...

Uvildig IT-sagkyndig og expert witness i forensic

En IT-sagkyndig med forensic-baggrund kan både sikre og analysere data og stå inde for resultatet over for en domstol, en voldgiftsret eller en modpart. Forskellen til en ren forensic-analytiker ligger ikke i værktøjerne, men i rollen: den sagkyndige skal være uvildig, kunne forklare metoden for ikke-teknikere og være parat til, at konklusionen bliver prøvet af en anden.

Nielco IT påtager sig rollen uvildigt: uden produkter, uden leverandørbindinger og under tavshedspligt om alt, der kommer frem i sagen.

Situationen

Behovet for en sagkyndig, og ikke kun en tekniker, opstår typisk, når:

en intern undersøgelse kan ende i en afskedigelse, et erstatningskrav eller en retssag,
virksomhedens egen IT eller IR-leverandør selv kan være en del af forklaringen,
modparten har en teknisk rapport, som skal imødegås sagligt,
retten eller parterne skal have en skønsmand eller en sagkyndig erklæring,
en voldgiftssag om et IT-projekt kræver teknisk vurdering af leverancen.

Analytiker eller IT-sagkyndig?

En forensic-analytiker i en IR-virksomhed eller en IT-afdeling er ofte dygtig til at finde spor. Men analytikeren arbejder typisk for den, der har ansvaret for systemerne, og kan være inhabil, hvis spørgsmålet er, om systemerne var sat korrekt op, eller om leverandøren selv har lavet fejl. Teknisk set kan inhabilitet opstå, når:

analytikeren har administratoradgang til de systemer, der undersøges,
leverandøren har konfigureret logning, backup eller adgangsstyring, som nu er til debat,
analytikerens egne indgreb under en hændelse er en del af tidslinjen,
der er et kommercielt forhold, der afhænger af konklusionen.

Den uvildige IT-sagkyndige kommer udefra, uden binding til driften, og dokumenterer metoden, så den kan efterprøves. → Uvildighed i praksis: metodiske værn

Hvad rollen omfatter

Teknisk kommissorium: spørgsmålene omsat til en afgrænset analyseopgave. → Teknisk kommissorium
Sikring efter anerkendte principper med hash og bevislog. → Kvalitet, dokumentation og standarder
Analyse med hypoteser, alternative forklaringer og bevidsthed om bias. → Bias i forensisk analyse
Rapport eller erklæring med metode, fund, konklusionsgrader og forbehold.
Besvarelse af skønstemaer, når den sagkyndige er udmeldt af retten. → Besvarelse af skønstemaer
Forklaring i retten, hvor hash, tidsstempler og logs skal forklares, så de kan forstås. → Teknisk forklaring i retten

Hvornår skal den sagkyndige ind?

Jo tidligere, jo bedre, men det behøver ikke være dyrt. Når en uvildig sagkyndig er med fra sikringen, er der ingen diskussion bagefter om, hvordan data blev hentet. Kommer den sagkyndige først ind, når en rapport allerede er skrevet, kan der kun vurderes på det, der er dokumenteret. Mange sager starter derfor med en sikring alene, og bliver først til en egentlig undersøgelse, når advokaten eller ledelsen har overblik over, hvilke spørgsmål der skal besvares. Hvis virksomhedens IT eller leverandør allerede er i gang, kan den sagkyndige følge med og dokumentere, så arbejdet kan bruges senere.

Hvad I får

en sagkyndig, der kan tage opgaven fra sikring til forklaring,
en metode, der er dokumenteret, så modpartens sagkyndige kan efterprøve den,
en rapport, der skelner tydeligt mellem fund, fortolkning og forbehold,
en vurdering, der ikke er farvet af drift, salg eller leverandørforhold.

Dokumentationen følger de samme felter som bevislog (chain of custody) og indholdsfortegnelse til en forensic-rapport.

Den grundlæggende forklaring af rollen findes på Hvad er en IT-sagkyndig?, og den juridiske side af uvildighed på Uvildighed og inhabilitet hos IT-sagkyndige.

Samarbejde med jeres IT, MSP eller IR-leverandør

Den uvildige rolle betyder ikke, at jeres egen IT eller IR-leverandør skal holdes ude. De kender systemerne og har ofte de første spor. Den sagkyndige dokumenterer deres oplysninger og indgreb som kilder, med tid og person, og holder dem adskilt fra egne fund. Med indsigt i incident response og erfaring fra hackerangreb kan Nielco IT følge et IR-forløb tæt uden at overtage det. Arbejdsdelingen er beskrevet på Samarbejde med IR-leverandøren, og den første samtale på Når I ringer. Er det for tidligt at vide, om der er brug for en sagkyndig, kan IT-afdelingen starte med teknisk sparring.

Prisen

Ingen beløb her. Prisen påvirkes især af:

opgavetype: sikring, analyse, gennemgang eller skøn,
antal kilder, enheder og konti,
tidsrum og temaer i kommissoriet,
hast (hastesager koster ekstra),
erklæringens form og længde,
forberedelse til og fremmøde ved vidneforklaring.

Se, hvordan opgaverne prissættes, på nielcoit.dk/priser.

Den sagkyndige

Nielco IT er John Nielsen, selvstændig fra 2009 og med mere end tre årtier i IT-sikkerhed; erfaringen spænder over finanssektoren, det offentlige myndighedsområde og kritisk infrastruktur. Egne opgaver som IT-sagkyndig har ført John Nielsen til danske retskredse og til UPC, Den Fælles Europæiske Patentdomstol, og der har også været opgaver via Voldgiftsinstituttet. Opdragsgivere er parter, advokater og domstole over hele landet. Habiliteten sikres ved konflikttjek før overslag, ingen dobbeltroller i samme sag og ingen opgave for modparten i samme tvist. Nielco IT har ingen leverandørpartnerskaber. → John Nielsen og Uvildighed og bindinger

Fortrolighed

Tavshedspligten omfatter alt, den sagkyndige ser og skriver i sagen, og viger kun for et krav fra domstolene. En NDA underskrives, hvis parten eller advokaten ønsker det.

Afgrænsning

Rollen udfyldes i retssager om civile krav, voldgift, interne undersøgelser og forhandlede løsninger. Er en person politianmeldt eller sigtet for økonomiske forhold, påtager Nielco IT sig ikke rollen for vedkommende. Se afgrænsningen.

Drøft rollen og konflikttjekket på 70 13 63 23, eller læs om ydelsen på nielcoit.dk.