For IT-revision og DPO'er

IT-revisoren og databeskyttelsesrådgiveren møder en forensic-undersøgelse fra hver sin vinkel. Revisoren spørger, om loggene og kontrollerne er til at stole på: Kan det vises, at en log ikke er ændret, at en audit trail er fuldstændig, og at en administrator ikke kunne skjule sine egne handlinger? DPO’en spørger, om undersøgelsen er nødvendig og afgrænset: Hvilke persondata berøres, hvem får adgang, og hvad sker der med kopierne bagefter? Begge spørgsmål er tekniske i deres kerne, og begge påvirker, om resultatet kan bruges.

Typiske situationer

Et persondatabrud skal afgrænses, og det skal fastlægges, hvilke registrerede der er berørt.
En audit trail i et ERP- eller CRM-system skal bruges som bevis, og fuldstændigheden bliver betvivlet.
En undersøgelse af en medarbejder kræver adgang til mail og filer, og indgrebet skal være proportionalt.
En administrator er mistænkt, og spørgsmålet er, om loggene kan være påvirket.
En leverandør skal dokumentere sit sikkerhedsniveau før en hændelse.
Den interne revision finder posteringer, der ikke passer i mønsteret, og skal afgøre, om det er en fejl eller noget, der kræver en undersøgelse.
Compliance skal vise, at logningen faktisk kan bære en undersøgelse, før der sker noget.

Intern revision og compliance

Intern revision og compliance arbejder tættere på forretningsdata end IT-revisionen. Spørgsmålet er sjældent, om en kontrol er designet rigtigt, men om et konkret udtræk, en postering eller en ændring kan forklares, og om det materiale, der ligger til grund, holder, hvis sagen vokser.

Fra stikprøve til bevis. En revisionshandling er bygget til at give rimelig sikkerhed, ikke til at kunne efterprøves af en modpart. Overgangen bør ske, før data bearbejdes yderligere. → Fra revisionsbevis til forensisk bevis
Journal entry testing. Test af manuelle posteringer, posteringer uden for normal arbejdstid og ændringer efter periodeafslutning kan give udtræk, der senere skal bruges som bevis. Det kræver, at udtrækket er dokumenteret med forespørgsel, tidspunkt og hashværdi. → Journal entry testing i forensisk kvalitet
Udtræk fra ERP. Et regneark eksporteret fra en brugergrænseflade mister ofte felter, brugeridentitet og ændringshistorik. Et udtræk til forensic accounting skal kunne genskabes og afstemmes mod kilden. → ERP-udtræk til forensic accounting
Forensic readiness. Compliance kan teste på forhånd, om logkilder, opbevaringstider og adgang til loggene rækker til en undersøgelse, i stedet for at opdage hullerne under en hændelse. → Forensic readiness-test

For DPO’en ligger arbejdet før opgaven: hvad skal være på plads, før en uvildig får adgang til persondata, og hvilke tekniske oplysninger skal en konsekvensanalyse bygge på. → DPO’ens tekniske tjekliste før en forensisk opgave · Konsekvensanalyse for en forensisk undersøgelse

Det kan I selv

Kortlægge logkilder og opbevaring. Hvilke systemer logger hvad, hvor længe, og hvem kan ændre loggen. Det tekniske datakort giver en struktur.
Stille krav til afgrænsning. Periode, personer, datatyper og søgetermer bør fastlægges, før analysen begynder.
Kræve dokumentation af adgang. Hvem har haft adgang til beviskopierne, og er adgangen logget?
Følge sletningen. Beviskopier skal slettes dokumenteret, når sagen er afsluttet, og det skal fremgå, hvornår og hvordan.

Her skal en uvildig ind

Når loggenes integritet skal vurderes af en, der ikke selv administrerer dem.
Når omfanget af et databrud skal fastlægges teknisk, og resultatet skal kunne forklares over for en myndighed.
Når undersøgelsen rører særlige kategorier af persondata, og udtrækket skal afgrænses teknisk.
Når en intern undersøgelse skal kunne efterprøves af andre.

Rollefordeling

Den dataansvarlige organisation ejer sagen og beslutter formål og afgrænsning. DPO’en rådgiver om proportionalitet og dataminimering. IT-revisionen vurderer kontroller og logintegritet. Intern revision og compliance leverer kendskabet til forretningsprocesserne og peger på de posteringer og ændringer, der skal forklares. Den uvildige sikrer og analyserer inden for den aftalte ramme og dokumenterer, hvad der blev filtreret fra, og hvorfor. Hvordan data beskyttes under en opgave, med krypteret opbevaring, logget adgang og dokumenteret sletning, står på Datasikkerhed under opgaven. Forløbet efter første kontakt står på Når I ringer.

Ønsker revisionen en uvildig vurdering af en intern undersøgelses metode, uden at bestille en ny undersøgelse, kan det løses som teknisk sparring.

Hvem I taler med

Nielco IT ved John Nielsen har erfaring fra finanssektoren, offentlige myndigheder og kritisk infrastruktur og mere end 30 år med IT-sikkerhed. Uvildig: ingen produkter og ingen leverandørpartnerskaber. IT-sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol. Fortrolighedsaftale på forespørgsel, og tavshedspligten omfatter også de beviskopier og noter, der opbevares efter sagen.

Start her

Ring 70 13 63 23, hvis I vil drøfte en konkret undersøgelse.

Brug for en uvildig forensic-undersøgelse?

Digital forensics-undersøgelse Hvad en undersøgelse indeholder, og hvad I får.
Forensisk sikring Når data skal sikres nu og undersøges senere. Hastesager koster ekstra.
Second opinion på en teknisk rapport Gennemgang af metode, hash, tidszoner og konklusioner.
Kontakt Ring 70 13 63 23. Fortrolighedsaftale på forespørgsel; arbejdet er omfattet af tavshedspligt.

Afgrænsning

Siden handler om civile sager, interne undersøgelser og udenretlige tvister. Der gives ingen vejledning i at omgå sikkerhed eller skaffe sig adgang til andres enheder og konti. Læs mere: Afgrænsning.