En modpart ved for meget om jeres forhandling. En medarbejder kender en beslutning, før den er meldt ud. Eller direktøren ser, at mails er markeret som læst, selv om de ikke er åbnet. Mistanken om, at nogen læser med, er ubehagelig, men den kan undersøges. Første skridt er at tjekke nogle få tegn i stilhed og sikre dem, før nogen fjerner dem.
To forskellige sager
Det er vigtigt at holde to muligheder adskilt fra start, fordi de kræver forskellig håndtering:
- En ekstern har adgang. Kontoen er overtaget, eller en adgangskode er lækket. Det er en sikkerhedshændelse.
- En intern har adgang. En kollega, en assistent eller en IT-medarbejder har fået, eller har givet sig selv, adgang til postkassen. Det kan være legitimt, glemt eller misbrug.
I ved ikke, hvilken af dem det er, før I har set på sporene. Behandl derfor sagen fortroligt fra første minut, også over for IT, hvis IT selv kan være en del af forklaringen.
De tegn, I kan tjekke
Mailsystemer har nogle få steder, hvor adgang til en postkasse viser sig. I Microsoft 365 og Google Workspace er det typisk:
- Videresendelse. En regel eller indstilling, der sender kopier til en anden adresse. → Videresendelsesregler i mailen
- Delegering og fuld adgang. En anden konto har fået rettighed til at læse eller sende fra postkassen.
- Delte mapper og kalendere. Indbakken eller en undermappe er delt med en kollega.
- Ukendte enheder og apps. En telefon eller et program, der synkroniserer postkassen, men som ingen kender.
- Login fra uventede steder eller tidspunkter. Fx om natten eller fra en adresse, der ikke er jeres.
Nogle af disse ting kan ledelsen selv se i Outlook eller Gmail. Andre kræver en administrator. Det vigtigste er, at ingen ændrer noget, før det er dokumenteret.
Hvad gør I nu, i rækkefølge
- Beslut, hvem der ejer sagen. Typisk direktøren eller bestyrelsesformanden. Skriv ned, hvornår mistanken opstod, og hvad den bygger på.
- Vælg, hvem der skal kigge. Er jeres IT-medarbejder eller IT-leverandør uden for mistanke, kan de hjælpe. Hvis ikke, så brug en ekstern IT-sagkyndig. → Egen IT eller IT-sagkyndig?
- Tag skærmbilleder af det, I selv kan se. Regler, delte mapper, tilknyttede enheder. Skriv dato og klokkeslæt på.
- Bed om eksport af revisionsloggen. Den kan vise, hvem der har åbnet mails i postkassen, hvis den slags logning er slået til. → Unified Audit Log i Microsoft 365
- Bevar postkassen. Bed om et hold, så intet kan slettes endeligt, mens I undersøger.
- Først derefter: luk adgangen. Fjern regler og delegeringer, skift adgangskode og log ud af alle sessioner.
Typiske harmløse forklaringer
Ikke alle tegn betyder, at nogen læser med. Mails kan blive markeret som læst, fordi de er åbnet på en telefon eller en tablet, som direktøren har glemt. En gammel assistent kan stadig have adgang, fordi ingen har fjernet den. Et program til kalender eller mødebooking kan have fået adgang til postkassen ved en installation. Det er også derfor, sporene skal ses samlet, før nogen drager en konklusion.
Hvem gør hvad
- Sagsejer (direktør eller formand) · Beslutter, holder kredsen lille
- IT eller IT-sagkyndig · Dokumenterer regler, adgange og log
- Advokat · Vurderer, hvis en intern person er involveret
- HR · Inddrages først, når det er en personalesag
Det skal I lade være med
- Fjern ikke reglen eller adgangen med det samme. Så er det bedste spor væk, og den, der læser med, får et signal.
- Spørg ikke rundt. Hvis det er en intern person, kan et enkelt spørgsmål på gangen være nok til, at vedkommende rydder op.
- Lad være med at sende en test-mail med en “fælde”. Det kan virke smart, men det blander jeres egne handlinger ind i sporene og kan give problemer, hvis sagen ender i en tvist.
- Gå ikke selv ind i kollegers postkasser for at lede. Det kræver et sagligt grundlag og et hensyn til medarbejdernes rettigheder. → Må vi læse en medarbejders mail?
Ledelsens postkasse er et særligt mål
Det er ikke tilfældigt, at mistanken oftest handler om direktøren eller ejerne. Ledelsens mail indeholder det, andre gerne vil vide: forhandlinger, lønninger, opsigelser, bud på opkøb og korrespondance med advokat og revisor. Derfor er den også et mål for både eksterne angribere og interne, der har en interesse.
Det betyder to ting for jeres håndtering. For det første skal I antage, at det, der kan være læst, er følsomt. Vurdér tidligt, om der er persondata om medarbejdere eller kunder, og om fortrolig korrespondance med jeres advokat kan være kommet ud. For det andet skal kredsen, der kender til mistanken, være meget lille. Det kan være nødvendigt at holde sagen væk fra den daglige IT-kontakt og fra ledere, der normalt får alt at vide.
Brug en anden kanal end den mail, der måske læses, når I taler om sagen. En telefonsamtale eller et møde er bedre end en mail med emnet “mistanke om aflytning”. Skriv notaterne et sted, den mistænkte adgang ikke rækker til.
Når det viser sig at være en kollega
Viser sporene, at en intern person har haft adgang, er næste spørgsmål, om adgangen var aftalt. Mange assistenter har fået adgang til en chefs postkasse for flere år siden, og ingen har fjernet den igen. Det er ikke misbrug i sig selv. Det bliver det, hvis adgangen er brugt til noget, den ikke var givet til.
Her skal I være forsigtige. Skriv ned, hvad sporene viser, men drag ikke konklusionen selv. Inddrag advokaten, før I taler med medarbejderen, og lad HR forberede samtalen. Overvej også, om der er en kontrolaftale eller overenskomst, der stiller krav til, hvordan I bruger logdata om medarbejdere.
Når det er en ekstern
Er der tale om en overtaget konto, gælder det samme som ved enhver anden kompromitteret postkasse: sikr loggen, luk adgangen, vurder om persondata er berørt, og giv eventuelt forsikringen besked. Ledelsens mail indeholder ofte oplysninger om medarbejdere, kunder og forhandlinger, så vurderingen af et muligt persondatabrud skal ske hurtigt.
Hvornår skal I have hjælp udefra?
Det er en af de situationer, hvor ekstern hjælp næsten altid er en god idé. Grunden er ikke kun teknik. Det er, at en uvildig person kan se på adgangen uden selv at være en del af organisationen, og at dokumentationen så kan bruges, uanset om det ender som en sikkerhedssag, en personalesag eller en tvist.
Er der grund til hast, fordi I tror, adgangen bruges lige nu, så sig det tydeligt. Hastesager koster ekstra, også hos Nielco IT. → Pris og tilbud
Læs også: Login fra et ukendt land: sikr loggen, før I nulstiller · Videresendelsesregler i mailen: tjek dem, før I gør noget andet
→ Undersøgelse af en hacket mailkonto · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
