Kan I se, om en medarbejder har kopieret filer til en USB-nøgle? Ofte kan I se, at en bestemt USB-nøgle har været sat i computeren, og hvornår. Om der blev kopieret filer, og hvilke, er sværere. Det afhænger af, hvad computeren selv har gemt, og om I har en løsning, der logger filkopiering. Har I ingen logning og ingen politik, er computeren det vigtigste spor, og den skal sikres, før den bruges igen.
Artiklen er til IT-ansvarlige og ledere. Den handler om to ting: hvad I kan finde, når mistanken er opstået, og hvad I kan sætte op, så I står bedre næste gang.
Hvad Windows efterlader
Windows registrerer en del om de USB-enheder, der har været tilsluttet. Det er spor, som styresystemet gemmer for at kunne genkende enheden næste gang. Typisk kan en IT-sagkyndig finde:
- hvilke USB-enheder der har været tilsluttet, ofte med producent, model og serienummer,
- hvornår en enhed første gang og sidst blev tilsluttet,
- hvilket drevbogstav enheden fik,
- spor af filer og mapper, der blev åbnet fra enheden, for eksempel genveje og lister over senest brugte filer.
Det, Windows normalt ikke gemmer, er en fuld liste over filer, der blev kopieret til enheden. Den slags spor kan nogle gange stykkes sammen af andre oplysninger, men det kræver en grundig undersøgelse, og svaret er ikke altid entydigt.
→ USB-nøgler og eksterne diske som bevis
Mange af sporene ændres eller overskrives, når computeren bruges. Derfor er computeren selv det vigtigste, når der er mistanke. Den skal tages ud af brug og sikres, ikke undersøges af jeres egen IT.
Hvad endpoint-løsninger kan logge
Har I en løsning til sikkerhed på computerne, for eksempel en EDR- eller DLP-løsning, kan den ofte logge mere end Windows. Afhængig af produkt og licens kan den:
- registrere, når en USB-enhed tilsluttes, og hvilken bruger der var logget ind,
- logge, når filer skrives til en flytbar enhed,
- blokere USB-lagring helt eller tillade kun godkendte enheder,
- sende en advarsel, når mange filer kopieres på kort tid.
Det er vigtigt at vide, om funktionerne faktisk er slået til. En licens, der kan logge filkopiering, gør det ikke nødvendigvis som standard. Loggen gemmes også kun i en vis periode, før den slettes.
Spørg derfor IT-leverandøren:
- ☐ Logger vi, når USB-enheder tilsluttes?
- ☐ Logger vi, når filer kopieres til en USB-enhed?
- ☐ Hvor længe gemmes loggen?
- ☐ Hvem kan hente den, og hvor hurtigt?
→ Minimumslogning: hvad bør være slået til, før noget sker?
Hvad gør I nu, hvis der er mistanke?
- Tag computeren ud af brug. Lad den ikke blive geninstalleret eller givet videre. Sluk den ikke uden råd fra en sagkyndig, hvis den er tændt og låst.
- Hent loggen fra sikkerhedsløsningen. Har I en, så bed IT eksportere loggen for den relevante bruger og computer, før den udløber. Notér, hvornår det skete.
- Find USB-nøglerne. Har virksomheden udleveret USB-nøgler eller eksterne diske, så bed om at få dem tilbage, og opbevar dem urørt.
- Skriv ned, hvad I ved. Hvornår opstod mistanken, og hvad bygger den på?
- Få computeren sikret. En IT-sagkyndig laver en forensisk kopi og undersøger sporene i kopien.
USB er kun én af vejene. Filer kan også være sendt til en privat mail eller lagt i en privat cloud. → USB, privat mail eller cloud: de tre veje, data forlader virksomheden
Det skal I lade være med
- Sætte USB-nøglen i en anden computer for at se, hvad der er på den. Det ændrer spor på begge enheder. Lad den sagkyndige gøre det med udstyr, der ikke skriver til nøglen.
- Lade IT søge rundt i computeren. Søgninger og åbninger ændrer netop de spor, der skal bruges.
- Konkludere for hurtigt. At en nøgle har været tilsluttet, betyder ikke, at der er kopieret noget fortroligt. Den kan have været brugt til en præsentation.
- Slå ny logning til i det stille for at fange medarbejderen. Nye kontrolforanstaltninger skal normalt varsles.
En enkel USB-politik
En god politik er kort, og medarbejderne kan huske den. Den kan lyde sådan:
- Virksomhedens data må kun kopieres til USB-enheder, som virksomheden har udleveret.
- Private USB-nøgler og diske må ikke bruges på arbejdscomputere.
- Virksomheden logger, når USB-enheder tilsluttes, og når filer kopieres til dem. Loggen bruges til sikkerhed og til at undersøge konkrete hændelser.
- Udleverede USB-enheder afleveres ved fratrædelse sammen med computeren.
- Har man brug for at dele store filer med en kunde, bruges den løsning, IT har anvist.
Politikken skal passe til jeres virksomhed. Har I medarbejdere, der arbejder med maskiner eller udstyr, som kun kan opdateres via USB, skal det med. Er der en kontrolaftale eller en overenskomst, skal politikken passe til den. Orientér medarbejderne skriftligt, og gem dokumentationen for, at det er sket. → IT-politik og orientering af medarbejdere
Registrér de USB-enheder, I udleverer
Politikken bliver langt mere nyttig, hvis I ved, hvilke enheder I selv har udleveret. Skriv serienummer, model og modtager ned, når en medarbejder får en USB-nøgle eller en ekstern disk. Det tager et minut.
I en sag kan den liste gøre en stor forskel. Viser sporene på computeren, at en enhed med et bestemt serienummer har været tilsluttet, kan I se, om det var en af jeres egne. Var det ikke, har medarbejderen brugt en privat enhed, og det er et vigtigt faktum for advokaten. Var det en af jeres, ved I, hvem der skal aflevere den.
Blokér eller log?
Nogle virksomheder vælger at blokere USB-lagring helt. Det er enkelt og mindsker risikoen, men det er upraktisk for medarbejdere, der har et reelt behov. Andre vælger kun at logge. Det giver spor, men forhindrer ikke noget.
For mange små og mellemstore virksomheder er en mellemvej god: Blokér private enheder, tillad godkendte enheder, og log al kopiering. Så er hverdagen nem, og I har spor, hvis noget sker. Hvilken løsning der passer, er en beslutning for ledelsen sammen med IT, ikke kun for IT.
Hvem gør hvad?
- Ledelse · Beslutter politikken og om der skal blokeres
- IT · Sætter logning op og kender loggens levetid
- HR · Orienterer medarbejderne og gemmer dokumentationen
- IT-sagkyndig · Sikrer computer og USB-enheder ved mistanke
Hvornår skal I have hjælp udefra?
Når der er en konkret mistanke, og især hvis den kan ende i en tvist om forretningshemmeligheder eller konkurrence. En uvildig IT-sagkyndig kan sikre computeren, læse sporene og beskrive, hvad de viser, og hvad de ikke viser. Nielco IT sælger ikke sikkerhedsløsninger og kan derfor også give en uafhængig vurdering af, hvad jeres nuværende logning dækker.
Læs også: Karantæne for udstyr fra fratrådte medarbejdere · Udskrifter af kundelister: printstyring og udskriftslog
→ Undersøgelse af en medarbejders computer · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
