En kontaktliste til en bevissag er en oversigt over, hvem I skal ringe til for at stoppe sletning, få adgang eller få hjælp, ordnet efter system og rolle. Den skal ligge klar, før der sker noget. Når en sag opstår, er det ofte de første timer, der afgør, om data kan bevares, og de timer må ikke gå med at lede efter et telefonnummer til en leverandør eller finde ud af, hvem der har administratoradgang til CRM-systemet.
Listen er ikke det samme som en almindelig IT-beredskabsplan til nedbrud og cyberangreb. Den overlapper, men den har et andet formål: at få data bevaret, uden at for mange får at vide hvorfor. Derfor skal den også vise, hvem der kan gøre noget diskret, og hvem der kun kan nås via en fælles supportadresse. → Beredskabsplan med et afsnit om bevissikring
Hvad skal listen bruges til?
- at stoppe automatisk sletning i et system,
- at få eksporteret logs, før de udløber,
- at få en administrator til at bevare en konto eller et udstyr,
- at komme i kontakt med advokat, IT-sagkyndig og forsikring,
- at vide, hvem der ikke skal have besked, fordi de selv har adgang.
Del 1: rådgivere og eksterne
- Advokat (ansættelsesret, erhverv)
- IT-sagkyndig
- Forsikring (police og skadeanmeldelse)
- Databeskyttelsesrådgiver (DPO), hvis I har en
- Revisor
- Bank (ved betalinger og svindel)
Skriv både direkte telefonnummer og en reserve. Skriv også, om rådgiveren kan nås uden for normal arbejdstid. Mange sager opdages fredag eftermiddag.
Notér for IT-sagkyndige, at hastesager typisk koster ekstra, og at det er godt at have aftalt rammerne på forhånd. Hos Nielco IT aftales vilkårene for en hastesag sammen med tilbuddet. → Pris og tilbud
Del 2: systemer
Lav én linje pr. system. Det er den del, der tager længst tid at lave, og som har størst værdi, når det haster.
- System · Fx Microsoft 365, CRM, økonomi, lønsystem
- Hvad indeholder det · Mail, kunder, bogføring
- Intern ejer · Den, der ejer systemet i virksomheden
- Administrator · Hvem har administratoradgang
- Leverandør og support · Firma, telefon, kundenummer
- Kan slette eller bevare · Hvem kan stoppe sletning
- Logs og opbevaring · Hvor længe gemmes logs
- Bemærkning · Fx adgang kun via fælles support
Systemer, der typisk skal med:
- mail og samarbejde (Microsoft 365 eller Google Workspace),
- filserver, fællesdrev og backup,
- CRM og salgssystem,
- økonomi, bank og lønsystem,
- HR-system,
- webshop og hjemmeside,
- telefoni og mobiladministration (MDM),
- adgangskontrol, alarm og video,
- domæne og DNS,
- sociale medier og annoncekonti.
Har I ikke svaret på “Logs og opbevaring”, så skriv “ukendt”, og spørg leverandøren. Mange virksomheder opdager først i en sag, at loggen kun gemmes i kort tid, eller at den kræver en bestemt licens. → Er auditloggen slået til? Spørgsmål til IT-leverandøren
Del 3: interne roller
- Sagsejer ved mistanke mod medarbejder
- Sagsejer ved mistanke mod ledelsen
- HR
- IT-ansvarlig
- Kommunikation
Rækken “Sagsejer ved mistanke mod ledelsen” er vigtig. Hvis sagen handler om direktøren eller en ejer, skal der være en anden at gå til, typisk bestyrelsesformanden.
Leverandører uden for IT
Glem ikke de leverandører, der ikke opfattes som IT, men som har data. Det kan være lønbureauet, revisoren, et marketingbureau med adgang til jeres annoncekonti, en vagtvirksomhed med videoovervågning eller en telefoniudbyder med opkaldslister. Mange af dem gemmer data i kort tid og sletter dem automatisk. Står de ikke på listen, bliver de glemt, indtil det er for sent.
Skriv for hver af dem, hvilke data de har om jer, og hvem man ringer til for at bede om, at noget bevares. Det er ofte en anden person end den, I normalt taler med om fakturaer og opgaver.
Del 4: hvem har adgang til hvad?
Lav en kort oversigt over, hvem der har de bredeste adgange: globale administratorer, ejere af domænet, personer med adgang til backup. Det er dem, der kan ændre eller slette data, og det er dem, I skal være opmærksomme på, hvis de selv bliver en del af en sag. Skriv ikke adgangskoder på listen. → Den gamle IT-mand er stoppet og har alle adgangskoderne
Når listen skal bruges
Når en sag opstår, er det sagsejeren, der bruger listen, ikke den, der har lavet den. Skriv derfor listen, så en leder uden IT-baggrund kan forstå den. Brug systemernes almindelige navne, ikke tekniske betegnelser, og skriv en linje om, hvad man skal bede om hos hver kontakt. “Bed om, at sletning af brugeren stoppes, og at loginloggen eksporteres” er nok. Den, der modtager opkaldet, skal kunne handle uden at få forklaret hele sagen.
Hvem gør hvad?
- IT-ansvarlig · Udfylder systemdelen og holder den opdateret
- Leder · Udfylder rådgivere og interne roller
- HR · Sikrer, at listen opdateres ved fratræden
- Bestyrelse · Får bekræftet, at listen findes
Hvor skal listen ligge?
Listen skal kunne findes, når systemerne ikke virker, eller når den, sagen handler om, har administratoradgang. Derfor:
- ☐ Hav en printet version i et aflåst skab hos ledelsen.
- ☐ Hav en digital version et sted, som ikke administreres af samme person som systemerne.
- ☐ Giv sagsejer og stedfortræder adgang. Ikke hele ledergruppen.
- ☐ Skriv en dato på listen, så det kan ses, hvor gammel den er.
Typiske fejl
- Kun fælles supportadresse · Det tager dage at få fat i nogen
- IT-leverandørens tekniker står som eneste kontakt · Problem, hvis teknikeren er tæt på sagen
- Listen er ikke opdateret · Forkerte numre, når det haster
- Listen ligger kun i Microsoft 365 · Utilgængelig, hvis kontoen er låst
- Adgangskoder på listen · Sikkerhedsrisiko og fortrolighedsbrud
Hold den opdateret
Gennemgå listen to gange om året, og hver gang I skifter leverandør, system eller IT-ansvarlig. Når en medarbejder med administratoradgang stopper, skal listen rettes samme dag. Det kan med fordel sættes ind i jeres årshjul, så det ikke afhænger af, at nogen husker det.
Ring også til et par af numrene en gang imellem. Et nummer, der går til en telefonsvarer uden for åbningstid, er nyttigt at kende til på forhånd, ikke en fredag aften, hvor en revisionslog er ved at udløbe.
Test listen
En kontaktliste, der aldrig er brugt, er en hypotese. Lav en lille øvelse: Bed IT-ansvarlig om at finde ud af, hvordan sletning af en fratrådt medarbejders postkasse kan stoppes i et bestemt system, kun ved hjælp af listen. Mål, hvor lang tid det tager. Ret listen bagefter. Den øvelse tager en time og viser tydeligt, hvor hullerne er.
Kort sagt
Lav én linje pr. system med ejer, administrator, leverandør og hvem der kan stoppe sletning. Tilføj rådgivere og interne roller med stedfortrædere. Opbevar listen uden for de systemer, den handler om, og opdatér den, hver gang noget ændrer sig.
Læs også: Skabelon: ledelsens beslutningslog · Skabelon: IT-regler på én side for små virksomheder · Alle tjeklister og værktøjer
→ Beskriv jeres sag · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
