Undersøgelse af en medarbejders computer

Arbejdscomputeren er ofte den vigtigste kilde i en sag om en medarbejder. Den kan vise, hvilke filer der er åbnet, kopieret eller slettet, hvilke USB-enheder der har været sat i, hvilke tjenester der er brugt i browseren, og hvornår det skete. Men den kan også indeholde private oplysninger, som I ikke har ret til at se.

En undersøgelse af en medarbejders computer skal derfor gøres i en bestemt rækkefølge: først sikring, så en afklaring af, hvad I må, og først derefter en gennemgang, der er afgrænset til sagens spørgsmål.

Typiske anledninger

• En medarbejder har sagt op og skal til en konkurrent, og I vil vide, om kundedata er fulgt med.
• En kollega har set noget på skærmen, der ikke hører hjemme på en arbejdscomputer.
• Der er mistanke om bijob eller konkurrerende virksomhed i arbejdstiden.
• En medarbejder påstår at have afleveret et arbejde eller sendt en fil, som ingen kan finde.
• Computeren er afleveret nulstillet, og I vil vide, hvad der kan genskabes.

→ Kan vi se, om en medarbejder har kopieret filer?

Først: tag computeren ud af brug

Det vigtigste skridt sker, før nogen kigger. Computeren tages ud af rotation, mærkes og opbevares, så ingen bruger den. Den må ikke geninstalleres, opdateres eller logges ind på. Bed IT om at notere serienummer, hvem der har haft den, og hvornår den blev indleveret.

Er computeren stadig i brug hos medarbejderen, skal I overveje, hvordan og hvornår den kan hentes ind, uden at medarbejderen får mulighed for at rydde op. → Aflevering af computer og firmatelefon

Lad være med at “lige kigge” i overvågningsværktøjet, filhistorikken eller papirkurven. Hver handling efterlader nye spor og kan overskrive gamle. → Det må IT ikke gøre, før beviserne er sikret

Hvad må I?

Computeren tilhører virksomheden, men det betyder ikke, at alt på den er frit tilgængeligt for ledelsen. Det afhænger blandt andet af:

• hvad jeres IT-politik siger om privat brug og kontrol,
• om medarbejderne er orienteret om, at der kan ske kontrol,
• om der er en kontrolaftale eller overenskomst med regler om varsling,
• databeskyttelsesreglerne, der kræver et sagligt formål og en afgrænset behandling.

Reglerne og jeres aftaler skal tjekkes med jeres advokat i den konkrete sag. → Hvad må arbejdsgiveren kontrollere? og IT-politik og orientering af medarbejdere

En god tommelfingerregel: sikringen kan ofte ske straks, fordi den ikke indebærer, at nogen læser noget. Gennemgangen er det, der kræver et grundlag.

Hvad en undersøgelse kan vise

En forensisk sikring er en fuld kopi af computerens lager, lavet så originalen ikke ændres. Fra kopien kan en IT-sagkyndig typisk undersøge:

• Filaktivitet: hvilke dokumenter der er oprettet, åbnet, ændret eller slettet, og hvornår.
• Eksterne enheder: hvilke USB-nøgler og diske der har været tilsluttet.
• Cloud og browser: brug af private lagre, webmail og filoverførselstjenester.
• Synkronisering: om OneDrive, Google Drive eller Dropbox har sendt filer et andet sted hen.
• Sletning og nulstilling: om der er ryddet op, og hvad der i givet fald kan genskabes.
• Tidslinje: en samlet oversigt over aktivitet i den periode, sagen handler om.

Hvad der faktisk kan findes, afhænger af styresystem, kryptering, opsætning og hvor lang tid der er gået. Et ærligt svar på forhånd er en del af opgaven. → USB, privat mail eller cloud: de tre veje, data forlader virksomheden

Computeren er ikke hele billedet

Meget af det, der sker på en arbejdscomputer i dag, sker i skyen. En fil kan være delt fra OneDrive uden at have været på disken. En mail kan være sendt fra telefonen. Derfor bør undersøgelsen af computeren som regel ses sammen med postkassen, cloudlagrene og firmatelefonen. → Gennemgang af en medarbejders mailkonto og Undersøgelse af firmatelefonen

Private data

Næsten alle arbejdscomputere indeholder noget privat: billeder, netbank, beskeder til familien. En professionel undersøgelse håndterer det ved at afgrænse søgningen på forhånd og ved at have en aftalt procedure for, hvad der sker, hvis private data dukker op. Den IT-sagkyndige rapporterer kun det, der er relevant for sagen. → Mappen hedder “Privat”

Hvad I får

Resultatet er en rapport, der beskriver sikringen, metoden og fundene. Den skelner mellem, hvad data viser, og hvad der ikke kan konkluderes. Den er skrevet, så ledelsen kan forstå den, og så en advokat kan bruge den, hvis sagen går videre. → Hvad får I ud af en IT-undersøgelse?

Hvad påvirker prisen?

Der står ingen beløb her, fordi prisen afhænger af sagen. Det, der især påvirker den, er:

• hvor mange medarbejdere og computere der er med,
• om telefon, postkasse og cloudkonti også skal sikres,
• hvor lang en periode der skal undersøges,
• hvor mange kilder der skal ses sammen,
• om det haster,
• hvilken form rapporten skal have,
• om den IT-sagkyndige skal forklare sig i retten.

I kan nøjes med en sikring nu og beslutte senere, om der skal undersøges. Sikringen bevarer sporene, og gennemgangen kan vente, til I har afklaret, hvad I må. Se, hvordan Nielco IT prissætter opgaverne og Dækker forsikringen bevissikring og en IT-undersøgelse?

Hvem der laver undersøgelsen

Nielco IT er John Nielsen, uvildig IT-sagkyndig med retssagserfaring. Nielco IT sælger ingen produkter og har ingen bindinger til IT-leverandører. Opgaver tages i hele landet, og i akutte sager kan John Nielsen være hos jer inden for få timer. Hastesager koster ekstra. Se, hvordan Nielco IT prissætter opgaverne.

Afgrænsning

Undersøgelser af medarbejderes computere udføres i civile sager og interne undersøgelser, hvor virksomheden undersøger forhold i egen virksomhed. Se afgrænsningen for, hvad Nielco IT ikke påtager sig.

Ring 70 13 63 23, eller læs om digital bevissikring hos Nielco IT.