For IT-afdelingen

Når noget er gået galt, er det IT-afdelingen, der har nøglerne, adgangene og overblikket. Ledelsen spørger, hvad der er sket, HR vil vide, om en medarbejder har taget data med, og advokaten vil vide, om der er beviser. Det, IT gør i de første timer og dage, afgør, om sporene stadig er der, når spørgsmålene skal besvares. Siden her samler det, en IT-afdeling har brug for: hvad I selv kan og bør gøre, hvor grænsen går, og hvordan samarbejdet med en uvildig IT-sagkyndig foregår.

Typiske situationer

En medarbejder har opsagt sin stilling, og der er mistanke om, at kundelister eller dokumenter er kopieret.
En postkasse er overtaget, og der er sendt falske betalingsanmodninger.
En administrator eller IT-leverandør har haft for vide rettigheder, og ledelsen vil vide, hvad der er brugt.
Et dokument er fremlagt i en tvist, og ægtheden bliver bestridt.
En maskine skal geninstalleres eller udskiftes, men kan rumme spor i en verserende sag.

Det kan I selv

Stoppe sletning. Sæt hold på postkasser og konti, udsæt nedlukning af fratrådtes konti, og stop geninstallation af maskiner.
Eksportere logs, der roterer. Loginlogs, auditlogs, firewall og VPN har begrænset levetid. Eksportér dem med dokumentation af hvem, hvornår og hvordan.
Isolere i stedet for at slukke. Tag en mistænkt maskine af netværket, men lad den køre, til det er besluttet, om hukommelsen skal sikres.
Føre handlingslog. Notér hvert indgreb med tidspunkt, system og person. Brug skabelonen til handlingslog.
Kortlægge datakilderne. Hvilke systemer, logs og konti berører sagen, og hvor længe gemmes data. Det tekniske datakort giver strukturen.

Her skal en uvildig ind

Når sagen kan ende i en tvist, og jeres egen rolle kan blive draget i tvivl, fordi IT administrerer de systemer, der undersøges.
Når en hel computer eller telefon skal sikres forensisk, så kopien kan verificeres og forsvares.
Når undersøgelsen handler om en kollega i IT eller om en leverandør, I arbejder tæt sammen med.
Når konklusionen skal kunne stå alene over for en modparts sagkyndige.

Rollefordeling

IT bevarer, isolerer og stiller adgange til rådighed. Den uvildige sikrer, verificerer og analyserer, og dokumenterer kæden af ansvar fra første kopi. Ledelsen eller advokaten formulerer spørgsmålene og ejer sagen. Den tekniske gang i et forløb, herunder hvad I skal have klar, står på Når I ringer. Skal sikringen ske på afstand, beskriver Fjernsikring: forberedelse, hvilke adgange der skal oprettes.

Har I brug for en vurdering af metode, rækkefølge eller dokumentation uden at bestille en hel undersøgelse, er teknisk sparring mellemvejen: I gør selv arbejdet, og en uvildig vurderer, om det holder. Vil I være forberedt, før noget sker, giver en beredskabsaftale et fast kontaktpunkt, konflikttjek på forhånd og kendskab til jeres systemer.

Hvem I taler med

Nielco IT er John Nielsen, uvildig IT-sagkyndig og selvstændig siden 2009, med mere end 30 års erfaring med IT-sikkerhed. Der sælges ingen produkter, og der er ingen leverandørpartnerskaber. John har været IT-sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol. Fortrolighedsaftale underskrives på forespørgsel, og arbejdet er omfattet af tavshedspligt.

Start her

Ring 70 13 63 23, hvis I står med en sag nu.

Skabeloner

Handlingslog under en hændelse Hvem gjorde hvad på hvilket system.
Sikringsrapport Kort rapport, IT selv kan udfylde ved en akut sikring.

Brug for en uvildig forensic-undersøgelse?

Digital forensics-undersøgelse Hvad en undersøgelse indeholder, og hvad I får.
Forensisk sikring Når data skal sikres nu og undersøges senere. Hastesager koster ekstra.
Second opinion på en teknisk rapport Gennemgang af metode, hash, tidszoner og konklusioner.
Kontakt Ring 70 13 63 23. Fortrolighedsaftale på forespørgsel; arbejdet er omfattet af tavshedspligt.

Afgrænsning

Siden handler om civile sager, interne undersøgelser og udenretlige tvister. Der gives ingen vejledning i at omgå sikkerhed eller skaffe sig adgang til andres enheder og konti. Læs mere: Afgrænsning.