En medarbejder ringer fra toget, lufthavnen eller hjemmefra: Den bærbare computer er væk. Måske er den glemt, måske er den stjålet fra en bil. Spørgsmålet er nu ikke kun, hvordan I får en ny computer. Det er, om nogen kan læse de data, der lå på den, og om I kan dokumentere svaret. Kryptering, fjernlås og log er jeres bedste beviser, og de skal sikres de første timer.
Det afgørende spørgsmål: var disken krypteret?
En bærbar med krypteret disk, hvor kryptering var slået til og nøglen ikke lå ved siden af, er langt mindre alvorlig end en uden. Det er forskellen på en hardwareudgift og et muligt persondatabrud med kunder, der skal underrettes. Derfor er det første, IT skal finde ud af:
- Var diskkryptering slået til på netop denne computer?
- Hvor ligger gendannelsesnøglen, og har nogen hentet den efter tabet?
- Var computeren låst eller slukket, da den forsvandt?
Svaret skal kunne dokumenteres, ikke kun huskes. “Det plejer at være slået til” er ikke nok over for Datatilsynet eller en kunde. → BitLocker og FileVault i bevissikring
Hvad gør I nu, i rækkefølge
- Skriv forløbet ned. Hvornår og hvor blev computeren sidst set, hvornår opdagede medarbejderen tabet, og hvad var computerens tilstand: tændt, låst, slukket? Skriv det ned, mens medarbejderen husker det.
- Find computeren i jeres oversigt. Serienummer, navn i administrationssystemet og den bruger, den var tildelt.
- Gem dokumentationen for kryptering. Bed IT tage et skærmbillede eller en eksport fra administrationssystemet, der viser krypteringsstatus og seneste kontakt. Gør det, før computeren eventuelt slettes fra systemet.
- Spær kontoen på enheden. Skift adgangskode for brugeren, og log ud af alle sessioner, så en eventuel finder ikke kan bruge gemte login i browseren.
- Lås computeren eller send en sletning. Det er en beslutning, se næste afsnit.
- Følg loggen de næste dage. Kommer computeren på nettet, kan systemet registrere det, og eventuelle loginforsøg kan ses i loggen.
Fjernlås eller fjernsletning?
Mange virksomheder kan låse eller slette en bærbar på afstand gennem deres administrationssystem. Det er en god beskyttelse, men det er også en beslutning, der skal tages bevidst.
- Fjernlås · Fordel: Beskytter data, bevarer computeren · Ulempe: Data findes stadig, hvis låsen omgås
- Fjernsletning · Fordel: Fjerner data, hvis den når ud · Ulempe: Sletter også spor, hvis computeren dukker op
Ved et almindeligt tab, hvor beskyttelse af kundedata er det vigtigste, vil sletning ofte være det rigtige. Er der mistanke om, at computeren er “tabt” med vilje, for eksempel hos en medarbejder i en konflikt eller under en opsigelse, så vent med sletning og tal med jeres advokat. Så kan computeren være et bevis i sig selv. → Fjernsletning af firmatelefonen
Uanset hvad I vælger, så skriv ned, hvem der besluttede det, hvornår kommandoen blev sendt, og om systemet har bekræftet den.
Persondatabrud: skal det meldes?
Et tab af en computer med persondata er som udgangspunkt et persondatabrud, som skal vurderes. Var data krypteret på en måde, så ingen uvedkommende kan læse dem, kan vurderingen falde ud til, at risikoen er lav. Den vurdering skal dokumenteres, også hvis I ikke giver Datatilsynet besked. → Persondatabrud: dokumentationen inden for 72 timer
Det er her, dokumentationen fra IT bliver afgørende. En eksport, der viser, at krypteringen var aktiv dagen før tabet, er et stærkt grundlag. En hukommelse er ikke.
Hvad lå der på computeren?
For at vurdere risikoen skal I vide, hvad der faktisk lå lokalt på computeren, og hvad der kun lå i skyen. Det er ikke altid let at svare på, og svaret skal også dokumenteres. Spørg medarbejderen og IT om:
- Blev filer synkroniseret fra OneDrive, SharePoint eller Google Drive, så de lå lokalt?
- Var der lokale kopier af kundelister, regneark eller eksporter fra systemer?
- Lå der mails lokalt i Outlook, og hvor mange år tilbage?
- Var der gemte adgangskoder i browseren eller i en adgangskodemanager?
Skytjenesterne kan ofte vise, hvilke filer der var synkroniseret til enheden. Bed IT gemme den oversigt, før enheden fjernes fra systemet. Den kan være det bedste grundlag for at afgrænse, hvilke kunder der eventuelt skal underrettes.
Skriv også ned, hvad der ikke lå på computeren. “Kundedatabasen ligger kun i CRM-systemet og kan ikke synkroniseres lokalt” er en vigtig sætning i en risikovurdering, hvis den kan dokumenteres.
Hvis computeren dukker op igen
Det sker, at en “stjålet” computer bliver fundet i et mødelokale, eller at en finder afleverer den. Tag den ikke bare i brug igen. Lad IT se, om den har været tændt og brugt efter tabet, før den tilsluttes netværket. Skriv ned, hvor og hvornår den blev fundet, og hvem der har haft den. Er der tegn på brug, kan computeren selv være det bedste bevis på, hvad der er sket med data.
Hvem gør hvad
- Medarbejderen forklarer forløbet og giver IT besked hurtigst muligt.
- IT dokumenterer kryptering, spærrer kontoen, låser eller sletter og følger loggen.
- Lederen beslutter om sletning, persondatabrud og forsikring.
- Den persondataansvarlige vurderer risikoen og skriver vurderingen ned.
Det skal I lade være med
- Slet ikke computeren fra administrationssystemet med det samme. Så forsvinder oplysningerne om kryptering og seneste kontakt ofte med den.
- Gæt ikke på kryptering. Tjek og dokumentér.
- Glem ikke de gemte login. Browsere og apps kan have gemte adgange, som en finder kan bruge, selv om disken er låst.
- Bebrejd ikke medarbejderen. En medarbejder, der er bange for konsekvenser, venter længere med at sige det.
Tyveri og forsikring
Er computeren stjålet, kan der være en forsikringssag om selve udstyret og måske om data. Forsikringen vil typisk spørge til forløbet, tidspunkt og sted, og til hvordan computeren var beskyttet. Brug det samme notat og den samme dokumentation fra IT. Tjek policens vilkår for, hvad der kræves, og hvor hurtigt.
Hvornår skal I have hjælp udefra?
De fleste tab kan klares af jeres egen IT. Få hjælp fra en IT-sagkyndig, hvis I ikke kan dokumentere krypteringen, hvis der er tegn på, at computeren er brugt efter tabet, eller hvis tabet er sket i forbindelse med en konflikt med medarbejderen. Så kan det blive vigtigt, at sporene er sikret af en uvildig.
Forbered jer til næste gang
Tjek i dag, at alle bærbare har kryptering slået til, at gendannelsesnøgler ligger centralt, og at I kan se status for alle computere ét sted. Lav en kort procedure for tab: hvem ringer man til, og hvad skal man oplyse. Så er den næste hændelse et telefonopkald og en tjekliste, ikke et kapløb.
Læs også: Medarbejderen klikkede på phishing: dokumentation uden skyldsfokus · Ransomware: hvad skal forsikringsselskabet have dokumenteret?
→ Hacket eller snydt? Hjælp til virksomheden · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
