Second opinion på jeres IT-leverandørs undersøgelse

Når der opstår mistanke i en virksomhed, er det ofte den faste IT-leverandør, der bliver bedt om at kigge på sagen. Det er naturligt. Leverandøren kender systemerne og kan reagere hurtigt. Resultatet er typisk en mail eller et kort notat: “Vi har set, at der er kopieret filer til en USB-nøgle”, eller “Vi kan ikke se noget usædvanligt”.

Før ledelsen bygger en afskedigelse, et krav eller en lukning af sagen på sådan et notat, kan det være klogt at få det vurderet af en uvildig IT-sagkyndig. En second opinion svarer på to spørgsmål: Holder konklusionen? Og kan den bruges, hvis sagen går videre?

Hvornår en second opinion giver mening

• Ledelsen skal træffe en alvorlig beslutning på baggrund af leverandørens fund.
• Leverandørens notat er kort, og det fremgår ikke, hvordan resultatet er fundet.
• Leverandøren har selv haft en rolle i sagen, fx ved at have lukket kontoen, geninstalleret computeren eller administreret de adgange, sagen handler om.
• Konklusionen er “intet fundet”, men mistanken består.
• Den anden part, eller vedkommendes advokat, har sat spørgsmålstegn ved undersøgelsen.
• I overvejer et krav mod leverandøren selv, fx efter et sikkerhedsbrud. → Leverandøren blev hacket

Hvorfor leverandørens undersøgelse kan være svag

Det er ikke et spørgsmål om dygtighed. Det er et spørgsmål om rolle og metode.

Drift og bevissikring er forskellige fag. I driften er det normalt at logge ind, åbne filer og genstarte maskiner. I en bevissag kan de samme handlinger ændre eller overskrive spor. → Det må IT ikke gøre, før beviserne er sikret

Dokumentationen mangler ofte. Hvis det ikke er beskrevet, hvilke data der er set på, hvordan de er hentet, og hvornår, kan resultatet være svært at efterprøve.

Leverandøren kan være part. Har leverandøren ansvaret for jeres sikkerhed, backup eller adgangsstyring, kan undersøgelsen handle om leverandørens eget arbejde. Det er en interessekonflikt, også selv om ingen har gjort noget forkert. → Når IT-driften ligger hos en ekstern leverandør

“Intet fundet” er ikke det samme som “intet sket”. Måske er der kun set på computeren og ikke på cloudlagrene. Måske var logningen for kort. Et negativt resultat er kun så godt som det, der er undersøgt.

Sådan foregår en second opinion

1. Gennemgang af materialet. Leverandørens notat, rapport, skærmbilleder og eventuelle udtræk gennemgås.
2. Spørgsmål til leverandøren. Hvordan er data hentet, hvilke værktøjer er brugt, og hvad er der gjort på udstyret undervejs?
3. Vurdering. Er konklusionen understøttet af det, der er undersøgt? Er der kilder, der ikke er set på? Er der handlinger, der kan have ændret sporene?
4. Anbefaling. Det beskrives, om resultatet kan bruges som det er, om det bør suppleres, eller om en ny sikring og undersøgelse er nødvendig.

Er udstyret og kontiene stadig bevaret, kan en ny undersøgelse ofte laves på det oprindelige grundlag. Er det ikke, kan second opinion i det mindste vise, hvad der er gået tabt, og hvad der stadig kan findes.

Hvad I får

I får en skriftlig vurdering, der er til at forstå for ledelsen. Den beskriver, hvad leverandørens undersøgelse kan bære, hvor den er svag, og hvad I kan gøre ved det. Vurderingen kan også bruges, når I taler med jeres advokat om de næste skridt. → Hvad får I ud af en IT-undersøgelse?

Er det en IT-erklæring i en verserende retssag, der skal vurderes, er det typisk advokaten, der bestiller. Den vinkel er beskrevet på advokatsitet. → Second opinion på en IT-erklæring

Sådan griber I det an over for leverandøren

En second opinion er ikke en anklage mod leverandøren. Sig det, som det er: Sagen er alvorlig, og ledelsen ønsker en uafhængig vurdering, før der træffes beslutninger. De fleste leverandører forstår det. Bed om, at alt materiale udleveres, og at intet på udstyret eller i systemerne ændres, mens vurderingen pågår. → Tjekliste: IT-leverandørens første time i en bevissag

Har I en kontrakt med leverandøren, så tjek, om den indeholder en pligt til at bistå ved undersøgelser. → IT-leverandørkontrakten: krav om logs og bistand

Hvem laver vurderingen

Nielco IT er John Nielsen, IT-sagkyndig med retssagserfaring og mere end 30 års erfaring med IT-sikkerhed. Nielco IT sælger ingen produkter og har ingen leverandørpartnerskaber. Det betyder, at vurderingen ikke er farvet af et salg bagefter. Haster beslutningen, kan det aftales. Hastesager koster ekstra. Se, hvordan Nielco IT prissætter opgaverne.

Afgrænsning

Second opinions laves i civile sager, interne undersøgelser og udenretlige tvister. Se afgrænsningen.

Ring 70 13 63 23, eller læs om digital bevissikring hos Nielco IT.