ISO/IEC 27043: principper og processer for hændelsesundersøgelser

Forside › Kvalitet og standarder · Gennemgået oktober 2026 · Af John Nielsen

ISO/IEC 27043 er rammen, der binder de andre forensiske standarder sammen. Den beskriver en undersøgelse af en hændelse som en række procesgrupper, fra forberedelsen, før noget er sket, til afslutningen, og den beskriver de processer, der skal løbe parallelt hele vejen: dokumentation, kæde af ansvar (chain of custody), bevarelse og autorisation. For IT-sikkerhed og SOC er standarden særligt nyttig, fordi den viser, hvordan en hændelseshåndtering kan indrettes, så de spor, der sikres, også kan bruges som bevis bagefter.

De øvrige standarder i familien er præsenteret i ISO/IEC 27037 og NIST SP 800-86 forklaret, og den amerikanske vejledning om hændelseshåndtering i NIST SP 800-61 og bevissikring.

Fire procesgrupper

Standarden blev udgivet i 2015 og inddeler undersøgelsen i fire grupper, på engelsk readiness, initialization, acquisitive og investigative processes. Dertil kommer de parallelle processer (concurrent processes), som løber gennem dem alle.

Parathed · Forberedelse, før en hændelse sker: hvilke data der findes, hvordan de opbevares, hvem der har ansvaret
Igangsættelse · Når hændelsen opdages: første vurdering, beslutning om undersøgelse, planlægning
Erhvervelse · Identifikation, indsamling, sikring, transport og opbevaring af potentielle beviser
Undersøgelse · Analyse, fortolkning, rapportering, fremlæggelse og afslutning

Erhvervelsen er dækket i dybden af ISO/IEC 27037, analysen og fortolkningen af ISO/IEC 27042. 27043 sætter dem ind i en helhed og tilføjer det, der ligger før og efter.

Parathed: den undervurderede del

Parathedsprocesserne er det, der i fagsproget kaldes forensic readiness: at organisationen har indrettet sig, så de nødvendige spor findes, når hændelsen sker. Det handler om:

Hvilke logs der indsamles, og hvor længe de opbevares.
Hvor logs opbevares, så en angriber med administratoradgang ikke kan slette dem.
Tidssynkronisering på tværs af systemer, så hændelser kan korreleres.
Roller og procedurer, så det er aftalt, hvem der må sikre hvad.
Værktøjer og kompetencer, der er klar, før de skal bruges.

Det er her, mange undersøgelser vindes eller tabes. En loginlog, der kun opbevares i en kort periode, eller en firewall, der ikke logger udgående forbindelser, kan ikke repareres bagefter. Hvordan logintegritet sikres, er beskrevet i logintegritet.

Igangsættelse

Når en hændelse opdages, træffes de beslutninger, der afgør resten: Er det en sikkerhedshændelse, der kun skal håndteres, eller en sag, der kan ende i en tvist, en forsikringssag eller en anmeldelse til en tilsynsmyndighed? Standarden lægger vægt på, at beslutningen om at undersøge træffes bevidst, og at undersøgelsens formål og omfang fastlægges.

I praksis går igangsættelse og de første indgreb ofte i ét. SOC’en isolerer en maskine, nulstiller en adgangskode og blokerer en IP-adresse, før nogen har besluttet, om der skal være en forensisk undersøgelse. Det er ikke forkert, men indgrebene skal registreres med tidspunkt og formål, fordi de efterlader spor, der senere skal skilles fra angriberens. Se log over indgreb under incident response.

Erhvervelse

Her gælder principperne fra 27037: identifikation af kilder, valg mellem indsamling og kopi, flygtige data først, hashværdier og skrivebeskyttelse. 27043 tilføjer, at erhvervelsen skal være planlagt ud fra undersøgelsens formål, og at transport og opbevaring er en del af processen, ikke noget, der sker bagefter.

Undersøgelse

Undersøgelsesgruppen omfatter analyse og fortolkning, men også rapportering, fremlæggelse og afslutning. Afslutningen er værd at bemærke: Standarden ser det som en del af processen at afgøre, hvad der sker med beviser og kopier, når undersøgelsen er slut, og at evaluere forløbet, så erfaringerne indgår i den næste paratheds-indsats.

De gennemgående processer

Ud over de fire grupper beskriver standarden processer, der løber parallelt gennem hele forløbet:

Autorisation: Hvert skridt kræver et grundlag, og det skal kunne vises, hvem der godkendte det.
Dokumentation: Handlinger, beslutninger og observationer registreres løbende.
Informationsflow: Hvem får hvilke oplysninger hvornår.
Kæde af ansvar: Hvem har haft beviserne, og hvornår.
Bevarelse: Beviserne beskyttes mod ændring hele vejen.
Samspil med fysiske undersøgelser: Digitale spor og fysiske forhold, fx adgangskort og kameraer, koordineres.

De gennemgående processer er netop dem, der ofte svigter under en travl hændelseshåndtering. Mens teknikerne arbejder, er der ingen, der skriver ned. Et praktisk værn er at udpege en person, hvis eneste opgave er at føre log. Kæden af ansvar er beskrevet i chain of custody-loggen.

Koblingen til incident response

Hændelseshåndtering har sin egen standard, ISO/IEC 27035, og egne rammeværker. Hændelseshåndteringens mål er at begrænse skaden og genoprette driften. Undersøgelsens mål er at fastlægge, hvad der skete, på en måde, der kan efterprøves. 27043 er skrevet, så de to kan løbe sammen: Parathed og igangsættelse deles, og erhvervelsen kan ske parallelt med genopretningen.

Forskellen og samspillet er beskrevet i forensic eller incident response. Det centrale er, at de beslutninger, der træffes i de første timer, afgør, om hændelseshåndteringens resultater senere kan bruges som bevis. En IR-rapport, der skal bruges i en tvist, bliver vurderet på, om den lever op til principper som dem i 27043. Hvad der typisk mangler, er beskrevet i IR-rapporten som bevis.

Ekstern leverandør og egen organisation

Mange hændelser håndteres af en ekstern IR-leverandør eller en MSP, mens en anden part senere skal vurdere sagen. Det giver en ekstra overgang, hvor kæden kan knække: Leverandøren sikrer data i sine egne værktøjer og formater, og den, der senere skal undersøge, får kun en rapport eller et udsnit. Med 27043 som ramme kan det aftales på forhånd, at rådata, hashværdier, indgrebslog og kæde af ansvar afleveres sammen med rapporten, så undersøgelsen kan fortsætte uden at starte forfra. Hvad overdragelsen konkret bør indeholde, står i Overdragelse fra IR-team til sagkyndig, og hvordan trinene skrives ind i beredskabet, i Bevissikringstrin i jeres IR-playbooks.

Leverandøren kan også selv være en del af det, der skal undersøges, fx når indgangen gik gennem leverandørens fjernadgang. Så er det en fordel, at organisationen selv ejer og kan sikre de centrale logs.

Brug som tjekliste

Standarden kan bruges til at gennemgå en organisations beredskab:

☐ Er det fastlagt, hvilke logkilder der er relevante, og hvor længe de opbevares?
☐ Er logs beskyttet mod sletning af en kompromitteret administrator?
☐ Er der en procedure for, hvem der beslutter, om en hændelse skal undersøges forensisk?
☐ Registreres indgreb med tidspunkt, person og formål?
☐ Er der en skabelon for kæde af ansvar, som SOC’en kender?
☐ Evalueres forløbet bagefter, og føres erfaringerne tilbage til beredskabet?

Tid som gennemgående krav

En hændelsesundersøgelse samler data fra mange systemer, og tidsangivelserne skal kunne sammenholdes. Standarden forudsætter, at tid behandles konsekvent: at systemernes urkilde kendes, at tidszoner noteres for hver kilde, og at afvigelser mellem ure dokumenteres. Det hører til parathed, fordi det ikke kan rettes bagefter, hvis en server har kørt med forkert ur i månedsvis uden at nogen har registreret det.

Begrænsninger

27043 er en procesmodel. Den siger ikke, hvordan et bestemt system sikres, eller hvordan en bestemt log fortolkes. Den skal kombineres med platformsspecifik viden og med de mere detaljerede standarder. Ligesom de andre standarder i familien er den en frivillig vejledning og en anerkendt beskrivelse af god praksis. Hvordan retten vurderer beviser, der er sikret med eller uden standarden, er beskrevet i fri bevisbedømmelse og digitale beviser.

Værdien ligger i helheden: at det, der sker før hændelsen, i de første timer og efter afslutningen, ses som én proces. Det er sjældent den tekniske analyse, der svigter i en hændelsesundersøgelse. Det er overgangene.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Kvalitet og standarder

Læs også: ISO/IEC 27042: analyse og fortolkning af digitale beviser · ISO/IEC 27050: eDiscovery-standarden

→ Second opinion på en IR- eller forensic-rapport · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik