En teknisk undersøgelse af et dokument vurderer, om filens metadata, interne struktur og placering i filsystemet hænger sammen med den historie, dokumentet fortæller. Er en kontrakt skrevet på den dato, den bærer? Er en faktura ændret, efter den blev sendt? Er et billede redigeret? Svaret ligger sjældent i ét felt. Det ligger i, om mange uafhængige spor peger samme vej.

Vurderingen laves af en uvildig IT-sagkyndig uden bindinger til nogen leverandør af dokument- eller signaturløsninger, og dokumenterne behandles under tavshedspligt.

Situationen

Typiske anledninger er:

• modparten har fremlagt et dokument, der dukker op sent og passer lidt for godt,
• en faktura har fået et andet kontonummer, end den oprindelige havde,
• et referat, en tilbudsliste eller en kravspecifikation findes i flere versioner, og parterne er uenige om, hvilken der gjaldt,
• et billede eller en video er fremlagt som dokumentation for en tilstand eller en hændelse,
• en underskrevet PDF skal valideres.

Hvad der sikres, og hvordan

Det vigtigste er at få fat i den oprindelige fil, ikke en udskrift eller en kopi, der er sendt rundt. Hver gang en fil gemmes igen, mailes eller uploades, kan metadata ændres eller forsvinde. → Metadata, der forsvinder ved upload og deling

Undersøgelsen bygger på flere lag:

• Dokumentets egne metadata: forfatter, oprettelses- og ændringstid og redigeringstid i Office-filer, XMP og producentfelter i PDF, EXIF i billeder. → Metadata i Office-filer og Billedmetadata
• Filens interne struktur: revisioner, inkrementelle opdateringer, skjulte ark og indlejrede objekter. → Dokumentforfalskning i Office og PDF
• Filsystemets tidsstempler på den computer eller server, hvor filen er gemt, sammenholdt med dokumentets egne. → Tilbagedaterede dokumenter
• Versionshistorik i SharePoint, OneDrive og Google Drive. → Versionshistorik og delingslinks
• Mailspor: hvornår filen blev sendt, til hvem, og i hvilken version.
• Digitale signaturer og tidsstempler i PDF. → Digitale signaturer i PDF

Filerne sikres med hash, og analysen sker på kopier.

Det kan I gøre nu

• ☐ Find den oprindelige fil, og gem den uændret. Åbn den ikke for at rette eller gemme igen.
• ☐ Find den mail, filen kom med, og behold mailen med vedhæftning, ikke kun vedhæftningen.
• ☐ Notér, hvor filen ligger: hvilken computer, hvilket drev, hvilken SharePoint-mappe.
• ☐ Bed IT om ikke at rydde op i versionshistorik, papirkurv eller gamle backups.
• ☐ Skriv ned, hvem der har haft filen, og hvornår, så vidt det vides.

Jo tidligere den oprindelige fil og dens omgivelser sikres, jo flere uafhængige spor er der at sammenligne.

Hvad undersøgelsen kan vise

• om metadata og indhold er i indbyrdes overensstemmelse,
• om der er tegn på, at filen er ændret efter en bestemt dato,
• hvilken version der eksisterede hvornår, når versionshistorik eller mails findes,
• om et billede bærer tegn på redigering ud over metadata, → Redigerede billeder
• om en PDF-signatur er gyldig, og om dokumentet er ændret efter signering.

Hvad undersøgelsen ikke kan vise

Metadata kan ændres, også uden ond vilje: ved kopiering, konvertering, skabeloner eller forkert indstillede ure. Fravær af tegn på ændring er ikke bevis for, at intet er ændret. En dokumentundersøgelse ender derfor med en vurdering af, hvor stærkt sporene peger, ikke med et ja eller nej. → Hvad sker der med tidsstemplerne ved kopiering, zip, upload og mail? og Konklusionsgrader

Hvad I får

• En sikring af de relevante filer og deres kilder med hash og bevislog.
• En sammenstilling af metadata, struktur, filsystem og versioner.
• En rapport med fund, alternative forklaringer og en udtrykt sikkerhed i konklusionen.
• Mulighed for forklaring, hvis dokumentet bliver centralt i retten.

Hver fil registreres som i hash-loggen, og dens vej fra kilde til analyse som i bevisloggen.

Grundbegrebet er forklaret på Hvad er metadata?.

Samarbejde med jeres IT

Den oprindelige fil og dens omgivelser ligger som regel i systemer, jeres IT eller MSP administrerer: filserveren, SharePoint-versionerne, papirkurven på andet niveau og backupsættet. Bed dem om at sætte sletning og oprydning på pause og om at notere, hvem der har haft adgang til mappen. Er det uklart, om en enkelt fil er værd at undersøge, kan IT-afdelingen få en hurtig vurdering via teknisk sparring, før der bestilles en egentlig undersøgelse.

Prisniveau

Siden indeholder ingen beløb. Prisen afhænger af:

• antal filer og versioner, der skal sammenlignes,
• adgang til originalfiler og de systemer, de lå i,
• om filsystem, mailserver og cloud skal med i sammenligningen,
• tidspres, da hastesager koster ekstra,
• rapportform og eventuel forklaring for retten.

Se, hvordan opgaverne prissættes, på nielcoit.dk/priser.

Hvem vurderer dokumentet

Bag Nielco IT står John Nielsen, selvstændig fra 2009 og med en IT-sikkerhedskarriere på mere end 30 år. John Nielsen har selv været IT-sagkyndig ved UPC (Den Fælles Europæiske Patentdomstol) og i danske retskredse. Nielco IT sælger ingen produkter og tager opgaver i hele landet.

Fortrolighed

Kontrakter, tilbud og fakturaer er forretningsfølsomme, og det samme er de mails, de er sendt med. Tavshedspligten gælder både originaler, kopier og analysenoter; kun domstolene kan kræve indsigt. En NDA underskrives gerne.

Afgrænsning

Dokumentundersøgelser laves, når parter er uenige i en civil sag, eller når virksomheden undersøger egne forhold. Politiets efterforskning ligger udenfor. Se afgrænsningen.

Har I et dokument, der skal vurderes, så ring 70 13 63 23. Ydelsen er beskrevet hos Nielco IT.