Forside › Kvalitet og standarder · Gennemgået oktober 2026 · Af John Nielsen
Kvalitetsstyring i digital forensics handler om at kunne vise, at arbejdet udføres efter faste, egnede procedurer, at udstyr og værktøjer er kontrolleret, at fejl fanges og rettes, og at erfaringerne fører til forbedringer. Det kræver ikke en akkreditering og heller ikke en stor organisation. En lille praksis, også en med én eller to analytikere, kan have et enkelt system, der dækker de samme spørgsmål som en standard, i et omfang, der passer til opgaverne. Hvad en egentlig akkreditering indebærer, er beskrevet i ISO/IEC 17025 og digital forensics.
Hvorfor det betyder noget i en civil sag
Når en rapport bliver anfægtet, går spørgsmålene sjældent på den enkelte konklusion alene. De går på grundlaget: Hvordan ved du, at værktøjet virker? Hvem har kontrolleret dit arbejde? Hvad gør du, når noget går galt? En praksis med et kvalitetssystem kan svare ved at henvise til dokumenterede procedurer og registreringer. En praksis uden må svare ud fra hukommelsen. Det første er lettere at forsvare.
Systemets byggesten
Et kvalitetssystem i en lille praksis kan bygges af syv dele. Hver del kan være et kort dokument eller et regneark.
- Procedurer · Faste fremgangsmåder for de opgaver, der udføres jævnligt
- Skabeloner · Bevislog, hashlog, sikringsrapport, rapportstruktur
- Udstyrsregister · Skrivebeskyttere, diske, arbejdsstationer, med kontroldatoer
- Værktøjsregister · Værktøjer, versioner, validering og kendte begrænsninger
- Kompetence · Uddannelse, kurser og afprøvede opgavetyper pr. analytiker
- Afvigelser · Log over fejl, årsag, konsekvens og rettelse
- Gennemgang · Periodisk evaluering af systemet og ændringer
Procedurer i passende omfang
Skriv procedurer for de opgaver, du faktisk udfører, ikke for alt, der kunne komme. Typisk er det sikring af computer, sikring af mobil, indsamling fra Microsoft 365 eller Google Workspace, hashkontrol, opbevaring og sletning af beviskopier samt rapportering.
En god procedure er kort. Den beskriver formål, forudsætninger, trin, kontrolpunkter og hvad der skal registreres. Den må gerne henvise til leverandørens dokumentation frem for at gengive den. Det vigtige er, at procedurerne er versionerede, så det altid kan ses, hvilken version der gjaldt, da en bestemt sag blev behandlet.
Afvigelser fra proceduren er tilladt, når situationen kræver det, men de skal begrundes og registreres. → Afvigelser og fejl undervejs
Sagsmodtagelse og opdrag
Kvaliteten afgøres ofte, før det tekniske arbejde begynder. En fast fremgangsmåde for sagsmodtagelse sikrer, at de samme ting afklares hver gang:
- Konflikttjek: Har praksis arbejdet for modparten eller i en sag, der hænger sammen med denne?
- Opdraget skriftligt: Hvilke spørgsmål skal besvares, for hvem, og inden for hvilken afgrænsning?
- Kompetence og kapacitet: Ligger opgaven inden for det, praksis har procedurer og erfaring til?
- Modtagelse af materiale: Hvordan registreres det, der modtages, og hvem kvitterer?
Uklare spørgsmål omsættes til et teknisk kommissorium, som opdragsgiver godkender, før analysen begynder. Ændres opdraget undervejs, registreres ændringen med dato og begrundelse. → Teknisk kommissorium
Udstyr og værktøjer
Udstyrsregistret viser, hvad der findes, og hvornår det sidst er kontrolleret. For en skrivebeskytter betyder det en enkel test, der viser, at den blokerer skrivning, gentaget med faste mellemrum og efter firmwareopdateringer. For målmedier betyder det, at de er renset eller nye før brug, og at det er registreret.
Værktøjsregistret viser, hvilke versioner der er i brug, hvornår de er taget i brug, og hvilken validering der ligger bag. Validering med kendte data kan bygges op over tid, så hver ny version afprøves mod de samme testsæt. → Testdatasæt og referencedata
Notér også de kendte begrænsninger: et format, værktøjet ikke understøtter, en app-version, det tolker forkert, eller en type tidsstempel, der skal kontrolleres manuelt. Den liste er værdifuld, når en rapport skal skrives, fordi begrænsningerne så kan beskrives præcist. Bruges AI-værktøjer i analysen, gælder de samme krav om registrering og validering, se AI i egen analyse.
Kompetence
Registrér, hvilke opgavetyper hver analytiker har gennemført og er trænet i, fx sikring af en bestemt telefontype eller analyse af en bestemt logkilde. Når en ny type opgave kommer, er det et naturligt tidspunkt at afprøve metoden på testdata, før den bruges i en sag. Kompetence handler også om at kende sine grænser: En opgave uden for det, praksis har erfaring med, bør afslås, løses sammen med en anden eller beskrives med tydelige forbehold.
Review, når man er få
Den største udfordring for en lille praksis er uafhængig kontrol. Med én analytiker er der ingen kollega på gangen. Der er flere måder at løse det på:
- en aftale med en anden fagperson om gensidig gennemgang under fortrolighed,
- en struktureret selvgennemgang efter en tjekliste, gennemført med tidsmæssig afstand til analysen,
- teknisk review af de fund, konklusionen hviler på, frem for hele rapporten.
Selvgennemgang er svagere end gennemgang ved en anden person, og det bør ikke beskrives som andet, end det er. Fortrolighed og opdragsgiverens accept skal afklares, før materiale deles med en reviewer uden for praksis. → Fagfællebedømmelse af forensisk arbejde
Dokumentstyring
Procedurer, skabeloner og registre er kun nyttige, hvis det er klart, hvilken version der gælder. Giv hvert dokument et versionsnummer, en dato og en kort ændringsbeskrivelse, og gem de gamle versioner. Notér i sagens arbejdsnoter, hvilken version af en procedure der blev fulgt. Kommer der spørgsmål til en sag flere år senere, kan det så dokumenteres, hvilke krav der gjaldt dengang, også selv om proceduren siden er ændret.
Afvigelseslog og forbedringer
Alle afvigelser registreres i én fælles log på tværs af sager. Hver post angiver sag, dato, hvad der skete, årsag, konsekvens og hvad der er gjort for at undgå gentagelse. Gennemgå loggen med faste mellemrum. Går den samme type fejl igen, er det proceduren eller udstyret, der skal ændres, ikke kun den enkelte sag.
Gennemgang af systemet
Mindst en gang om året bør hele systemet gennemgås. Er procedurerne stadig dækkende? Er der nye platforme eller logkilder, som opgaverne kræver? Er udstyret kontrolleret? Er der ændringer i værktøjerne, der kræver ny validering? Resultatet skrives ned med dato og de beslutninger, der blev truffet. Det er den registrering, der viser, at systemet lever.
Fortrolighed og informationssikkerhed
Kvalitet omfatter også beskyttelsen af det materiale, praksis modtager. Beviskopier skal opbevares krypteret og med adgangskontrol, adgang bør logges, og sletning efter sagens afslutning skal dokumenteres. Det er samme princip: en fast fremgangsmåde og registreringer, der viser, at den er fulgt.
Fortrolighed omfatter også de testdata, skabeloner og eksempler, praksis bruger internt. Brug aldrig data fra en tidligere sag som testdata eller som eksempel i en procedure, heller ikke i anonymiseret form, medmindre det er aftalt. Testdata skal være skabt til formålet eller hentet fra offentlige testsæt, så de kan deles med en reviewer uden at bryde fortroligheden. De etiske afvejninger, der ligger bag reglerne, er beskrevet i Etiske dilemmaer i digital forensics.
Hvad du kan sige om systemet
Har praksis et kvalitetssystem uden akkreditering, skal det beskrives præcist: hvilke procedurer der findes, hvordan værktøjer valideres, og hvordan review foregår. Det må ikke fremstilles som en akkreditering eller certificering. Om akkreditering har betydning i civile sager, er et særskilt spørgsmål. → Er akkreditering et krav i civile sager?
Kom i gang
- ☐ Skriv procedurer for de tre-fire hyppigste opgavetyper
- ☐ Opret udstyrs- og værktøjsregister med kontroldatoer
- ☐ Byg ét testdatasæt for den vigtigste værktøjskategori
- ☐ Indfør en fælles afvigelseslog
- ☐ Aftal en form for review, og beskriv den ærligt
- ☐ Planlæg den første årlige gennemgang
Kilder og versioner
- ISO/IEC 17025:2017 om laboratoriers kompetence og ledelsessystem
- ENFSI-BPM-FIT-01: ressourcer, validering, færdighedsprøver og peer review, PDF
- NIST: Computer Forensics Tool Testing Program (CFTT)
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Kvalitet og standarder
Læs også: Testdatasæt og referencedata: sådan bygges en test · Forensic readiness teknisk: baseline for logning, opbevaring og tidssynkronisering
→ Second opinion på en IR- eller forensic-rapport · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
