Klokken er 15.30 en fredag. En leder får at vide, at en medarbejder måske har sendt kundedata ud, eller at nogen har opdaget mærkelige posteringer. Kontoret tømmes, IT-leverandøren har weekendvagt, og advokaten svarer ikke. Spørgsmålet er: hvad skal ske nu, og hvad kan vente?
Det korte svar: Det, der kan forsvinde, skal sikres eller bevares nu. Alt det, der handler om at forstå, vurdere og beslutte, kan som regel vente til mandag. Weekenden er ikke tiden til at undersøge selv eller konfrontere nogen.
Spørgsmålet, der afgør det hele
Stil jer selv ét spørgsmål: Kan noget forsvinde eller blive ændret inden mandag morgen? Er svaret ja, skal der handles nu. Er svaret nej, er det oftest bedst at vente og gøre det ordentligt.
Typiske tegn på, at noget kan forsvinde:
- Medarbejderen har sagt op, har sidste arbejdsdag i dag, eller skal aflevere udstyr.
- Medarbejderen har stadig adgang hjemmefra og kan slette mails, filer eller beskeder.
- Der kører automatisk sletning af fratrådte brugere, gamle mails eller logs.
- En computer eller telefon står til geninstallation eller skal sendes retur til leasing.
- Logs i et system gemmes kun i kort tid.
- Der er risiko for, at flere penge forsvinder, eller at flere data bliver sendt ud.
Hvis intet af det passer, kan sagen sandsynligvis vente. Skriv ned, hvorfor I har vurderet det, og hvornår.
Det skal ske nu
- Skriv et kort notat. Hvad ved I, hvem har fortalt det, og hvornår? Det tager ti minutter og er grundlaget for alt det, der følger.
- Stop automatisk sletning. Bed IT eller IT-leverandøren sætte planlagte sletninger i bero for den relevante bruger og de relevante systemer. Det gælder også oprydningsjob, der kører i weekenden.
- Bevar postkasse og filer. I Microsoft 365 og Google Workspace kan IT sætte et hold, så indhold bevares, også hvis brugeren sletter det. → Litigation hold i Microsoft 365
- Sikr udstyr, der er afleveret. Læg computer og telefon et aflåst sted. Tænd ikke, sluk ikke, hvis det kan undgås. Skriv ned, hvem der har haft det.
- Overvej adgangen. Er der en konkret risiko for skade i weekenden, kan det være nødvendigt at begrænse adgangen nu. Ellers kan det vente. Spær, men slet aldrig.
- Hold kredsen lille. Lederen, der ejer sagen, og den person i IT, der skal udføre bevaringen. Ingen andre.
Det kan som regel vente til mandag
- At undersøge, hvad der er sket. Gennemgang af mails, filer og logs kan godt vente, når data er bevaret.
- Samtalen med medarbejderen. Den skal forberedes ordentligt med HR og evt. advokat.
- Beslutninger om opsigelse eller bortvisning. De kræver et ordentligt grundlag.
- Information til kolleger, kunder eller bestyrelse. Den skal formuleres med omtanke.
- Valg af ekstern hjælp. Medmindre noget skal sikres med det samme, kan I tage det mandag.
Det kan føles forkert at vente, når der er en mistanke. Men en weekend med ro, hvor data er bevaret, er bedre end en weekend med panik, hvor nogen kigger i den forkerte computer.
Hvis medarbejderen er på kontoret lige nu
Nogle gange opstår mistanken, mens medarbejderen stadig sidder ved sit skrivebord. Det er den sværeste situation. Lad være med at tage udstyret fra vedkommende på stående fod, medmindre I har aftalt det med HR og har en plan for samtalen. En improviseret konfrontation fredag eftermiddag ender ofte med, at medarbejderen går hjem med en telefon fuld af beskeder, og at I står uden forklaring på, hvad der skete.
Lad i stedet IT sætte et hold på postkasse og filer i baggrunden. Det kan normalt gøres, uden at brugeren mærker det. Notér tidspunktet. Hvis medarbejderen skal aflevere udstyr fredag, så modtag det som aftalt, læg det til side uændret, og skriv en kvittering med serienumre. Resten tager I mandag, når HR og rådgiver er med.
Hvem gør hvad i weekenden
- Leder · Beslutter, hvad der skal ske nu, og skriver notatet
- IT eller IT-leverandør · Stopper sletning, sætter hold, bevarer udstyr
- HR · Orienteres, hvis det angår en medarbejder, men handler mandag
- Advokat · Kontaktes med en kort besked; svar mandag er ofte nok
Er jeres IT-leverandør ikke tilgængelig, eller er det netop en IT-medarbejder, mistanken angår, så skal en anden stå for bevaringen. Tænk på det, før det sker. Hvem ringer I til uden for arbejdstid?
Det skal I lade være med i weekenden
- Undersøge selv. Ingen skal sidde lørdag aften og gennemgå en kollegas mail. Hver handling efterlader spor, der blandes med det, der skal undersøges.
- Ringe til medarbejderen. En samtale i weekenden, uden forberedelse og uden HR, kan advare og skabe en ny konflikt.
- Slette kontoen. Selv hvis I vil lukke adgangen, skal data blive.
- Sende mails om sagen. En mail med “vi har mistanke om, at X stjæler” kan blive læst af de forkerte og fremlagt senere.
- Lade udstyr gå videre. Computeren må ikke gives til en ny medarbejder mandag morgen.
Når det virkelig haster
I nogle sager kan det ikke vente. Det gælder, når der er en konkret risiko for, at beviser bliver slettet i weekenden, når en medarbejder er på vej ud af landet med udstyr, eller når en angriber stadig er inde i jeres systemer. Så kan det være nødvendigt at få en IT-sagkyndig ud med det samme.
Nielco IT arbejder for virksomheder og advokatkontorer i hele landet og kan i akutte sager være på lokationen inden for få timer. Hastesager uden for normal arbejdstid koster ekstra, og det er godt at vide på forhånd. → Pris og tilbud
Er der tale om et angreb udefra, så følg jeres beredskabsplan, og lad bevaring af logs være en del af den. → Bevissikring efter et cyberangreb
Mandag morgen
Start ugen med et kort møde i den lille kreds. Gå notatet igennem, tjek at bevaringen er på plads, og beslut, hvem der gør hvad. Kontakt advokaten og evt. en IT-sagkyndig, hvis det ikke allerede er sket. Hold fast i, at undersøgelsen først starter, når data er sikret ordentligt.
Forbered jer, før det sker
De fleste problemer i weekenden handler om, at ingen ved, hvem der kan sætte et hold, eller hvem der må beslutte det. Lav en kort liste: hvem i ledelsen kan beslutte at bevare data, hvem i IT eller hos leverandøren kan udføre det, og hvordan de kontaktes uden for arbejdstid. Den liste er det billigste stykke bevisberedskab, I kan lave.
Læs også: Mistanke fra en kollega, en kunde eller en anonym afsender: sådan tager I imod den · Illoyal adfærd: det skal HR og IT kunne dokumentere, før I handler
→ Undersøgelse af en medarbejders computer · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
