ISO/IEC 27042: analyse og fortolkning af digitale beviser

Forside › Kvalitet og standarder · Gennemgået oktober 2026 · Af John Nielsen

ISO/IEC 27042 er vejledningen for den del af arbejdet, der kommer efter sikringen: analysen af data og fortolkningen af, hvad de betyder. Standardens kerne er, at analysen skal kunne gentages og efterprøves, at fortolkningen skal hvile på en dokumenteret metode og ikke på den enkeltes intuition, og at rapporten skal gøre det klart, hvad der er observeret, og hvad der er vurderet. Den stiller også krav til kompetence: Den, der fortolker, skal kunne vise, at fortolkningen er inden for egen faglighed.

Standardfamilien er præsenteret i ISO/IEC 27037 og NIST SP 800-86 forklaret. Denne artikel går i dybden med 27042.

Plads i familien

ISO/IEC 27037 · Er beviset identificeret, sikret og bevaret korrekt?
ISO/IEC 27041 · Er metoden egnet og valideret?
ISO/IEC 27042 · Er analysen og fortolkningen forsvarlig?
ISO/IEC 27043 · Hvordan hænger processerne sammen i en hændelsesundersøgelse?

27042 blev udgivet i 2015 og er en vejledning. På tidspunktet for gennemgangen (oktober 2026) er førsteudgaven stadig gældende, og ISO har den til periodisk revurdering. Den forudsætter, at sikringen er sket korrekt, og at metoderne er valideret efter principperne i ISO/IEC 27041.

Analyse og fortolkning er to ting

Standarden skelner mellem analyse, hvor data behandles, så relevante oplysninger bliver tilgængelige, og fortolkning, hvor oplysningerne vurderes i forhold til sagens spørgsmål. Skellet er praktisk vigtigt:

Analysen kan i høj grad gentages af en anden. Den samme database parset med det samme værktøj giver de samme rækker.
Fortolkningen afhænger af viden, erfaring og de alternative forklaringer, der overvejes. Den kan ikke gentages mekanisk, men den kan efterprøves, hvis ræsonnementet er skrevet ned.

En rapport, der blander de to, gør det umuligt for læseren at se, hvor de objektive observationer slutter, og den sagkyndiges vurdering begynder.

Analysemodeller

Standarden beskriver forskellige typer analyse, som stiller forskellige krav:

Statisk analyse af en sikret kopi, hvor data ikke ændres, og hvor analysen kan gentages på samme kopi.
Live analyse af et kørende system, hvor data ændres løbende, og hvor nøjagtig gentagelse ikke er mulig. Her skal handlinger og deres virkninger dokumenteres ekstra grundigt.
Analyse af programkode og adfærd, fx når det skal vurderes, hvad et program gør, ved at undersøge det eller lade det køre i et kontrolleret miljø.

Valget af model skal kunne begrundes, og begrænsningerne skal fremgå. Live analyse og arbejde på kørende systemer er beskrevet i live response.

Gentagelighed og reproducerbarhed

To begreber går igen:

Gentagelighed · Samme person, samme metode, samme data giver samme resultat
Reproducerbarhed · En anden person, eventuelt med andre værktøjer, kommer til et tilsvarende resultat

Reproducerbarhed er det stærkeste krav og det, der betyder mest i en tvist. Det forudsætter, at metoden er beskrevet så præcist, at en anden kan følge den: værktøjer og versioner, indstillinger, filtre, tidszoner og de konkrete poster, fundet bygger på.

Kontinuitet

Kontinuitet betyder, at der ikke er huller i kæden fra sikret kopi til konklusion. Hvert mellemresultat, fx et udtræk, en filtrering eller en eksport, skal kunne kobles tilbage til kilden. I praksis sker det med hashværdier af mellemresultater, med præcise referencer til kildens poster og med arbejdsnoter, der viser rækkefølgen af handlinger. Det svarer til kæden af ansvar for de fysiske medier, men gælder for data i analysen.

Kompetence og færdighed

Standarden lægger vægt på, at den, der analyserer og fortolker, har den nødvendige kompetence, og at kompetencen kan dokumenteres. Det er ikke det samme som en generel titel. En sagkyndig med dyb erfaring i Windows-artefakter er ikke dermed kompetent til at fortolke en databasetransaktionslog. Kompetence kan dokumenteres med uddannelse, erfaring, deltagelse i færdighedsprøver og fagfællebedømte arbejder.

Den praktiske konsekvens er, at den sagkyndige bør være tydelig om, hvor egen kompetence slutter, og inddrage andre eller tage forbehold, når opgaven går ud over den.

Fortolkning i praksis

Fortolkning er der, hvor de fleste fejl sker. Et artefakt viser sjældent direkte det, sagen spørger om. En post i en registreringsdatabase viser, at en fil har været åbnet, ikke af hvem. En logpost viser, at en konto loggede ind, ikke hvem der sad ved tastaturet. Vejen fra artefakt til konklusion er beskrevet i fra artefakt til konklusion.

En forsvarlig fortolkning efter 27042-principperne:

tager udgangspunkt i sagens spørgsmål og de mulige forklaringer,
vurderer, hvad hvert fund betyder under hver forklaring,
søger efter fund, der kunne afkræfte de enkelte forklaringer,
angiver, hvor sikker konklusionen er, med en konsekvent skala,
beskriver begrænsninger og ukendte forhold.

Skalaer for konklusionsgrader er beskrevet i konklusionsgrader.

Værktøjets tolkning er også en fortolkning

En særlig fælde er, at værktøjer præsenterer data, der allerede er fortolket. En kolonne kaldet “sidst åbnet” eller “slettet” er værktøjsleverandørens fortolkning af et felt i rådata, og den kan være forkert for netop den version eller konfiguration, der er undersøgt. Standardens krav om, at fortolkning skal hvile på en dokumenteret metode, betyder i praksis, at de centrale fund skal føres tilbage til de rå felter, og at det skal være analytikeren, ikke værktøjet, der står inde for betydningen. Feltets navn i værktøjet er en etiket, ikke en konklusion.

Det samme gælder automatiske opsummeringer, kategoriseringer og tidslinjer. De er nyttige til at finde frem til det relevante, men de fritager ikke for at kontrollere det, konklusionen bygger på.

Rapportering

Standarden lægger vægt på, at rapporten indeholder det nødvendige for at efterprøve arbejdet: hvad der er undersøgt, med hvilke metoder, hvilke fund der er gjort, hvordan de er fortolket, og med hvilke begrænsninger. Den skal også beskrive, hvad der ikke er undersøgt. Det sidste overses ofte, men er afgørende for, at læseren ikke tillægger rapporten en bredde, den ikke har.

Begrænsningerne bør være konkrete. “Undersøgelsen har visse begrænsninger” siger intet. “Telefonens slettede beskeder er ikke undersøgt, fordi udtrækket var logisk” fortæller læseren præcis, hvilket spørgsmål rapporten ikke kan besvare.

Fagfællebedømmelse

Standarden peger på kontrol af analysen og fortolkningen ved en anden kompetent person som et middel til at sikre kvaliteten. En gennemgang kan fange fejl i både analyse og ræsonnement, før rapporten afleveres. Formerne og en tjekliste er beskrevet i fagfællebedømmelse af forensisk arbejde.

Brugen i en tvist

En henvisning til ISO/IEC 27042 i en rapport har kun værdi, hvis principperne kan ses i arbejdet. Det, der overbeviser, er en rapport, hvor fund og vurdering er adskilt, hvor alternative forklaringer er behandlet, og hvor en anden sagkyndig kan følge sporet fra kildedata til konklusion. Struktur og formuleringer er beskrevet i rapportskrivning.

Når en modparts rapport gennemgås, er 27042 en nyttig tjekliste: Er analyse og fortolkning skilt ad? Er metoden beskrevet så præcist, at den kan reproduceres? Er alternative forklaringer overvejet? Er kompetencen dokumenteret for netop den datatype, der er fortolket?

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Kvalitet og standarder

Læs også: ISO/IEC 27041: sikring af, at metoden er egnet · ISO/IEC 27043: principper og processer for hændelsesundersøgelser

→ Second opinion på en IR- eller forensic-rapport · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik