ISO/IEC 27037 og NIST SP 800‑86 forklaret

Forside › Kvalitet og standarder · Gennemgået oktober 2026 · Af John Nielsen

Når en sikring skal forsvares, bliver spørgsmålet ofte: Er den udført efter anerkendt praksis? To dokumenter nævnes oftest. ISO/IEC 27037 beskriver, hvordan digitale beviser identificeres, indsamles, erhverves og bevares. NIST SP 800-86 beskriver, hvordan forensiske teknikker indarbejdes i en organisations håndtering af sikkerhedshændelser. Begge er vejledninger, ikke tjeklister, og ingen af dem er i sig selv et lovkrav i danske civile sager. En praktisk omsætning til trin står i Tjekliste: forensisk sikring af en computer, og hele undersøgelsesprocessen i ISO/IEC 27043.

For en IT-professionel er værdien, at standarderne giver et fælles sprog for, hvad god praksis er. De siger meget om principper og dokumentation og lidt om konkrete værktøjer. Denne artikel gennemgår indholdet og viser, hvordan det omsættes til en konkret arbejdsgang. Den er indgangen til standarder og principper på sitet. Uddybningerne står i ACPO-principperne, Forensically sound, ISO/IEC 27041, Verifikation af forensiske værktøjer, ISO/IEC 17025 og digital forensics og Er akkreditering et krav i civile sager?.

ISO/IEC 27037

ISO/IEC 27037 er en international standard fra 2012 med retningslinjer for de første trin i håndteringen af digitale beviser. Den er skrevet, så den kan bruges på tværs af lande og retssystemer, og den forudsætter derfor ikke et bestemt processuelt regelsæt.

Fire aktiviteter

Identifikation · Finde og genkende mulige kilder til digitale beviser, fysiske og logiske
Indsamling · Fjerne enheder fra stedet, når det er relevant
Erhvervelse · Lave en kopi af data, fx en forensisk kopi, når enheden ikke kan eller skal fjernes
Bevarelse · Beskytte beviset mod ændring og dokumentere håndteringen

Valget mellem indsamling og erhvervelse afhænger af situationen: om systemet er kritisk for driften, om det er tændt, om data er krypteret, og om der er flygtige data, der går tabt ved nedlukning. En tændt computer med krypteret disk kan kræve, at hukommelsen sikres først, som beskrevet i hukommelsessikring (RAM).

Grundprincipper

Standarden lægger vægt på, at håndteringen er:

revisionsbar: en uafhængig kan vurdere, hvad der er gjort,
gentagelig: samme person med samme metode og værktøj får samme resultat,
reproducerbar: en anden person med andre værktøjer får et tilsvarende resultat,
begrundet: hver handling og hvert valg kan forklares.

Beviserne skal desuden være relevante, pålidelige og tilstrækkelige i forhold til formålet. Det sidste betyder i praksis, at omfanget af sikringen skal kunne begrundes: hverken så snævert, at vigtige kilder mangler, eller så bredt, at det ikke står i forhold til sagen.

Roller

Standarden skelner mellem den, der som første person håndterer beviset på stedet, og specialisten med dybere teknisk viden. Den beskriver, hvilke kompetencer rollerne kræver. I en virksomhed er den første person ofte en IT-medarbejder, og standarden er derfor også relevant for interne IT-afdelinger, der skal sikre data, før en sagkyndig kommer ind.

Enhedstyper

Standarden giver vejledning for typiske kilder som lagermedier, computere, mobile enheder og netværksforbundne systemer. Den går ikke i detaljer med værktøjer eller bestemte styresystemer, og den skal derfor suppleres med platformsspecifik viden.

Relaterede standarder

ISO/IEC 27037 er en del af en familie, hvor andre standarder dækker de efterfølgende trin:

ISO/IEC 27041 · Sikring af, at undersøgelsesmetoder er egnede
ISO/IEC 27042 · Analyse og fortolkning af digitale beviser
ISO/IEC 27043 · Principper og processer for undersøgelse af hændelser
ISO/IEC 27050-serien · Elektronisk discovery

Standarderne gennemgås og revideres med mellemrum. ISO/IEC 27037 udkom første gang i 2012, og 27041, 27042 og 27043 i 2015. Henvis til den udgave, der var gældende, da arbejdet blev udført.

NIST SP 800-86

NIST SP 800-86 er en vejledning fra det amerikanske National Institute of Standards and Technology, udgivet i 2006. Den er rettet mod organisationer, der vil opbygge evnen til at bruge forensiske teknikker i forbindelse med IT-sikkerhedshændelser. Selve hændelseshåndteringen er beskrevet i NIST SP 800-61; se NIST SP 800-61 og bevissikring under incident response.

Fire faser

Indsamling · Identificere, mærke, registrere og sikre data med bevaret integritet
Undersøgelse · Behandle store mængder data og udtrække det relevante
Analyse · Drage konklusioner ud fra det udtrukne
Rapportering · Formidle resultaterne, herunder metoder og anbefalinger

Datakilder

Vejledningen gennemgår fire hovedtyper af kilder: filer, styresystemer, netværkstrafik og applikationer. For hver type beskrives, hvad der kan sikres, og hvilke faldgruber der er. Den beskriver også princippet om at sikre de mest flygtige data først, fx hukommelse og netværksforbindelser før disk.

Alder

Dokumentet er fra 2006. Principperne holder, men de konkrete tekniske eksempler afspejler datidens teknologi. Cloud, SSD’er, moderne kryptering og mobiltelefoner er ikke dækket i dybden. Især antagelsen om, at slettede data ofte kan gendannes fra disk, holder ikke på samme måde for SSD’er, som beskrevet i SSD, TRIM og gendannelse.

Forskelle

Type · ISO/IEC 27037: International standard · NIST SP 800-86: Vejledning fra amerikansk myndighed
Fokus · ISO/IEC 27037: De første trin: identifikation til bevarelse · NIST SP 800-86: Hele forløbet fra indsamling til rapport
Målgruppe · ISO/IEC 27037: Alle, der håndterer digitale beviser · NIST SP 800-86: Organisationer med hændelseshåndtering
Tilgængelighed · ISO/IEC 27037: Købes hos ISO eller nationale standardiseringsorganer · NIST SP 800-86: Frit tilgængelig
Tekniske detaljer · ISO/IEC 27037: Få · NIST SP 800-86: Flere, men delvis forældede

Fra principper til arbejdsgang

Principperne bliver først nyttige, når de omsættes til konkrete trin. En arbejdsgang, der lever op til dem, indeholder typisk:

Registrering på stedet: hvad der findes, i hvilken tilstand, med fotos og serienumre.
Beslutning om rækkefølge: flygtige data først, begrundet og noteret.
Skrivebeskyttet sikring af lagermedier, se skrivebeskyttere.
Hashværdier beregnet under sikringen og verificeret bagefter.
Kæde af ansvar (chain of custody) fra første håndtering til aflevering.
Validerede værktøjer, med versioner noteret, se verifikation af værktøjer.
Rapport, der adskiller fund og vurdering og beskriver begrænsninger.

Når praksis afviger

I virkeligheden kan man ikke altid følge den ideelle fremgangsmåde. En server må ikke lukkes ned, en telefon kan kun udtrækkes logisk, eller en cloudtjeneste giver kun adgang via en eksportfunktion, der ikke beregner hashværdier. Standarderne forbyder ikke afvigelser; de kræver, at de kan begrundes.

Det betyder, at afvigelsen skal noteres, når den sker: hvad der blev gjort i stedet, hvorfor, og hvilken betydning det kan have for resultatet. Ved arbejde på et tændt system noteres også, hvilke spor handlingerne selv efterlod, så de senere kan skilles fra de oprindelige data. En åben beskrivelse af en afvigelse er langt stærkere end en rapport, der lader som om, alt gik efter bogen.

Hvordan standarderne bruges i praksis

Som referenceramme: En rapport kan beskrive, at fremgangsmåden følger principperne, fx at sikringen er gentagelig og dokumenteret. Se rapportskrivning.
Som tjek af egen proces: Er der skrivebeskyttelse, hashværdier og kæde af ansvar?
Ved kritik af modpartens bevis: Afvigelser fra anerkendt praksis kan svække bevisværdien, men gør ikke automatisk beviset ubrugeligt. Retten foretager en fri bevisbedømmelse, se Fri bevisbedømmelse og digitale beviser.

En henvisning til en standard erstatter ikke dokumentation. Det, der overbeviser, er en konkret beskrivelse af, hvad der er gjort, med hvilke værktøjer og med hvilke kontrolværdier. En rapport, der blot skriver “udført efter ISO/IEC 27037”, uden at vise hvordan, giver modparten et let angrebspunkt. Den ikke-tekniske version af spørgsmålet findes i sådan ved du, at det digitale bevis er godt nok.

Andre referencer

Andre dokumenter nævnes også ofte, fx RFC 3227 om indsamling og arkivering af beviser, som især er kendt for rækkefølgen efter flygtighed, og vejledninger fra europæiske netværk af forensiske institutter. De bygger på de samme grundprincipper og kan bruges som supplement.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Kvalitet og standarder

Læs også: Værktøjer i digital forensic: kategorier, krav og valg · Verifikation af forensiske værktøjer: test, validering og kontrol af fund

→ Second opinion på en IR- eller forensic-rapport · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik