HR- og lønsystemer: adgangslogs og ændringshistorik

Forside › Cloud- og SaaS-forensik · Gennemgået oktober 2026 · Af John Nielsen

Kort svar: HR- og lønsystemer har normalt to forskellige spor: en ændringshistorik, der viser, hvem der ændrede et felt, hvornår og fra hvilken værdi, og en adgangslog, der viser, hvem der åbnede en medarbejders oplysninger. Ændringshistorikken findes i de fleste systemer. Adgangsloggen over rene opslag er sjældnere, ofte begrænset og nogle gange slet ikke slået til. Undersøgelsen afhænger derfor af, hvad systemet faktisk registrerer, og det skal afklares, før der lægges en plan.

Typiske spørgsmål er, om en medarbejder har set kollegers løn eller personalesager uden arbejdsmæssig grund, om nogen har ændret et kontonummer før en lønkørsel, og hvem der har slettet eller ændret dokumenter i en personalesag. Hvad virksomheden gør i praksis, er beskrevet på HR-systemet og personalesagen: hvem ændrede hvad?. Her gennemgås sporene teknisk.

Lagene i et HR- og lønsystem

Stamdata og ændringshistorik: felter som løn, tillæg, bankkonto, adresse, stilling og ansættelsesdatoer. Gode systemer gemmer gammel og ny værdi, bruger, tidspunkt og ofte en gyldighedsdato, der er forskellig fra registreringstidspunktet.
Dokumenter i personalesagen: kontrakter, advarsler og lægeerklæringer, med upload, visning, download og sletning som separate hændelser, hvis systemet logger dem.
Opslagslog: visninger af en medarbejders profil eller lønsedler. Her er forskellen mellem systemerne størst.
Lønkørsler og integrationer: beregning, godkendelse, lønfil til banken og indberetning til myndighederne. Integrationer udfører ofte ændringer under en teknisk systembruger.
Login og roller: login via eget system eller via virksomhedens identitetsudbyder, og rollerne, der afgør, hvem der kan se hvad.

Ændringshistorikken

Ændringshistorikken er den mest robuste kilde, fordi den typisk er en del af selve forretningslogikken og ikke kan slås fra af almindelige brugere. Vær opmærksom på tre tidsbegreber, som ofte blandes sammen: hvornår ændringen blev registreret, hvornår den har virkning fra, og hvornår den blev godkendt. En ændring af bankkontoen kan være registreret om aftenen, have virkning fra næste lønperiode og være godkendt dagen efter af en anden bruger.

Ved mistanke om ændret kontonummer skal historikken kobles til lønkørslen: Hvilken konto stod i stamdata, da lønfilen blev dannet, og hvilken konto står i selve filen, der gik til banken? Lønfilen og bankens kvittering er ofte bedre beviser end skærmbilledet af stamdata.

Opslagsloggen

Logning af rene visninger er dyrere for leverandøren og mere indgribende for medarbejderne, og mange systemer logger kun udvalgte visninger, fx åbning af følsomme dokumenter eller lønsedler, men ikke visning af en profil. Nogle systemer logger visninger på listeniveau, så en søgning, der viser 40 medarbejdere, ikke kan skelnes fra et målrettet opslag. Andre logger kun detaljevisninger.

Afklar derfor, før der konkluderes:

Hvilke handlinger logges, og har det været slået til i hele perioden?
Hvor længe gemmes loggen, og kan den eksporteres i fuld detalje?
Logges eksport til regneark og udskrift separat?
Kan leverandøren levere mere end brugerfladen viser, fx fra en backend-log?

Metoden til at skelne arbejdsrelaterede opslag fra andre er den samme som i fagsystemer generelt og er beskrevet i Uberettigede opslag: teknisk analyse af adgangslogs i fagsystemer.

Analyseplanen

Formulér hypoteserne, før loggen læses, så analysen ikke styres af de første fund. Et eksempel på en opdeling:

Hvilke opslag var forventelige? Afgræns, hvilke medarbejdere brugeren havde arbejdsmæssig grund til at se: eget team, sager, lønkørsler, rekrutteringer. Det kræver input fra HR eller ledelsen, ikke fra loggen.
Hvilke opslag ligger uden for? Sammenhold loggen med afgrænsningen, og markér opslag på personer uden for opgaven, opslag uden for arbejdstid og opslag i tæt sammenhæng med private forhold, der er kendt i sagen.
Hvad er normalt for rollen? Sammenlign med kolleger i samme rolle i samme periode. Et mønster, der også findes hos alle andre, er sjældent et tegn på misbrug.
Hvilke alternative forklaringer findes? Automatiske rapporter, søgninger, der viser mange personer, og supportsager fra kolleger.

Metoden er beskrevet generelt i Analyseplan og hypoteser før analysen starter.

Sikring

Fasthold konfigurationen først: logindstillinger, opbevaringsperiode, roller og rettigheder i den relevante periode. Tag eksport og skærmbilleder af rollerne, før nogen rydder op i adgange.
Eksportér ændringshistorik og logs for den relevante periode med alle felter, ikke kun en filtreret rapport. Hvis brugerfladen begrænser antal rækker eller periode, så brug API eller bed leverandøren om et udtræk med beskrivelse af metoden.
Sikr loginloggen hos identitetsudbyderen, hvis systemet bruger SSO; se Identitetsudbydere og SSO.
Sikr lønfiler og kvitteringer fra lønkørslerne i perioden.
Hash alle filer og registrer dem i bevisloggen sammen med eksportmetode, bruger og tidspunkt.

Leverandørens rolle er central. Spørg skriftligt, hvilke logs der findes, hvor længe de gemmes, om de kan ændres af kunden, og om leverandørens egne supportmedarbejdere har haft adgang til kontoen. Om SaaS-leverandører generelt, se SaaS-systemer som datakilde.

Databeskyttelse i selve undersøgelsen

HR-data er blandt de mest følsomme data i en virksomhed, og logs over opslag er selv personoplysninger om de medarbejdere, der har slået op. Afgræns udtrækket til de personer og perioder, sagen handler om, begræns adgangen til analysen, og dokumentér formålet. DPO’en bør inddrages tidligt; se DPO’ens tekniske tjekliste før en forensisk opgave.

Typiske fejlkilder

Systembrugere: ændringer fra integrationer, importer og masseopdateringer står ofte under en teknisk bruger. Det er ikke det samme som, at ingen person stod bag. Find det job eller den import, der udførte ændringen.
Delegering og stedfortrædere: en leder kan have givet en assistent adgang, eller en stedfortræder kan have arbejdet under ferie. Rettighederne skal vurderes, som de var på tidspunktet.
Leverandørens support: opslag fra leverandøren kan stå under kundens bruger eller under en særlig supportkonto.
Tidszone: cloudsystemer viser ofte tid i brugerens zone i brugerfladen og UTC i eksporten.
Rettede fejl: en ændring, der rettes samme dag, kan være en tastefejl. Se på hele forløbet, ikke kun den enkelte linje.

Hvad sporene kan og ikke kan bevise

Ændringshistorikken kan vise, at en bestemt brugerkonto ændrede et felt fra én værdi til en anden på et bestemt tidspunkt. Opslagsloggen kan vise, at en brugerkonto åbnede bestemte oplysninger. Ingen af dem viser alene, hvem der sad ved tastaturet, eller om opslaget havde et arbejdsmæssigt formål. Det kræver kobling til login, enhed, arbejdsopgaver og forklaringer. Hvor loggen ikke registrerer visninger, kan fravær af en hændelse ikke bruges som bevis for, at oplysningerne ikke blev set.

Dokumentation

Beskriv system og version, licensniveau, hvilke logtyper der var slået til, opbevaringsperiode, eksportmetode og eventuelle begrænsninger. Vis de rå linjer i et bilag, og skriv konklusionerne, så de skelner mellem det, loggen viser, og det, der er en fortolkning. Om at vise, at eksporterne ikke er ændret undervejs, se Logintegritet.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Cloud- og SaaS-forensik

Læs også: MitID og NemLog-in: hvilke logdata findes, og hvem har dem · Webshopplatforme: ordre-, admin- og ændringslogs

→ Logundersøgelse · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik