Nogle gange kan det ses, hvad en medarbejder har sendt med WeTransfer eller en lignende tjeneste, men sjældent direkte. Tjenesten ligger uden for jeres systemer, og overførslen udløber efter en periode. Til gengæld efterlader en overførsel ofte spor i jeres egne systemer: kvitteringsmails i postkassen, besøg i browserens historik, forbindelser i firewallens log og filer, der blev pakket eller samlet på computeren. Samlet kan sporene ofte vise, at noget blev sendt, hvornår og nogle gange hvad.
Artiklen er til IT og ledere, der har en mistanke om, at filer er sendt ud af huset via en filoverførselstjeneste. Den handler om, hvor sporene typisk er, og hvad I skal gøre, før de forsvinder.
Hvorfor filoverførsel er en typisk vej ud
Filoverførselstjenester er lavet til at sende store filer hurtigt. De bruges dagligt i mange virksomheder til at sende tegninger, billeder og materiale til kunder. Netop derfor er de også en nem vej til at flytte store mængder data ud, for eksempel kundelister, tilbud, tegninger eller kildekode, uden at det ser usædvanligt ud.
En medarbejder, der skal starte hos en konkurrent, kan sende filer til sig selv med en sådan tjeneste i de sidste dage. Det er ikke nødvendigvis illoyalt. Det kan også være private filer. Men det er et spor, der er værd at sikre. → USB, privat mail eller cloud: de tre veje
Hvor sporene typisk er
Kvitteringsmails
Mange tjenester sender en mail til afsenderen, når en overførsel er sendt, og igen, når den er hentet. Mailen kan indeholde filnavne, modtagerens adresse og tidspunkter. Hvis medarbejderen brugte sin arbejdsmail som afsender, ligger kvitteringerne i arbejdspostkassen, medmindre de er slettet. Er de slettet, kan de stadig findes i en periode, eller være bevaret af et hold.
Browserens historik
Computerens browser gemmer typisk, hvilke sider der er besøgt, og hvornår. Et besøg på en filoverførselstjeneste i de sidste dage før en fratrædelse er et spor. Det viser ikke, hvad der blev sendt, men det kan understøtte andre spor.
Firewall, proxy og DNS-log
Netværksudstyret kan registrere, at en computer har forbundet sig til en filoverførselstjeneste, og i nogle tilfælde hvor meget data der blev sendt. Indholdet kan typisk ikke ses, fordi forbindelsen er krypteret. Loggene gemmes ofte kun i kort tid. → Firewall-, VPN- og loginlogs
Computeren
På computeren kan der være spor af, at filer blev samlet, pakket eller åbnet lige før overførslen: nyligt åbnede filer, zip-filer, mapper med kopier og lignende. Det kræver en forensisk undersøgelse at finde dem på en måde, der kan bruges. → Kan vi se, om en medarbejder har kopieret filer?
Cloudlogs
Hvis filerne blev hentet fra OneDrive, SharePoint eller Google Drev før overførslen, kan revisionsloggen vise downloads. Sammen med et tidspunkt for et besøg på en overførselstjeneste kan det give et billede af forløbet.
Hvad der typisk ikke kan ses
- Hvad var indholdet af filerne? · Sjældent direkte. Filnavne kan stå i kvitteringen.
- Hvem hentede filerne? · Kvitteringen viser måske, at de blev hentet, ikke af hvem.
- Findes overførslen stadig? · Ofte ikke. Overførsler udløber typisk efter få dage.
- Brugte medarbejderen en privat konto? · Så ligger kvitteringerne i den private mail, som I ikke har adgang til.
Vær ærlige over for advokaten om, hvad sporene viser. At en computer har forbundet sig til en tjeneste, er ikke det samme som at fortrolige filer er sendt.
Hvad I gør nu, i rækkefølge
- Bevar postkassen. Bed IT sætte et hold på medarbejderens postkasse, så kvitteringer ikke kan slettes.
- Sikr netværkslogs. Bed IT eksportere firewall-, proxy- og DNS-log for den relevante periode, før de overskrives. → Logfiler og logrotation
- Tag computeren ud af brug. Den må ikke geninstalleres eller gives videre. Lad være med at åbne browserhistorikken selv.
- Sikr cloudlogs for downloads i perioden.
- Skriv ned, hvad der har givet mistanke, og hvornår.
- Ring til en IT-sagkyndig, hvis det kan blive en sag.
Sådan hænger sporene sammen
Ingen af sporene er stærke alene. Styrken kommer, når de passer sammen i tid. Et typisk forløb, som sporene kan vise, kunne se sådan ud: En medarbejder henter en række filer fra SharePoint om eftermiddagen. Kort efter pakkes de i en zip-fil på computeren. Få minutter senere besøger browseren en filoverførselstjeneste, firewallen registrerer en stor udgående datamængde, og der kommer en kvitteringsmail i postkassen. Næste dag kommer en mail om, at filerne er hentet.
Hvert enkelt led kan have en uskyldig forklaring. Men når de følger hinanden i tid, giver de et billede, som advokaten kan bruge til at vurdere sagen. Derfor er det vigtigt, at alle spor sikres, også dem, der virker små. Og at tidspunkterne kan sammenholdes, fordi klokken på computer, server og firewall kan gå forskelligt. Det er en af grundene til, at det er en opgave for en sagkyndig.
Hvis modtageren er kendt
Viser kvitteringen, at filerne blev sendt til en bestemt adresse, for eksempel en privat mail eller en adresse hos en konkurrent, er det et vigtigt oplysningspunkt for advokaten. Kontakt ikke selv modtageren. Det kan advare og føre til, at filerne slettes eller spredes. Lad advokaten vurdere, om og hvordan modtageren skal kontaktes. → Medarbejderen har sendt filer til sin private mail
Medarbejdernes rettigheder
At gennemgå en medarbejders mails og browserhistorik kræver et sagligt formål og orientering i jeres IT-politik. Det gælder også, når der er mistanke. Tjek reglerne og eventuel kontrolaftale eller overenskomst, og lad gennemgangen være afgrænset til det, sagen handler om. → Browserhistorik: må vi?
Forebyg
- ☐ Beslut, om filoverførselstjenester må bruges, og i givet fald hvilken.
- ☐ Brug gerne en tjeneste, som virksomheden har en konto hos, så overførsler kan ses centralt.
- ☐ Overvej at begrænse adgangen til andre tjenester i firewallen.
- ☐ Sørg for, at netværkslogs gemmes længe nok til at være nyttige.
- ☐ Skriv i IT-politikken, hvordan store filer sendes til kunder.
Hvem gør hvad
- Leder · Beskriver mistanken og beslutter, om der skal undersøges
- IT · Bevarer postkasse, logs og computer, uden at undersøge selv
- HR · Tjekker IT-politik og orientering
- IT-sagkyndig · Sikrer og samler sporene til et forløb
Det skal I lade være med
- At åbne computerens browser for at se historikken. Det ændrer spor.
- At bede medarbejderen vise sine overførsler. Det advarer og kan føre til sletning.
- At konkludere ud fra ét spor. Et besøg på en tjeneste beviser ikke, hvad der blev sendt.
- At vente. Overførsler udløber, logs overskrives, og mails kan slettes.
Hvornår skal I have hjælp udefra
Få en IT-sagkyndig ind, når der er konkret mistanke om, at fortrolige filer er sendt ud, og det kan blive en sag om forretningshemmeligheder eller en konkurrenceklausul. En sagkyndig kan samle spor fra mail, computer, cloud og netværk til et forløb, der kan efterprøves.
Læs også: Skygge-IT: når data ligger i tjenester, IT ikke kender · Projektværktøjer: hvem gjorde hvad hvornår i Planner, Trello eller Asana?
→ Gennemgang af en medarbejders mailkonto · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
