Forensically sound: hvad begrebet betyder i praksis

Forside › Kvalitet og standarder · Gennemgået oktober 2026 · Af John Nielsen

Forensically sound betyder, at data er sikret og behandlet på en måde, der bevarer deres bevisværdi: Ændringer er undgået, hvor det er muligt, og hvor de ikke kan undgås, er de nødvendige, kendte, forklarede og dokumenterede. Integriteten kan verificeres, og arbejdet kan efterprøves af en anden. Begrebet betyder altså ikke, at intet er rørt. Det betyder, at alt, der er rørt, kan redegøres for.

Udtrykket bruges på engelsk også i dansk fagsprog, fordi der ikke findes en fast dansk oversættelse. “Forensisk forsvarligt” er det nærmeste. Hvilke standarder der beskriver god praksis, står i ISO/IEC 27037 og NIST SP 800-86 forklaret, og de klassiske grundregler i ACPO-principperne. Forskellen til det, revisorer kalder tilstrækkeligt bevis, er beskrevet i Fra revisionsbevis til forensisk bevis.

Fra “ingen ændring” til “kontrolleret ændring”

I fagets tidlige år var idealet enkelt: Disken tages ud, kobles til en skrivebeskytter og kopieres bit for bit. Kopien hashes, originalen lægges væk. Intet på originalen ændres. Det ideal holder stadig for mange lagermedier, og det er stadig udgangspunktet. Se forensisk image trin for trin.

Men en stadig større del af de relevante data kan ikke sikres på den måde:

En telefon skal være tændt og kommunikere med udtræksværktøjet, hvilket ændrer logfiler og systemdata.
En tændt computer med krypteret disk skal måske sikres, mens den kører, for ikke at miste adgangen.
Hukommelsen kan kun sikres ved at køre et program på systemet, som selv bruger hukommelse.
Cloudtjenester kan kun sikres via tjenestens egne eksportfunktioner.
SSD’er kan ændre deres indhold internt, uden at nogen gør noget.

Her er det umuligt at undgå ændringer. Hvis forensically sound betød “ingen ændring”, ville de fleste moderne sikringer ikke kunne leve op til det. Derfor har begrebet flyttet sig til at handle om kontrol og gennemsigtighed.

Kriterier, der går igen

I faglitteraturen er der formuleret kriterier for, hvornår en proces er forensisk forsvarlig. De mest citerede er de fire kriterier, Rodney McKemmish foreslog i 2008: meaning, errors, transparency og experience. Gengivet som spørgsmål:

Betydning · Er dataenes betydning bevaret, så de kan fortolkes som i kilden?
Fejl · Er kendte fejlkilder identificeret, og er deres betydning vurderet?
Gennemsigtighed · Kan processen beskrives og efterprøves af en anden?
Erfaring · Er arbejdet udført af en person med den nødvendige erfaring?

Det første kriterium er værd at fremhæve. Et dokument kan være bitidentisk med originalen og alligevel miste betydning, hvis det er taget ud af sin sammenhæng: en mail uden headere, en fil uden filsystemets tidsstempler, en chatbesked uden information om, hvilken samtale den hørte til. Forensisk forsvarlighed handler også om at bevare konteksten.

I praksis: fem kendetegn

En sikring eller analyse er forensisk forsvarlig, når:

Ændringer er minimeret. Skrivebeskyttelse bruges, hvor det er muligt; arbejdet sker på kopier.
Ændringer, der ikke kan undgås, er nødvendige og kendte. Det er klart, hvorfor live-sikring eller et logisk udtræk var nødvendigt, og hvilke data det ændrede.
Integriteten er verificerbar. Der er hashværdier for kopier og centrale mellemresultater, eller, hvor det ikke kan lade sig gøre, en anden dokumentation af, hvad der blev modtaget.
Alt er dokumenteret. Handlinger, tidspunkter, værktøjer, versioner og indstillinger er noteret.
Resultatet kan efterprøves. En anden kan med dokumentationen gentage arbejdet eller vurdere det.

Når hashværdien ikke kan gentages

Et særligt spørgsmål opstår ved mobiludtræk og cloudeksporter. To udtræk fra samme telefon eller to eksporter fra samme postkasse giver sjældent samme hashværdi, fordi data har ændret sig imellem, eller fordi eksportformatet indeholder tidspunkter for eksporten. Det gør ikke sikringen uforsvarlig. Det betyder, at hashværdien dokumenterer det, der blev modtaget, ikke kilden. Fra det tidspunkt kan integriteten verificeres. Se hvorfor hashværdien ikke kan gentages.

Det, der gør en proces uforsvarlig

Det er sjældent selve ændringen, der er problemet. Det er de ændringer, ingen ved noget om:

En IT-medarbejder gennemser filer på den computer, der skal undersøges, og ændrer tidsstempler og brugerspor.
En telefon låses op og gennemses manuelt, før den udtrækkes, og nye beskeder modtages imens.
En server genstartes, uden at nogen noterer tidspunktet, og flygtige data forsvinder.
En kopi laves med et almindeligt kopiprogram, der ikke bevarer tidsstempler, og ingen opdager det.
En postkasse eksporteres uden at notere søgekriterier, tidspunkt og antal elementer.

I hvert tilfælde er problemet, at ændringen ikke kan skilles fra de data, der skal undersøges. Se kontaminering: når undersøgelsen selv efterlader spor.

Forholdet til standarder og principper

Begrebet er ikke defineret i en bestemt standard, men principperne går igen. ACPO-principperne udtrykker det i fire korte regler, hvor det første er, at data ikke må ændres, og det andet, at nødvendige ændringer kræver kompetence og forklaring. Se ACPO-principperne. ISO/IEC 27037 udtrykker det med begreberne revisionsbar, gentagelig, reproducerbar og begrundet.

Det betyder, at en påstand om, at noget er “forensically sound”, ikke kan stå alene. Den skal underbygges med en beskrivelse af, hvordan principperne er fulgt.

Live-sikring som eksempel

Live-sikring er det tydeligste eksempel på, at forsvarlighed handler om kontrol. Ved sikring af et kørende system påvirker hver handling systemet: Programmer startes, hukommelse bruges, logfiler skrives. En forsvarlig live-sikring:

er begrundet, fx fordi disken er krypteret, eller systemet ikke må lukkes ned,
bruger værktøjer, der er kendt og afprøvet, og som efterlader mindst mulige spor,
følger en planlagt rækkefølge efter flygtighed,
noterer hvert trin med tidspunkt, så handlingerne kan skilles fra de oprindelige data.

Fremgangsmåden er beskrevet i live response.

Cloud og tredjepartsdata

Ved cloudtjenester er det tjenesten, der bestemmer, hvordan data udleveres. Eksporten kan mangle metadata, ændre formater eller udelade slettede elementer, og den, der sikrer, har ingen adgang til de underliggende lagre. Forsvarlighed handler her om at kende og dokumentere eksportens begrænsninger: hvilken funktion der blev brugt, med hvilke indstillinger og rettigheder, hvornår, og hvad funktionen efter leverandørens egen dokumentation medtager og udelader. Det er også god praksis at supplere eksporten med tjenestens auditlogs, så det kan vises, at sikringen fandt sted, og hvem der udførte den.

Hvad begrebet ikke garanterer

En forensisk forsvarlig sikring betyder, at data er pålidelige. Den betyder ikke, at fortolkningen er rigtig. En korrekt sikret kopi kan stadig blive fortolket forkert, fx hvis tidszoner forveksles, eller hvis systemaktivitet tolkes som brugeradfærd. Forsvarlighed i sikringen er en forudsætning for et godt resultat, ikke en garanti.

I rapporten

Skriv ikke blot, at arbejdet er udført “forensically sound”. Beskriv i stedet:

hvordan kilden blev sikret, og om der blev brugt skrivebeskyttelse,
hvilke ændringer der var uundgåelige, og hvorfor,
hvordan integriteten er dokumenteret,
hvilke værktøjer og versioner der blev brugt,
hvilke begrænsninger metoden har.

Det er den beskrivelse, der gør en påstand om forsvarlighed troværdig. Og det er den, en modpart eller en skønsmand vil lede efter, når sikringen bliver udfordret. En kort, præcis redegørelse for de uundgåelige ændringer er langt stærkere end et forsøg på at lade, som om der ikke var nogen.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Kvalitet og standarder

Læs også: Er akkreditering et krav i civile sager? · Fagfællebedømmelse (peer review) af forensisk arbejde

→ Second opinion på en IR- eller forensic-rapport · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik