgang til backup og kunne ændre den,
- have adgangskoder til systemer, som ingen andre kender.
Det betyder, at selv forsigtige skridt kan advare. Og en advarsel kan i værste fald føre til, at spor forsvinder, eller at systemerne bliver låst.
Hvad gør I nu?
- Skriv mistanken ned. Hvad har givet anledning til den? Hvornår? Skriv det ikke i et system, administratoren kan læse. Brug papir eller en enhed uden for virksomhedens IT.
- Hold kredsen ekstremt lille. Typisk direktøren eller bestyrelsesformanden og en advokat. Ingen mails om sagen i virksomhedens mailsystem.
- Kortlæg nøglerne, uden at spørge IT. Hvem har administratoradgang til hvad? Hvem kender adgangen til domæne, Microsoft 365 eller Google, backup, firewall og økonomisystem? Kontrakter og fakturaer fra leverandører kan hjælpe.
- Find en uvildig part. Den, der skal sikre data og tage over, må ikke være afhængig af administratoren eller have samarbejdet tæt med vedkommende.
- Planlæg overtagelsen som én samlet handling. Sikring af logs og data, skift af administratoradgange og samtalen med administratoren skal ske i en planlagt rækkefølge, ofte samme dag.
- Sørg for driften. Hvem holder systemerne kørende, når administratoren ikke længere har adgang? Det skal være aftalt, før I handler.
Hvem tager over?
Det er det centrale spørgsmål. Typiske muligheder:
- En anden intern IT-medarbejder · Fordel: Kender systemerne · Ulempe: Ofte tæt på administratoren
- Den eksterne IT-leverandør · Fordel: Kan overtage driften · Ulempe: Kan have samarbejdet tæt med administratoren
- En uvildig IT-sagkyndig · Fordel: Ingen bindinger · Ulempe: Skal sættes ind i systemerne
I mange sager er løsningen en kombination: en uvildig IT-sagkyndig sikrer data og logs og overtager administratoradgangene i overgangen, mens en leverandør overtager driften bagefter. Det vigtigste er, at sikringen sker af en, der ikke har nogen interesse i sagens udfald.
→ Egen IT, IT-leverandør eller uvildig IT-sagkyndig?
Hvorfor uvildighed er afgørende her
I en sag mod en IT-administrator vil modparten typisk være en person, der ved meget om IT. Vedkommende vil se kritisk på, hvordan data er sikret, og om nogen kan have ændret noget. Er sikringen lavet af en kollega eller en leverandør, der har arbejdet tæt sammen med administratoren, er det let at sætte spørgsmålstegn ved den.
En uvildig IT-sagkyndig dokumenterer, hvad der er sikret, hvordan og hvornår, så en anden sagkyndig kan efterprøve det. Spørgsmålet om, hvorvidt en virksomheds egen IT kan sikre beviser, er beskrevet for advokater på søstersitet.
→ Kan klientens egen IT-afdeling sikre beviserne?
Nielco IT er uvildig, sælger ikke produkter og har ingen leverandørpartnerskaber. Det betyder, at der ikke er bindinger til den IT-leverandør eller de systemer, sagen kan handle om.
Når IT ligger hos en ekstern leverandør
Er administratoren en ekstern leverandør, har I en kontrakt at gå ud fra. Se, hvad der står om adgange, dokumentation, logs og bistand ved ophør. Leverandøren kan have pligt til at udlevere adgange og dokumentation, men det er en juridisk vurdering.
→ Når IT-driften ligger hos en ekstern leverandør: det kan I kræve
Samtalen med administratoren
Når sikringen er på plads, og adgangene er overtaget, skal administratoren have mulighed for at forklare sig. Planlæg samtalen, så den sker umiddelbart efter overtagelsen, og så administratoren ikke har adgang til systemerne under eller efter samtalen. Bed om udlevering af udstyr, adgangskoder og eventuelle nøgler eller tokens, og skriv en kvittering.
Hold samtalen saglig. Der kan være forklaringer, I ikke kender til. Administratorer gør mange ting, der kan se mistænkelige ud for en udenforstående, men som er en del af jobbet: logger ind som andre for at fejlsøge, ændrer indstillinger, sletter gamle data. Det er netop derfor, sikringen og en uvildig vurdering er vigtig. Den gør det muligt at skelne almindeligt arbejde fra det, der ikke kan forklares.
Skriv referat af samtalen, og lad advokaten se det, før der træffes beslutninger om ansættelsen.
Det må I ikke gøre
- Bede administratoren om at bevare data. Det er en advarsel.
- Skrive om sagen i virksomhedens mail eller Teams. Administratoren kan muligvis læse med.
- Skifte adgangskoder uden en plan. Det kan advare, og det kan låse jer ude, hvis I ikke kender alle adgange.
- Fyre først og sikre bagefter. Når administratoren er gået, kan der være ændret i logs, backup eller konti, og I ved ikke, hvad der ellers er sket.
- Bede en kollega af administratoren om hjælp. Selv i god tro kan vedkommende komme til at nævne det.
Adgangskoder og bokse
Mange virksomheder har adgangskoder samlet i en adgangskodeadministrator, som IT-administratoren styrer. Find ud af, om ledelsen har en nødadgang til boksen, og hvordan loggen over, hvem der har åbnet hvad, gemmes. Den log kan blive vigtig.
→ Adgangskodeadministratoren: delte bokse, og hvem der åbnede dem
Hvornår skal I have hjælp udefra?
Altid i denne type sag. Ledelsen kan ikke selv sikre data i systemer, som den mistænkte styrer, og den kan ikke bruge sin egen IT. Kontakt en advokat og en uvildig IT-sagkyndig fra en telefon og en mail uden for virksomhedens systemer.
Haster det, fordi der er tegn på, at administratoren sletter eller ændrer noget, så sig det tydeligt. En sagkyndig kan i akutte sager være på stedet inden for få timer. Hastesager koster ekstra. → Pris og tilbud
Efter sagen
Uanset udfaldet viser en sådan sag, hvor sårbar virksomheden er, når én person har alle nøgler. Brug den til at indføre to administratorer, en nødadgang hos ledelsen, logs, der sendes til et sted, som administratoren ikke kan ændre, og en fortegnelse over alle adgange. Det er også en beskyttelse for den næste IT-administrator, der dermed kan vise, at vedkommende ikke har kunnet ændre noget alene.
Læs også: Konkurrenten har pludselig jeres priser og tilbud · En leder misbruger sin adgang til andres mail og filer
→ Undersøgelse af en medarbejders computer · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
