Når virksomheden har en mistanke, og data skal bevares, er det ofte den eksterne IT-leverandør, der har adgangene. Leverandøren skal i den første time gøre tre ting: stoppe alt, der kan slette, sikre logs, der er ved at udløbe, og skrive ned, hvad der er gjort. Leverandøren skal ikke undersøge, ikke rydde op og ikke konfrontere nogen.
Tjeklisten er lavet, så I kan sende den direkte til jeres driftsleverandør, når det sker. Endnu bedre: send den i dag, og bed leverandøren om at bekræfte, at de kan følge den. Så er det aftalt, før det haster. Hvad I kan kræve af leverandøren kontraktligt, står i en særskilt artikel. → Når IT-driften ligger hos en ekstern leverandør
Før I sender tjeklisten
Virksomheden skal gøre tre ting først:
- ☐ Beslutte, hvem der er sagsejer og må give instrukser til leverandøren.
- ☐ Finde ud af, om den tekniker, der normalt hjælper jer, har en relation til den, sagen handler om. Bed i så fald om en anden.
- ☐ Udfylde konti, udstyr og periode i tjeklisten.
Send tjeklisten skriftligt, men ring også. En mail til en fælles supportadresse kan ligge i timer. Brug et kodenavn i emnefeltet, og skriv ikke mistanken i mailen. Leverandøren behøver ikke at vide, hvad sagen handler om, for at kunne bevare data. Det er nok at vide, hvilke konti og hvilket udstyr der er omfattet, og hvem der giver instrukserne.
Tjeklisten til leverandøren
Sag: [kodenavn] Instruks fra: [navn, rolle, telefon] Konti: [brugernavne] Udstyr: [type, serienumre] Periode af interesse: [fra-til]
A. Stop sletning (minut 0-20)
- ☐ Stop automatisk sletning og opbevaringsregler for de nævnte postkasser, OneDrive eller Drev og chats.
- ☐ Sæt konti på hold eller tilsvarende bevarelse, hvis licensen tillader det. Notér, hvis den ikke gør.
- ☐ Stop planlagte job, der sletter eller deaktiverer brugere, fx ved fratræden.
- ☐ Sørg for, at backup for perioden ikke overskrives.
- ☐ Sørg for, at udstyret ikke fjernslettes, geninstalleres eller tildeles en anden bruger.
B. Sikr logs, der udløber (minut 20-40)
- ☐ Eksportér revisionslog og loginlog for kontiene for den længst mulige periode.
- ☐ Eksportér logs fra firewall, VPN og fjernadgang, hvis de findes.
- ☐ Notér, hvor længe hver log gemmes, og hvornår de ældste poster forsvinder.
- ☐ Gem eksporterne et sted med begrænset adgang, og beregn en kontrolværdi (hash), hvis I kan.
Logs i cloudtjenester gemmes ofte i en begrænset periode, afhængigt af tjeneste og licens. Det er derfor, de skal sikres først. → Hvor længe gemmes data i Microsoft 365, Google og på telefoner?
C. Skriv ned (løbende)
- ☐ Dato og klokkeslæt for hver handling.
- ☐ Hvem der udførte den.
- ☐ Hvilke værktøjer eller indstillinger der blev brugt.
- ☐ Hvad der ikke kunne lade sig gøre, og hvorfor.
- ☐ Hvad der allerede manglede, fx slettede konti eller udløbne logs.
Send notatet til sagsejeren, når første time er gået.
D. Det må leverandøren ikke
- ☐ Ikke åbne, læse eller søge i mails, filer eller chats.
- ☐ Ikke logge ind som brugeren.
- ☐ Ikke tænde slukket udstyr eller slukke tændt udstyr.
- ☐ Ikke nulstille adgangskoden, medmindre sagsejeren beslutter det.
- ☐ Ikke slette konti, licenser eller enheder.
- ☐ Ikke tale med brugeren eller andre medarbejdere om sagen.
Hvorfor leverandøren skal holde sig til at bevare
Leverandøren kender jeres systemer og er hurtig. Det er en stor fordel i den første time. Men leverandøren er ikke uvildig. Leverandøren har et kundeforhold til virksomheden og ofte en daglig relation til den medarbejder, sagen handler om. Hvis leverandøren begynder at undersøge, kan leverandøren blive vidne, og spor kan blive ændret. Undersøgelsen skal ligge hos en uvildig IT-sagkyndig. → Kan klientens egen IT-afdeling sikre beviserne?
Hvem gør hvad?
- Sagsejer · Giver instruks, modtager notat
- IT-leverandør · Bevarer, sikrer logs, dokumenterer
- IT-sagkyndig · Overtager sikring af udstyr og analyse
- Advokat · Vurderer omfang og næste skridt
Typiske situationer, hvor tjeklisten bruges
Tjeklisten passer til de fleste sager, hvor en medarbejders data skal bevares. Typiske eksempler:
- En sælger har sagt op, og ledelsen har mistanke om, at kundedata er sendt ud.
- En medarbejder er fritstillet, og kontoen skal lukkes, men data skal bevares.
- Økonomi har set betalinger, der ikke kan forklares, og der er brug for loginloggen.
- En kunde påstår, at en aftale er indgået pr. mail, og mailen skal findes og bevares.
Ved et cyberangreb gælder andre prioriteringer, fordi angrebet skal stoppes, og driften skal genoprettes. Her er det leverandørens beredskab mod angreb, der styrer, men også her er det vigtigt at sikre logs, før systemer nulstilles. → Bevissikring efter et cyberangreb
Hvis leverandøren ikke kan eller vil
Nogle leverandører har ikke adgang til at stoppe sletning, fordi tjenesten administreres af en anden. Andre vil kun handle på en skriftlig ordre fra den kontaktperson, der står i kontrakten. Er kontaktpersonen den, sagen handler om, har I et problem. Find ud af det nu, og få kontaktpersonen ændret, hvis det er nødvendigt.
Koster bistanden ekstra, så aftal rammen hurtigt. Bed om en skriftlig bekræftelse på opgaven, også selvom den kun er på et par linjer. Det er bedre end at vente på en ordrebekræftelse, mens loggen udløber.
Når udstyret er hos leverandøren
Står computeren på leverandørens værksted, eller har leverandøren fået telefonen ind til reparation, så skal den blive der, urørt, indtil den IT-sagkyndige overtager den. Bed leverandøren skrive ned, hvornår udstyret kom ind, i hvilken tilstand, og hvem der har haft det. Det er en del af kæden af ansvar. Er udstyret allerede sendt videre til en anden kunde eller til genbrug, så skriv det ned og find ud af, hvor det er.
Efter den første time
Når første time er gået, bør I have:
- ☐ skriftlig bekræftelse på, at sletning er stoppet,
- ☐ eksporterede logs med kontrolværdier,
- ☐ en liste over det, der manglede,
- ☐ udstyret i sikker opbevaring, urørt,
- ☐ en aftale om, hvem der overtager sikringen.
Den IT-sagkyndige bygger videre på leverandørens notat. Derfor er det vigtigt, at notatet er præcist, også om fejl og mangler. En ærlig beskrivelse af, at en log allerede var udløbet, er langt bedre end en beskrivelse, der senere viser sig at være ufuldstændig.
Aftal det på forhånd
Det bedste tidspunkt at sende tjeklisten er, før I får brug for den. Bed leverandøren om at gennemgå den, rette det, der ikke passer til jeres systemer, og bekræfte, hvem hos leverandøren der tager sig af den slags henvendelser. Skriv det ind i jeres kontaktliste. → Skabelon: kontaktliste til systemejere og leverandører
Kort sagt
Leverandøren skal i den første time stoppe sletning, sikre logs og skrive alt ned, men ikke undersøge. Send tjeklisten skriftligt og ring samtidig. Aftal det hele på forhånd, så det ikke er første gang, når det haster.
Læs også: Skabelon: IT-regler på én side for små virksomheder · Lommekort til lederhåndbogen: hvis vi får mistanke · Alle tjeklister og værktøjer
→ Beskriv jeres sag · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
