Postkassen er næsten tom, og mapperne i OneDrive eller Google Drive er ryddet. Medarbejderen har slettet mails og filer i dagene før fratrædelsen. Det gode er, at slettede data i Microsoft 365 og Google Workspace sjældent forsvinder med det samme. De ligger typisk i en papirkurv eller en gendannelsesperiode et stykke tid. Det dårlige er, at perioden er begrænset, og at uret allerede tikker. Det vigtigste nu er at stoppe den automatiske sletning og bevare det, der er tilbage, før I begynder at gendanne noget.
Slettemønstret er i sig selv en vigtig oplysning. Hvad blev slettet, hvornår, og i hvilken rækkefølge? Det kan revisionsloggen ofte vise.
De første timer
- ☐ Sæt bevarelse på postkasse og drev. I Microsoft 365 hedder det typisk litigation hold eller en opbevaringspolitik, i Google Workspace en hold-regel i Vault. Det stopper den endelige sletning af det, der stadig findes.
- ☐ Sikr revisionsloggen. Den viser, hvem der slettede hvad og hvornår, men den gemmes kun i en periode, der afhænger af jeres licens.
- ☐ Slet ikke kontoen, og fjern ikke licensen. Det kan sætte en endelig sletning i gang.
- ☐ Tag den relevante backup ud af rotation, hvis I har en backup af Microsoft 365 eller Google.
- ☐ Skriv ned, hvornår sletningen blev opdaget, og af hvem.
Bed IT slå de aktuelle frister op for jeres licens og opsætning, i stedet for at regne med tal fra hukommelsen. Fristerne er ikke ens for mail, filer og chats, og de kan være ændret af jeres administrator. → Litigation hold i Microsoft 365
Hvor de slettede data typisk ligger
- Postkassens mappe for slettet post · Mails, der er slettet én gang
- Gendannelsesområdet i postkassen · Mails, der er tømt fra slettet post, i en periode
- Papirkurven i OneDrive og SharePoint · Slettede filer i en periode
- Versionshistorikken · Tidligere versioner af filer, der er ændret i stedet for slettet
- Google Drive og Vault · Slettede filer og mails, afhængigt af licens og hold
- Backup · Data fra før sletningen, hvis I har en
Det er ikke altid muligt at hente alt tilbage, og det kræver ofte administratorrettigheder at se det. → Kan slettede filer gendannes?
Bevar først, gendan bagefter
Det er naturligt at ville gendanne de slettede mails med det samme for at se, hvad det drejer sig om. Men en gendannelse ændrer tingenes tilstand: mails flyttes tilbage, tidsstempler kan påvirkes, og det kan blive svært at vise, hvordan postkassen så ud efter medarbejderens sletning. Sikr derfor det, der er, i den stand det er, før noget gendannes. En IT-sagkyndig kan typisk sikre både det synlige og det slettede indhold samt loggen i ét forløb.
Advokatsitet beskriver, hvad Microsoft 365 kan genskabe, set fra en retssag. → Mailen er slettet: hvad Microsoft 365 stadig kan genskabe
Slettemønstret som dokumentation
Revisionsloggen kan ofte vise:
- hvilke mails og filer der blev slettet, og hvornår,
- om sletningen skete fra computer, telefon eller browser,
- om filer blev hentet ned eller delt, før de blev slettet,
- om papirkurven også blev tømt.
Et mønster, hvor bestemte kundemapper blev hentet ned og derefter slettet, fortæller noget andet end en generel oprydning af gamle nyhedsbreve. Det er derfor vigtigt, at loggen sikres, før den udløber. → Unified Audit Log i Microsoft 365
Vær opmærksom på, at en oprydning før fratrædelse kan være helt legitim. Mange medarbejdere sletter private mails og gamle filer, fordi de tror, det forventes. Lad mønstret tale, og lad være med at drage konklusionen på forhånd. Det er også derfor, en uvildig gennemgang er mere værd end en hurtig vurdering fra en kollega, der kender medarbejderen.
Glem ikke chats og fælles mapper
Sletningen rammer ikke kun mail og personlige filer. Tjek også:
- Teams- og Slack-chats. Beskeder kan være slettet eller redigeret. Bevarelse på kontoen dækker ikke altid chats, så spørg IT, om de er med.
- Fælles mapper og teams. Har medarbejderen slettet filer i et fælles område, ligger de i det områdes papirkurv, ikke i medarbejderens.
- Delte postkasser. Mails i en fælles postkasse som info@ kan være slettet af medarbejderen.
- Kalenderen. Aftaler med kunder eller konkurrenter kan være slettet og kan vise, hvem medarbejderen mødtes med.
- Noter og opgaver, for eksempel i OneNote eller et projektværktøj.
Bed IT om en liste over de steder, medarbejderen havde skriveadgang til, og bevar dem alle. Det er lettere at ophæve en bevarelse senere end at genskabe noget, der er gået tabt.
Hvem gør hvad
- Leder · Beslutter, at der skal bevares, og inddrager advokat ved mistanke
- IT · Sætter bevarelse, sikrer loggen, slår frister op, gendanner ikke endnu
- HR · Notat om fratrædelsen, kontrakt, IT-politik og eventuelle instrukser
- IT-sagkyndig · Sikrer postkasse, drev og log, så det kan efterprøves
- Advokat · Vurderer betydningen af sletningen og næste skridt
Det skal I lade være med
- Lad være med at slette kontoen for at gøre plads til en ny medarbejder.
- Lad være med at gendanne i blinde før sikringen. Det kan sløre, hvordan postkassen så ud.
- Lad være med at lade IT læse de gendannede mails bredt for at finde ud af, hvad der skete. Gennemgang skal ske efter en afgrænset plan og med respekt for reglerne om medarbejderkontrol og persondata. Tjek jeres IT-politik og eventuel overenskomst eller kontrolaftale.
- Lad være med at konfrontere medarbejderen, før data er bevaret.
- Lad være med at vente til mandag, hvis det er fredag. Fristerne løber også i weekenden.
Når fristen allerede er overskredet
Er papirkurven tømt, og er gendannelsesperioden udløbet, er der stadig muligheder: backup, kopier i kollegers postkasser, mails hos kunder og leverandører, filer på medarbejderens computer, hvis den ikke er nulstillet, og logs i andre systemer. Det kræver mere arbejde, og resultatet er mere usikkert. Kontakt en IT-sagkyndig for en vurdering af, hvad der stadig kan sikres.
Har medarbejderen også nulstillet computeren, er der en særskilt artikel om det. → Computeren blev nulstillet før afleveringen
Forebyggelse
Sletning før fratrædelse kan ikke forhindres helt, men konsekvenserne kan gøres mindre. Sæt en opbevaringspolitik på postkasser og drev, så slettede data bevares i en fastsat periode. Sæt bevarelse på kontoen, så snart en opsigelse er modtaget. Og tjek, at revisionsloggen er slået til og gemmes længe nok til, at I kan nå at reagere.
Hvornår skal I have hjælp udefra?
Hvis sletningen kan få betydning for en tvist, og især hvis der er en klausul eller mistanke om, at data er taget med, så kontakt en IT-sagkyndig med det samme. Fristerne i skyen gør det typisk til en hastesag. Hastesager koster ekstra. → Pris og tilbud hos Nielco IT
Læs også: Computeren blev nulstillet før afleveringen · En tidligere medarbejder logger stadig ind
→ Medarbejderen har taget data: hjælp til virksomheden · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
