IT opdager, at en tidligere medarbejder stadig har været logget ind: i mailen, i et fagsystem, på VPN eller i en fælles konto. Måske er det en glemt telefon, der stadig synkroniserer. Måske er det bevidst. Den naturlige reaktion er at lukke med det samme, og det skal I også. Men rækkefølgen betyder noget: dokumentér først, hvad der er sket, og hvordan adgangen foregik, og luk derefter. Det tager typisk en time, og det kan være forskellen på en sag, der kan bevises, og en, der ikke kan.
Hvorfor dokumentere først?
Når en adgang lukkes, ændrer det billedet. Sessioner afsluttes, tokens ugyldiggøres, og nogle systemer rydder op i deres egne oplysninger. Samtidig begynder logs at udløbe efter en periode, der afhænger af systemet og jeres licens. Hvis I lukker først og dokumenterer bagefter, risikerer I, at det, der viste adgangen, er væk eller ændret.
Der er en undtagelse. Hvis adgangen er i gang med at gøre skade lige nu, for eksempel at slette data, ændre betalinger eller sende kundedata ud, så luk straks og dokumentér det, der er tilbage. → Luk adgangene med det samme, eller vent?
Trin 1: dokumentér adgangen
Bed IT om at gemme følgende, før noget ændres:
- ☐ Loginloggen for kontoen: tidspunkter, IP-adresser, enheder, apps og om login lykkedes.
- ☐ Aktive sessioner og registrerede enheder for kontoen, med skærmbilleder af oversigten.
- ☐ Revisionsloggen for handlinger i perioden: læste og sendte mails, hentede filer, ændringer.
- ☐ VPN- og firewall-logs, hvis adgangen er sket via netværket. → Firewall-, VPN- og loginlogs
- ☐ Logs fra fagsystemet, hvis adgangen er sket der. Spørg leverandøren, hvis I ikke selv kan hente dem.
- ☐ Indstillinger i postkassen: videresendelsesregler, delegeringer og forbundne apps.
Eksportér loggene til filer, og notér dato, klokkeslæt og hvem der gjorde det. Et skærmbillede er bedre end ingenting, men en eksport fra systemet er stærkere.
Trin 2: forstå, hvordan adgangen var mulig
Det er vigtigt at vide, hvorfor adgangen stadig fungerede. Typiske forklaringer:
- Kontoen blev aldrig spærret · En fejl i offboardingen
- Koden blev skiftet, men sessioner kørte videre · Telefonen eller appen var stadig logget ind
- En fælles kode blev ikke skiftet · Adgangen sker via en konto, flere kender
- En app-adgangskode eller et token var udstedt · Adgang uden om det almindelige login
- En kollega har givet adgang · En anden problemstilling, der skal håndteres særskilt
Det sidste punkt er vigtigt. Hvis en tidligere medarbejder logger ind på en fælles konto, kan det være svært at bevise, hvem der gjorde hvad. → Delte logins og fælleskonti
Tokens og sessioner er en hyppig kilde til misforståelser. En ny adgangskode lukker ikke nødvendigvis en telefon, der allerede er logget ind. → Sessioner og tokens
Trin 3: luk adgangen korrekt
Når dokumentationen er gemt:
- Spær login til kontoen. Slet den ikke.
- Afslut alle sessioner, og fjern registrerede enheder.
- Tilbagekald app-adgangskoder, tokens og forbundne apps.
- Skift fælles koder, som medarbejderen kendte.
- Fjern videresendelsesregler og delegeringer, efter at de er dokumenteret.
- Notér klokkeslæt for hvert trin.
Tjek bagefter, at adgangen faktisk er lukket, ved at se på loginloggen i de følgende timer og dage. Mislykkede loginforsøg efter lukningen er også en oplysning, der skal gemmes. Aftal med IT, hvor længe der skal holdes øje, og hvem der får besked, hvis der kommer nye forsøg. Gem også det, der kommer ind i perioden, sammen med den første eksport.
Trin 4: vurdér, hvad der er sket
Først nu er det tid til at se på, hvad adgangen er brugt til. Det skal ske efter en afgrænset plan. Hvad er relevant: mails om bestemte kunder, filer fra bestemte mapper, ændringer i bestemte systemer? Gennemgangen skal tage hensyn til reglerne om persondata, også kollegers og kunders data. Tjek jeres IT-politik og eventuel overenskomst eller kontrolaftale.
Det er vigtigt at holde sig til fakta. At en telefon har hentet mail i to uger efter fratrædelsen, er ikke det samme som, at medarbejderen har læst mailene. En IT-sagkyndig kan ofte skelne mellem automatisk synkronisering og aktiv brug.
Hvem gør hvad
- IT · Dokumenterer, lukker og overvåger bagefter
- Leder · Beslutter næste skridt og inddrager advokat
- HR · Finder fratrædelsesdato, aftaler og tidligere korrespondance
- IT-sagkyndig · Sikrer og vurderer logs og sessioner uvildigt
- Advokat · Vurderer, om adgangen giver grundlag for krav
Det skal I lade være med
- Lad være med at lukke i panik uden at gemme loggene først, medmindre der sker skade lige nu.
- Lad være med at slette kontoen, fordi den “alligevel ikke skulle bruges”.
- Lad være med at skrive til den tidligere medarbejder og spørge, før I har dokumenteret og talt med advokaten.
- Lad være med at logge ind som den tidligere medarbejder for at se, hvad vedkommende har set. Det blander jeres handlinger med medarbejderens i loggen.
- Lad være med at konkludere for tidligt. Automatisk synkronisering og bevidst adgang ser ens ud for den utrænede.
Kan det være et brud på persondatasikkerheden?
Har den tidligere medarbejder haft adgang til persondata efter fratrædelsen, for eksempel kunders, patienters eller kollegers oplysninger, kan det være et brud på persondatasikkerheden. Det gælder også, selvom adgangen skete via en glemt telefon, og ingen har haft ond vilje. Bruddet skal vurderes, og der kan være en kort frist for at underrette Datatilsynet.
Inddrag den, der har ansvaret for persondata i virksomheden, så snart adgangen er opdaget. De logs, I har gemt i trin 1, er også grundlaget for den vurdering: hvilke data var tilgængelige, hvilke blev faktisk åbnet, og i hvilken periode. Jo bedre loggene er gemt, jo mere præcist kan I vurdere omfanget, og jo færre kunder skal måske orienteres unødigt.
Ret fejlen i offboardingen
Når sagen er håndteret, så find ud af, hvorfor adgangen ikke blev lukket. Var der en konto, der ikke stod på listen? En fælles kode, ingen skiftede? En telefon, der aldrig blev afleveret? Ret proceduren, og tjek andre fratrådte medarbejdere for samme fejl. Det sker ofte, at én opdagelse fører til flere.
Et login fra et ukendt land eller en ukendt enhed kan også være et tegn på, at kontoen er overtaget af andre. Det er en anden situation med en anden fremgangsmåde. → Login fra et ukendt land
Hvornår skal I have hjælp udefra?
Hvis adgangen kan have givet den tidligere medarbejder kundedata, priser eller andre forretningsdata, og der er en klausul eller en konflikt i forvejen, så lad en IT-sagkyndig sikre logs og sessioner, før de udløber. Fordi logs forsvinder efter en periode, er det ofte en hastesag. Hastesager koster ekstra. → Pris og tilbud hos Nielco IT
Læs også: Medarbejderen har slettet mails og filer: kan de findes igen? · Den fratrådtes mailboks: autosvar, videresendelse og opbevaring
→ Medarbejderen har taget data: hjælp til virksomheden · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
