Forside › Undersøgelse ved fratræden · Gennemgået oktober 2026 · Af John Nielsen
En insider threat-undersøgelse handler om en person, der allerede har lovlig adgang til systemerne: en medarbejder, en konsulent, en leverandør eller en administrator. Spørgsmålet er ikke, om nogen er brudt ind, men om en legitim adgang er brugt til noget, den ikke var givet til. Det stiller særlige krav, fordi de samme handlinger, der kan være misbrug, også er almindeligt arbejde, og fordi undersøgelsen rammer en kollega.
Artiklen er skrevet til SOC’er og IT-afdelinger, der står med en alarm eller en mistanke og skal omsætte den til en undersøgelse, der både er teknisk korrekt og proportional. Den konkrete plan for sager om data taget ved fratræden findes i den tekniske undersøgelsesplan ved fratræden.
Tre typer insidere
CISA’s vejledning om insider threats skelner mellem bevidste og utilsigtede handlinger. I en teknisk undersøgelse er det praktisk at tilføje en tredje mulighed: at kontoen eller enheden er overtaget af en anden. Skelnen har praktisk betydning for undersøgelsen:
- Bevidst handling: Fokus på hensigt kræver flere uafhængige spor, der peger samme vej, og et tidsforløb.
- Uagtsomhed: Fokus er på omfanget af det, der skete, og på hvordan det kunne ske.
- Overtaget konto: Fokus skifter til loginlog, sessioner og enheder. Her er medarbejderen offer, ikke part. Se kompromitteret konto, spoofing eller lookalike-domæne.
En undersøgelse bør starte med at holde alle tre muligheder åbne.
Fra alarm til undersøgelse
En alarm fra UEBA, DLP eller en SIEM-regel er et signal, ikke et fund. Før en undersøgelse sættes i gang, bør der foreligge:
- Et mandat. Hvem har besluttet undersøgelsen, og hvad er spørgsmålet? Typisk ledelsen sammen med HR og juridisk funktion.
- En afgrænsning. Hvilke personer, systemer og hvilken periode? En undersøgelse af “alt om medarbejderen” er hverken proportional eller praktisk.
- Et lille team. Kun dem, der har brug for at vide det. Den undersøgte må ikke kunne se undersøgelsen i fx en delt sagskø eller et dashboard.
- Adskillelse af roller. Den, der undersøger, bør ikke være nærmeste kollega eller leder for den undersøgte. Er mistanken rettet mod en administrator, kræver det særlige forholdsregler; se undersøgelse af en administrator.
De tekniske kilder
- Identitet · Kilder: Loginlog, MFA-ændringer, roller og gruppemedlemskaber · Typisk spørgsmål: Hvornår og hvorfra blev kontoen brugt, og fik den nye rettigheder?
- Filer og cloud · Kilder: Auditlog for SharePoint, OneDrive, Google Drive og filservere · Typisk spørgsmål: Hvilke filer blev åbnet, downloadet, synkroniseret eller delt?
- Mail · Kilder: Message trace, videresendelsesregler og auditlog · Typisk spørgsmål: Blev der sendt materiale til private adresser?
- Endpoint · Kilder: EDR, USB-spor, browserhistorik, print · Typisk spørgsmål: Blev data kopieret til medier, uploadet eller printet?
- Fagsystemer · Kilder: Adgangslogs og eksportlogs i CRM, ERP og andre · Typisk spørgsmål: Blev der trukket lister eller lavet usædvanlige opslag?
- DLP · Kilder: Hændelser og brugerens begrundelser · Typisk spørgsmål: Hvilke regler blev ramt, og hvad viser hændelsen faktisk?
DLP-hændelser er nyttige som pegepinde, men skal krydstjekkes med andre kilder, før de bruges som dokumentation. Se DLP-hændelser som bevis.
Rækkefølgen betyder noget
Sikring kommer før samtale. Når den undersøgte bliver bekendt med mistanken, er der risiko for sletning, også i god tro. Logs med kort opbevaring sikres først, derefter enheder og cloudindhold. Konti lukkes eller ændres først, når det, der kan forsvinde ved lukningen, er sikret.
Samtidig må sikringen ikke i sig selv være mere indgribende end nødvendigt. Det er bedre at sikre målrettet ud fra hypoteser end at tage alt og sortere bagefter. Se analyseplan og hypoteser.
Proportionalitet og persondata
En insider-undersøgelse behandler oplysninger om en identificerbar medarbejder og ofte om kolleger og kunder. Datatilsynet har i sin vejledning om databeskyttelse i ansættelsesforhold beskrevet kontrol af medarbejdere, herunder at medarbejderne skal være orienteret om kontrolforanstaltninger. Hvad der konkret er lovligt i den enkelte sag, er et juridisk spørgsmål, som skal afklares med virksomhedens rådgiver.
Teknisk kan proportionalitet understøttes ved at:
- Afgrænse søgninger på tid, personer og datatyper og dokumentere afgrænsningen.
- Udelade åbenlyst private data, hvor det er muligt, og dokumentere, hvordan det skete.
- Begrænse adgangen til de sikrede data og logge den.
- Pseudonymisere kolleger og tredjeparter i rapporten; se pseudonymisering i rapporter.
Mistanken giver ikke adgang til at følge personens private konti, telefon eller færden. Undersøgelsen omfatter virksomhedens systemer og det udstyr, virksomheden ejer og har ret til at undersøge.
Fortolkning: arbejde eller misbrug?
Den største faldgrube i insider-sager er at læse almindeligt arbejde som misbrug. En sælger, der eksporterer kundelister, eller en udvikler, der kloner et repository, gør måske præcis det, jobbet kræver. Fundene skal derfor holdes op mod personens rolle, sædvanlige mønster og virksomhedens egne regler. Spørgsmål, der hjælper:
- Er handlingen usædvanlig for netop denne person, sammenlignet med den samme periode tidligere?
- Er der en sammenhæng i tid med en opsigelse, en konflikt eller et jobskifte?
- Findes der uskyldige forklaringer, og kan sporene skelne mellem dem?
- Peger flere uafhængige kilder samme vej?
Konti, enheder og delt brug
Mange insider-sager står og falder med, om handlingen kan knyttes til personen og ikke kun til kontoen. Det kræver, at undersøgelsen kortlægger, hvilke enheder kontoen var logget ind fra, om andre kendte adgangskoden eller havde adgang til enheden, og om der findes delte konti eller automatiseringer, der handler i kontoens navn. Fysiske tidsankre som dørlogs, mødekalendere og VPN-sessioner kan styrke eller svække en tilknytning. Se attribution af brugerhandlinger.
Er der tale om en administrator eller en anden med brede rettigheder, skal det også undersøges, om de logs, sagen bygger på, kunne være ændret af personen selv. Kilder, som personen ikke havde adgang til at ændre, vejer tungere. Det kan være logs, der sendes til en central opsamling med separat administration, eller logs hos en ekstern tjeneste, hvor personen ikke har administratorrettigheder.
Når sagen skifter karakter
Undervejs kan billedet ændre sig. Det, der begyndte som mistanke om en medarbejder, kan vise sig at være en overtaget konto, og så bliver det en sikkerhedshændelse med andre aktører og andre frister. Omvendt kan en hændelse, der blev behandlet som et eksternt angreb, vise sig at have en intern forklaring. Begge skift har betydning for, hvem der skal informeres, og hvilke data der må bruges. Undersøgelsesplanen bør derfor have et aftalt punkt, hvor fundene vurderes, og hvor det besluttes, om mandat og team skal ændres.
Rapporten
Rapporten bør beskrive mandat og afgrænsning, kilder og deres dækning, metode og fund, og hvilke alternative forklaringer der er vurderet. Den bør skelne klart mellem, hvad sporene viser om en konto, og hvad der kan siges om personen bag. CERT’s Common Sense Guide anbefaler at lære af hver sag, og det gælder også teknisk: Huller i logningen, som undersøgelsen afslørede, bør føre til ændringer, før den næste sag opstår.
Kilder og versioner
- CISA: Insider Threat Mitigation Guide
- SEI: Common Sense Guide to Mitigating Insider Threats, Seventh Edition
- ISO/IEC 27042: Guidelines for the analysis and interpretation of digital evidence
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Undersøgelse ved fratræden
Læs også: Shadow AI: spor efter upload af firmadata · Data taget ved fratræden: den tekniske undersøgelsesplan
→ Undersøgelse ved fratræden · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-sikkerhed og SOC · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
