Når data forlader en virksomhed uden lov, sker det i de fleste tilfælde ad en af tre veje: en USB-nøgle eller ekstern disk, en mail til en privat adresse eller en upload til en cloudtjeneste som Dropbox, Google Drive eller WeTransfer. Hver vej efterlader sine egne spor, og hver har sine egne faldgruber. Kender ledelsen de tre veje, er det lettere at stille de rigtige spørgsmål og undgå at ødelægge sporene.
Denne artikel er et overblik. Den linker videre til de konkrete situationer.
Vej 1: USB-nøgle eller ekstern disk
Den klassiske vej. En medarbejder sætter en USB-nøgle i arbejdscomputeren, kopierer filer og tager nøglen med hjem.
Spor: Windows og macOS registrerer typisk, at en USB-enhed har været tilsluttet, ofte med enhedens navn og serienummer og tidspunkter. Computeren kan også have spor af, hvilke filer og mapper der er åbnet fra enheden. Har I et værktøj til styring af USB eller beskyttelse mod datalæk, kan det have mere detaljerede logs.
Faldgruber: Sporene ligger på computeren og kan overskrives, når den bruges. Sætter IT selv en USB-nøgle i for at kopiere noget ud, blandes den med sporene.
Hvad I ikke kan se: Hvad der skete med filerne efter, at nøglen forlod bygningen.
→ USB-nøgler og eksterne diske som bevis
Vej 2: Mail til en privat adresse
En medarbejder videresender mails eller vedhæftninger til en privat Gmail- eller Hotmail-adresse. Det kan ske en ad gangen eller automatisk via en videresendelsesregel.
Spor: Mailsystemet gemmer som regel, at mailen er sendt, til hvem og hvornår. Microsoft 365 og Google Workspace har meddelelsessporing, der kan vise afsendte mails i en periode. Selve mailen ligger typisk i “Sendt post”, medmindre den er slettet. Videresendelsesregler kan ses i postkassens indstillinger.
Faldgruber: Meddelelsessporingen gemmer kun i en begrænset periode, og slettede mails forsvinder endeligt efter en tid, medmindre der er sat bevarelse på. Tjek perioderne i jeres opsætning.
Hvad I ikke kan se: Hvad der skete med mailen i den private postkasse.
→ Medarbejderen har sendt filer til sin private mail
Vej 3: Upload til en cloudtjeneste
En medarbejder uploader filer til en privat Dropbox, Google Drive eller iCloud, eller sender dem med WeTransfer eller en lignende tjeneste. Det kan også ske via en synkroniseringsapp, der er installeret på arbejdscomputeren.
Spor: Afhænger meget af jeres opsætning. Browserhistorik og installerede programmer på computeren kan vise, at en tjeneste er brugt. Firewall og netværkslogs kan vise, at der er sendt store mængder data til en bestemt tjeneste. Deling fra jeres egen OneDrive eller SharePoint til private adresser kan ses i revisionsloggen.
Faldgruber: Uden logning på netværket er sporene på computeren ofte de eneste. Mange virksomheder ved ikke, hvilke tjenester deres medarbejdere bruger.
Hvad I ikke kan se: Indholdet af den private cloudkonto.
→ WeTransfer og filoverførsler: kan man se, hvad der blev sendt?
De mindre almindelige veje
De tre veje dækker de fleste sager, men ikke alle. Data kan også forlade virksomheden på andre måder, som er værd at kende:
- Fotos af skærmen med en privat telefon. Efterlader næsten ingen spor i jeres systemer.
- Udskrifter. Printere og printstyring kan logge, hvem der har printet hvad.
- Synkronisering af arbejdsmail til privat telefon. Mails ligger så også på telefonen, uden at nogen har sendt dem.
- Eksport fra CRM eller fagsystemer til en fil, der derefter går ad en af de tre veje.
- Beskedtjenester som WhatsApp eller Messenger på arbejdscomputeren.
Det betyder ikke, at I skal lede efter alle veje i hver sag. Men når de tre almindelige veje ikke forklarer det, I ser, er det værd at spørge, om der er andre.
Det er også værd at huske, at en medarbejder sjældent bruger kun én vej. En kundeliste kan være eksporteret fra CRM, gemt lokalt og derefter sendt til en privat mail. Derfor skal sikringen omfatte både computeren, mailsystemet og de relevante logs, ikke kun det sted, hvor mistanken først opstod.
Fælles for de tre veje
Selvom vejene er forskellige, er reglerne for jer de samme:
- Bevar først. Tag computeren ud af brug, bed IT gemme loggen og slå bevarelse til på postkasse og OneDrive.
- Skriv ned, hvad I har set. Hvad gav mistanken, og hvornår?
- Lad være med at lede selv. Hvert login og hver søgning kan ændre spor.
- Tal med advokaten. Om, hvad I må undersøge, og hvordan I kommer videre med det, der ligger uden for jeres systemer.
- Få sporene sikret uvildigt. En IT-sagkyndig kan sikre og læse sporene, så de kan bruges.
Hvilke spor er stærkest?
- USB · Spor i jeres egne systemer: Computeren · Typisk styrke: God, hvis computeren er bevaret
- Privat mail · Spor i jeres egne systemer: Mailsystemet · Typisk styrke: God, hvis mailen og sporingen er bevaret
- Cloud · Spor i jeres egne systemer: Computer, netværk, revisionslog · Typisk styrke: Varierer meget
Tabellen er en tommelfingerregel. Et spor er kun stærkt, hvis det er sikret på en måde, der kan efterprøves, og hvis det kan sættes i sammenhæng med andre spor, for eksempel tidspunktet for opsigelsen. Hvor godt et spor er, afhænger af den konkrete sag, og hvor hurtigt I har handlet.
Hvem gør hvad?
Ledelsen beslutter at bevare og inddrager advokaten. Den samme leder ejer sagen fra start til slut, så beslutninger ikke falder mellem to stole. IT bevarer, men leder ikke, og skriver ned, hvad der er gjort og hvornår. HR samler kontrakter, IT-politik og fratrædelsesdokumenter. En uvildig IT-sagkyndig sikrer og læser sporene.
Det må I ikke gøre
- Konfrontere medarbejderen, før sporene er sikret. Så kan data på private enheder og konti nå at forsvinde.
- Skrive til den private mailadresse og bede om sletning. Det kan fjerne netop det, der skal bruges.
- Gennemgå medarbejderens private cloudkonto. Selv hvis den er logget ind på arbejdscomputeren, er det en privat konto.
- Overvåge medarbejderen uden grundlag. Kontrol skal ske efter reglerne, jeres IT-politik og en eventuel kontrolaftale.
Forebyg de tre veje
Det er umuligt at lukke alle veje, men det er muligt at gøre dem sværere og at sikre, at der er spor:
- ☐ Overvej at begrænse USB-lagring på arbejdscomputere og logge brugen.
- ☐ Blokér automatisk videresendelse til eksterne adresser.
- ☐ Begræns deling fra OneDrive og SharePoint til private adresser.
- ☐ Sørg for, at revisionsloggen er slået til og gemmes længe nok.
- ☐ Orientér medarbejderne om reglerne og om, at der logges.
Uanset hvilken vej data er gået, gælder det samme: jo tidligere I handler, jo flere spor er der tilbage. Har I mistanke, så start med overblikket over, hvad der kan ses.
→ Kan vi se, om en medarbejder har kopieret filer?
Læs også: Kan vi se, om en medarbejder har kopieret filer? · Medarbejderen har sendt filer til sin private mail
→ Undersøgelse af en medarbejders computer · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
