ISO/IEC 27041: sikring af, at metoden er egnet

Forside › Kvalitet og standarder · Gennemgået oktober 2026 · Af John Nielsen

ISO/IEC 27041 handler om ét spørgsmål: Hvordan kan det vises, at en undersøgelsesmetode er egnet til det, den bruges til? Svaret i standarden er en kæde: Krav til metoden formuleres først, metoden valideres mod kravene med kendte data, og den konkrete anvendelse verificeres. Hele kæden dokumenteres, så en anden kan se, at resultatet ikke beror på tillid til et værktøj, men på afprøvning.

Standarden hører til samme familie som ISO/IEC 27037, der dækker de første trin fra identifikation til bevarelse. Familien er præsenteret i ISO/IEC 27037 og NIST SP 800-86 forklaret. Her går vi i dybden med 27041 og med, hvad den betyder for den daglige praksis. Den praktiske afprøvning af de enkelte værktøjer og kontrol af fund står i Verifikation af forensiske værktøjer; her handler det om standardens krav til metoden.

Hvad standarden dækker

ISO/IEC 27041 blev udgivet i 2015 og er en vejledning, ikke en certificeringsstandard. På tidspunktet for gennemgangen (oktober 2026) er førsteudgaven fra 2015 stadig den gældende, og ISO har den til periodisk revurdering. Den gælder for alle de processer, der indgår i en undersøgelse af digitale beviser: sikring, undersøgelse, analyse og fortolkning. Den er ikke bundet til en bestemt type værktøj eller platform, og den forudsætter ikke et bestemt retssystem.

Standarden skelner mellem niveauer, der hver især skal kunne begrundes:

Proces · Sikring af en computer fra modtagelse til verificeret kopi
Metode · Fysisk kopi gennem skrivebeskytter med hashberegning
Værktøj eller komponent · Et bestemt sikringsprogram i en bestemt version på en bestemt skrivebeskytter

Et vigtigt træk er, at egnethed kan opbygges nedefra. Er komponenterne afprøvet hver for sig, kan valideringen af en metode bygge på dem, så længe det dokumenteres, hvordan de spiller sammen. Det gør det muligt at genbruge test i stedet for at starte forfra ved hver sag.

Krav før test

Validering giver kun mening, når det er fastlagt, hvad metoden skal kunne. Kravene skal være konkrete og efterprøvelige. For en metode til sikring af en disk kan de fx være:

alle læsbare sektorer kopieres, og ulæselige sektorer registreres,
kildemediet ændres ikke,
hashværdien af kopien beregnes og kan genskabes,
fejl under kopieringen logges med placering.

For en metode til at udtrække beskeder fra en app kan kravene være, at alle beskeder i databasen gengives, at tidsstempler konverteres korrekt, at slettede poster markeres, og at afsender og modtager tolkes rigtigt i gruppesamtaler.

Kravene afgør, hvad der testes. Uden dem bliver valideringen en løs demonstration af, at værktøjet “virker”.

Validering

Validering er afprøvning af, at metoden opfylder kravene. Standarden lægger vægt på objektive beviser for det, typisk ved test med kendte data:

Der dannes et testdatasæt, hvor det korrekte resultat er kendt på forhånd.
Det forventede resultat dokumenteres, før testen køres.
Metoden anvendes med de samme indstillinger som i praksis.
Resultatet sammenlignes med det forventede.
Afvigelser beskrives og vurderes: Er de acceptable, skal de begrænses, eller er metoden uegnet til formålet?

Valideringen skal dække de situationer, metoden faktisk bruges i. En metode, der er valideret på en ældre app-version eller et bestemt filsystem, er ikke dermed valideret til den næste version. Opbygning af testdata er beskrevet i testdatasæt og referencedata.

Verifikation

Verifikation er kontrollen af, at metoden i det konkrete tilfælde har fungeret som valideret. Det er her, de enkelte fund kontrolleres: Stemmer hashværdien, svarer antallet af elementer til det forventede, kan et centralt fund genfindes i rådata? Forskellen mellem de to niveauer og de praktiske greb er beskrevet i verifikation af værktøjer.

Et eksempel på et valideringssæt

Et enkelt valideringssæt for en metode til at udtrække browserhistorik kunne bestå af en testmaskine, hvor en kendt række besøg er foretaget på kendte tidspunkter, med kendte sletninger og et skift mellem sommer- og vintertid i perioden. Det forventede resultat er en liste med adresser og tidspunkter i UTC. Testen viser, om værktøjet finder alle besøg, om tidspunkterne konverteres korrekt, og om slettede poster markeres. Resultatet, versionen og datoen gemmes, så testen kan køres igen ved næste opdatering.

Ændringer og opdateringer

Forensiske værktøjer opdateres ofte, og en ny version kan ændre tolkningen af en datatype. Standarden forudsætter, at ændringer vurderes: Påvirker opdateringen de dele af metoden, der er valideret? Hvis ja, skal de relevante test gentages. Hvis nej, skal vurderingen kunne begrundes.

I praksis er det her, de fleste huller opstår. Et laboratorium kan have en grundig validering af en version, der ikke længere bruges. Et enkelt værn er at have en fast regressionstest, en lille samling kendte data, der køres ved hver ny version, og hvor resultatet gemmes.

Hvad det betyder for den lille praksis

ISO/IEC 27041 kan lyde som noget for store laboratorier. Principperne kan dog skaleres:

Krav kan være korte. En halv side pr. metode er bedre end ingenting.
Test kan genbruges. Offentlige testsæt og egne kendte data kan bruges igen og igen.
Verifikation af centrale fund er altid mulig, også når fuld validering af en datatype ikke er.
Dokumentationen skal kunne findes. Det er bedre med en enkel mappe pr. metode med krav, test og resultater end en omfattende kvalitetshåndbog, ingen bruger.

Når en metode ikke er valideret, fx fordi den bruges på en ny datatype for første gang, er det ikke i sig selv en fejl. Fejlen er at skjule det. Rapporten bør sige, at metoden ikke er formelt valideret til datatypen, og hvordan de centrale fund i stedet er verificeret.

Typiske fejl

Leverandørens validering som eneste grundlag. Leverandørens egne test kan være nyttige, men de dækker sjældent alle datatyper og versioner, og de er ikke uafhængige.
Validering uden krav. Testen viser, at værktøjet producerer noget, ikke at det producerer det rigtige.
Gamle valideringer. Versionen i brug er en anden end den testede.
Ingen grænser. Valideringen beskriver ikke, hvad metoden ikke kan, fx at slettede poster i en bestemt database ikke gendannes.

Når modparten spørger

Et typisk spørgsmål til en sagkyndig er: “Hvordan ved du, at værktøjet viste det rigtige?” Et svar bygget på 27041-principperne har tre dele: Metoden er afprøvet mod kendte data med dokumenterede resultater, de centrale fund er kontrolleret i rådata eller med et andet værktøj, og begrænsningerne er beskrevet i rapporten. Det er et stærkere svar end “værktøjet er udbredt og anerkendt”, fordi det kan efterprøves.

Standarden er tæt koblet til ISO/IEC 27042, der handler om analyse og fortolkning, se ISO/IEC 27042. Hvor 27041 sikrer, at metoden virker, sikrer 27042, at resultatet fortolkes korrekt. For laboratorier, der ønsker formel akkreditering, er valideringskravene i ISO/IEC 17025 den formelle ramme, og 27041 kan bruges som faglig vejledning til at opfylde dem.

Dokumentation, der holder

For hver metode, der bruges i en sag, bør det kunne vises:

hvilke krav metoden er valideret mod,
hvilke test der er udført, med hvilke data og hvilken version,
hvilke begrænsninger der er kendt,
hvordan de centrale fund i den konkrete sag er verificeret.

Det behøver ikke stå i rapporten i fuld længde. Det skal kunne fremlægges, hvis nogen spørger.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Kvalitet og standarder

Læs også: Verifikation af forensiske værktøjer: test, validering og kontrol af fund · ISO/IEC 27042: analyse og fortolkning af digitale beviser

→ Second opinion på en IR- eller forensic-rapport · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik