En computer eller telefon, der har været en del af en sag, må tages i brug igen, når tre ting er på plads: der er lavet en forensisk kopi, som er kontrolleret og opbevares sikkert, eller det er besluttet, at udstyret ikke skal sikres; sagsejeren har givet skriftlig tilladelse efter råd fra advokaten; og det er dokumenteret, hvad der sker med udstyret. Indtil da står udstyret aflåst og urørt.
Spørgsmålet kommer typisk fra IT, ofte efter nogle uger eller måneder. Der mangler en bærbar til en ny medarbejder, og den gamle står i et skab. Det er en fornuftig bekymring. Men et udstyr, der er geninstalleret for tidligt, kan ikke undersøges igen, og det kan svække virksomhedens sag betydeligt.
Hvornår er udstyret frit?
Brug kriterierne nedenfor. Alle skal være opfyldt.
- ☐ Sikring: Der er lavet en forensisk kopi af udstyret, eller sagsejeren har skriftligt besluttet, at det ikke skal sikres.
- ☐ Kontrol: Den IT-sagkyndige har bekræftet, at kopien er fuldstændig og kan læses, og at kontrolværdierne stemmer.
- ☐ Opbevaring: Kopien opbevares sikkert, og det er aftalt hvor og hvor længe.
- ☐ Rådgivning: Advokaten har bekræftet, at der ikke er grund til at beholde selve udstyret.
- ☐ Andre sager: Udstyret er ikke omfattet af en anden sag eller bevarelse.
- ☐ Tilladelse: Sagsejeren har givet skriftlig tilladelse.
Kontrolværdier, også kaldet hashværdier, er det, der gør det muligt senere at vise, at kopien er identisk med det oprindelige udstyr. → Hvad er en forensisk kopi?
Hvorfor ikke bare tage en almindelig backup?
En almindelig backup eller en kopi af brugerens filer er ikke nok. Den tager kun de synlige filer med. Spor af slettede filer, USB-tilslutninger, programmer, der er kørt, og andre tekniske oplysninger forsvinder. Har I brug for at kunne svare på, hvad der skete på computeren, kræver det en forensisk kopi af hele lagermediet, lavet så den kan efterprøves.
Hvornår skal selve udstyret beholdes?
Nogle gange er en kopi ikke nok:
- når der er tvivl om, hvorvidt kopien er fuldstændig, fx på grund af kryptering,
- når modparten kan kræve at undersøge det oprindelige udstyr,
- når udstyret har fysiske spor, fx skader eller udskiftede dele,
- når telefonen ikke kan kopieres fuldt ud med de tilgængelige metoder.
Det er en vurdering, som advokaten og den IT-sagkyndige tager sammen. Bed dem om at skrive vurderingen kort ned, så I senere kan vise, hvorfor udstyret blev beholdt eller frigivet. Notér også, hvor udstyret står, hvem der har nøglen, og hvem der har haft adgang til det siden afleveringen. Er der tvivl, så behold udstyret, indtil sagen er afsluttet. En bærbar computer koster mindre end en tabt sag.
Den rigtige rækkefølge
- Sikring: Den IT-sagkyndige laver en forensisk kopi og kontrollerer den.
- Kvittering: Udstyret og kopien registreres i loggen med dato og kontrolværdier.
- Beslutning: Sagsejeren beslutter efter råd fra advokaten, at udstyret kan frigives.
- Dokumentation: Beslutningen skrives i beslutningsloggen.
- Sletning: IT sletter udstyret sikkert efter den normale procedure.
- Genbrug: Udstyret registreres til ny bruger, med en ny udleveringskvittering.
→ Skabelon: kvittering for udlevering og aflevering af udstyr
Hvem gør hvad?
- IT · Opbevarer udstyret, sletter og genbruger efter tilladelse
- IT-sagkyndig · Laver og kontrollerer den forensiske kopi
- Advokat · Vurderer, om udstyret skal beholdes
- Sagsejer · Giver skriftlig tilladelse
- HR · Opdaterer kvitteringer og personalesag
Det skal I lade være med
- “Vi tager lige brugerens filer, så kan den geninstalleres” · Tekniske spor forsvinder
- “Den har stået i tre måneder, det er nok” · Tid er ikke et kriterium
- “Kopien er lavet, så er det fint” · Den skal også være kontrolleret og opbevaret
- “IT bestemmer selv over udstyret” · Beslutningen hører til sagsejeren
- “Vi sælger den bare” · Udstyret og data er ude af jeres kontrol
Når der ikke er lavet en kopi
Har I besluttet ikke at sikre udstyret, fx fordi mistanken er afvist, så skriv det ned. Skriv, hvem der besluttede det, hvornår og hvorfor. Overvej, om det er en god idé at beholde udstyret i en periode alligevel. En kort karantæne koster lidt og giver mulighed for at fortryde, hvis der dukker noget op. → Karantæne for udstyr fra fratrådte medarbejdere
Sikker sletning før genbrug
Når udstyret er frigivet, skal det slettes, før det får en ny bruger. Det er ikke nok at slette brugerens profil eller lægge filerne i papirkurven. Brug den normale procedure for sikker sletning, fx en nulstilling af en krypteret disk eller producentens værktøj til at slette lagermediet. Skriv i loggen, hvilken metode der blev brugt, og hvornår.
Det er vigtigt af to grunde. Den nye bruger skal ikke kunne se den tidligere brugers data. Og virksomheden skal kunne vise, at data om en medarbejder ikke er spredt videre, efter sagen er slut.
Telefoner
Telefoner er særlige. De indeholder ofte både arbejdsdata og private data, og de kan være knyttet til en privat konto, fx et Apple-ID. Før telefonen kan genbruges, skal den fjernes fra den gamle brugers konto. Det kan kræve medarbejderens medvirken. Gør det ikke ved at nulstille telefonen, før den er sikret, og gør det ikke ved at gætte adgangskoden.
Hvis udstyret allerede er taget i brug
Det sker, at udstyret allerede er geninstalleret og givet til en ny medarbejder, før nogen tænkte på sagen. Stop brugen med det samme, og skriv ned, hvad der er sket: hvornår udstyret blev geninstalleret, af hvem og med hvilken metode, og hvem der har brugt det siden. Der kan stadig være spor tilbage, men chancen bliver mindre for hver dag, udstyret bruges. En IT-sagkyndig kan vurdere, om det giver mening at sikre det alligevel, og hvilke andre kilder der kan erstatte det, fx revisionslog, backup eller data i cloud.
Udstyr, der sendes til leverandøren
Skal udstyret retur til en leasingvirksomhed eller en leverandør, gælder det samme: Ingen returnering, før sikringen er på plads, og sagsejeren har givet tilladelse. Tal med leverandøren om at forlænge leasingperioden, hvis det er nødvendigt. Skriv det ned.
Når udstyret er frigivet
Skriv i loggen, at udstyret er frigivet, og hvornår. Opbevar den forensiske kopi efter opbevaringsplanen. Når den ikke længere er nødvendig, slettes den dokumenteret. → Ophæv bevarelsen igen
Kort sagt
Udstyr tages først i brug igen, når der er en kontrolleret forensisk kopi, eller en skriftlig beslutning om ikke at sikre, og sagsejeren har givet tilladelse efter råd fra advokaten. Tid alene er ikke et kriterium. Dokumentér hvert skridt. Er I i tvivl, så behold udstyret lidt længere.
Læs også: Ophæv bevarelsen igen: hvornår må normal sletning genoptages? · Gør det sværere næste gang: forebyggelse efter en datasag
→ Sådan foregår et forløb for en virksomhed · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
