Konklusionsgrader: verbale skalaer og likelihood ratio

Forside › Kvalitet og standarder · Gennemgået oktober 2026 · Af John Nielsen

En konklusionsgrad angiver, hvor stærkt fundene støtter en bestemt forklaring. I digital forensics bruges oftest en verbal skala, fx “foreneligt med”, “sandsynligt” og “fastslået”. Den evaluerende tilgang, som europæiske retningslinjer for forensisk rapportering anbefaler, går et skridt videre: Den vurderer ikke én forklaring alene, men hvor meget mere sandsynlige fundene er, hvis den ene forklaring er rigtig, end hvis den anden er. Det forhold kaldes likelihood ratio. Artiklen forklarer begge tilgange, og hvordan de kan bruges i digitale sager, hvor egentlige statistiske data sjældent findes. Grundskalaen og dens plads i rapporten er beskrevet i rapportskrivning i digital forensic.

To måder at udtrykke sikkerhed

Kategorisk · Spørgsmål: Hvor sikkert er det, at X skete? · Typisk formulering: “Det er sandsynligt, at filen er kopieret til drevet.”
Evaluerende · Spørgsmål: Hvor meget bedre passer fundene med X end med Y? · Typisk formulering: “Fundene støtter i moderat grad forklaringen om kopiering frem for forklaringen om, at filen allerede lå på drevet.”

Den kategoriske formulering er let at læse, men den blander to ting sammen: hvad fundene viser, og hvor sandsynlig forklaringen er samlet set. Det sidste afhænger af alt det andet i sagen, som den sagkyndige ikke kender eller ikke skal vurdere. Den evaluerende formulering holder sig til fundene og overlader den samlede vurdering til retten.

Likelihood ratio forklaret

Likelihood ratio er forholdet mellem to sandsynligheder:

sandsynligheden for fundene, hvis forklaring A er rigtig,
sandsynligheden for de samme fund, hvis forklaring B er rigtig.

Er forholdet større end 1, støtter fundene A frem for B. Er det mindre end 1, støtter de B. Er det tæt på 1, siger fundene ikke meget om valget mellem de to.

Pointen er ikke tallet, men tankegangen. Et fund, der er lige så forventeligt under begge forklaringer, har ingen beviskraft for valget mellem dem, selv om det umiddelbart “passer med” den ene. En USB-tilslutning dagen før fratrædelsen passer med, at filer blev kopieret. Men hvis medarbejderen brugte det samme drev hver uge i hele ansættelsen, er tilslutningen næsten lige så forventelig under forklaringen om almindeligt arbejde.

Verbale ækvivalenter

ENFSI’s retningslinjer for evaluerende rapportering fra 2015 knytter faste verbale udtryk til intervaller af likelihood ratio: svag støtte (2 til 10), moderat (10 til 100), moderat stærk (100 til 1.000), stærk (1.000 til 10.000), meget stærk (10.000 til 1.000.000) og ekstremt stærk støtte (over 1.000.000). Et forhold på 1 betyder, at fundene ikke støtter den ene forklaring frem for den anden. I digital forensics er det sjældent muligt at beregne et egentligt tal, fordi der ikke findes data om, hvor ofte et bestemt artefakt opstår under forskellige forklaringer. Skalaen kan stadig bruges kvalitativt, så længe det står tydeligt, at graden er en faglig vurdering og ikke en beregning. Den europæiske referenceramme er beskrevet i ENFSI’s Best Practice Manual.

Formulér to forklaringer

Den evaluerende tilgang kræver, at der altid er mindst to forklaringer, og at de er formuleret på samme niveau. Det er ofte her, den største gevinst ligger, også hvis du ender med en traditionel skala.

Forklaringer kan ligge på forskellige niveauer:

Kildeniveau: Stammer filen på drevet fra virksomhedens server?
Aktivitetsniveau: Blev filen kopieret til drevet den pågældende dag, eller lå den der i forvejen?
Personniveau: Var det medarbejderen, der foretog handlingen?

Digitale spor siger typisk mest på kilde- og aktivitetsniveau. Personniveauet kræver sammenhænge, som artefakterne sjældent alene kan bære. Blandes niveauerne, fx ved at konkludere om personen ud fra et fund på aktivitetsniveau, går konklusionen længere end fundene. → Fra artefakt til konklusion

Forklaringerne bør formuleres ud fra opdraget og gerne afstemmes med opdragsgiver tidligt. Kender du modpartens forklaring, er den et naturligt bud på forklaring B.

Et skematisk eksempel

Spørgsmålet er, om et dokument blev kopieret til et USB-drev på en bestemt dag. Forklaring A: Det blev kopieret den dag. Forklaring B: Det lå på drevet i forvejen og blev kun åbnet den dag. For hvert fund spørges: Hvor forventeligt er det under A, og hvor forventeligt under B?

Drevet tilsluttet den dag · Under A: Forventeligt · Under B: Forventeligt
LNK-fil peger på dokumentet på drevet · Under A: Forventeligt · Under B: Forventeligt
Kildefilen på computeren åbnet kort før · Under A: Forventeligt · Under B: Mindre forventeligt
Drevet tilsluttet første gang samme dag · Under A: Forventeligt · Under B: Lidt forventeligt

De to første fund støtter ikke valget mellem A og B, selv om de passer med kopiering. Det er de to sidste, der bærer vurderingen. Skemaet er en illustration af tankegangen, ikke en facitliste for en bestemt artefakttype.

Flere fund samlet

Når flere fund peger samme vej, styrkes vurderingen, men kun hvis fundene er uafhængige. To artefakter, der opstår af den samme systemhændelse, er i praksis ét fund. Beskriv derfor, hvilke fund der har fælles oprindelse, før de lægges sammen i en samlet grad.

Den omvendte slutning

Den mest almindelige fejl i omtalen af sikkerhed er at bytte om på betingelsen. “Det er meget usandsynligt at se disse spor, hvis filen ikke blev kopieret” er ikke det samme som “det er meget usandsynligt, at filen ikke blev kopieret”. Den første sætning handler om fundene givet en forklaring. Den anden handler om forklaringen givet fundene, og den afhænger af sagens øvrige oplysninger. Skriv altid i den første form, og læs dine egne formuleringer igennem for ombytninger, før rapporten afleveres.

Hvornår er en kategorisk konklusion i orden?

Ikke alle spørgsmål kræver en vurdering af forklaringer. Rene observationer kan konstateres: at en fil findes, at en hashværdi stemmer, at en logpost har et bestemt indhold. Det samme gælder tekniske egenskaber, der kan efterprøves, fx at et dokument indeholder et bestemt metadatafelt. Skelnen mellem det, der kan konstateres, og det, der skal vurderes, er central i ISO/IEC 27042 om analyse og fortolkning.

Vurderingen begynder, når der skal siges noget om handlinger, rækkefølger eller årsager. Her er den evaluerende tankegang et værn mod at overvurdere fund.

Skalaen i praksis

Uanset tilgang gælder de samme krav:

Definér skalaen i rapporten, før den bruges.
Brug den konsekvent. Det samme udtryk skal betyde det samme overalt.
Begrund graden med henvisning til konkrete fund og til, hvad der taler imod.
Undgå procenter, medmindre de bygger på en egentlig metode med data.
Angiv, hvad der kunne ændre vurderingen, fx en kilde, der ikke var tilgængelig.

Skriv graden ned, før du læser sagens øvrige materiale, hvis det er muligt. Kontekstinformation, som ikke har betydning for den tekniske vurdering, kan påvirke den ubevidst. → Bias i forensisk analyse

Skalaen skal også gælde for negative fund. At et forventet spor mangler, kan støtte den ene forklaring frem for den anden, men kun hvis sporet faktisk ville være opstået under den første forklaring, og kilden dækker perioden. Et fravær i en log, der er roteret, siger ingenting. Beskriv derfor også for manglende spor, hvor forventeligt de var under hver forklaring.

Set fra læserens side

For en jurist kan den evaluerende formulering virke tilbageholdende, fordi den ikke svarer ja eller nej. Forklar derfor skalaen kort og i almindeligt sprog i rapportens indledning, og giv gerne et eksempel. Hvordan advokater typisk læser sikkerhedsudtryk i en teknisk rapport, er beskrevet på søstersitet. → Sådan læser du en IT-sagkyndig rapport

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Kvalitet og standarder

Læs også: Arbejdsnoter under undersøgelsen: hvad, hvornår og hvordan · Gennemgang af modpartens forensiske rapport: teknisk tjekliste

→ Uvildig IT-sagkyndig med forensic-baggrund · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik