Logning af analytikerens egen adgang til beviskopier

Forside › Sikring: metoderne samlet · Gennemgået oktober 2026 · Af John Nielsen

Den, der undersøger data, skal også selv kunne undersøges. Logning af analytikerens adgang til beviskopier betyder, at det registreres, hvem der har åbnet en kopi, hvilke søgninger der er kørt, hvilke elementer der er set, og hvad der er eksporteret. Det giver sporbarhed i tre retninger: over for modparten, der kan rejse tvivl om, hvorvidt data er ændret eller misbrugt; over for de registrerede personer, hvis private data indgår; og internt, hvor det beskytter analytikeren mod mistanke. Logningen skal være automatisk, hvor det kan lade sig gøre, og loggen skal være beskyttet mod ændring af dem, den handler om.

Forskellen på bevislog, arbejdsnoter og adgangslog

Tre slags dokumentation supplerer hinanden:

Bevislog · Hvad det registrerer: Objekter, overdragelser, kopier, hashkontroller · Hvem skriver: Manuelt, af den ansvarlige
Arbejdsnoter · Hvad det registrerer: Hvad analytikeren gjorde og hvorfor, observationer · Hvem skriver: Manuelt, af analytikeren
Adgangslog · Hvad det registrerer: Hvem tilgik hvilke data, hvornår, og hvad der skete · Hvem skriver: Automatisk, af systemerne

Bevisloggen er beskrevet i Chain of custody-loggen og arbejdsnoterne i Arbejdsnoter under undersøgelsen. Adgangsloggen er den automatiske, tekniske registrering, som ikke afhænger af, at nogen husker at skrive.

Hvor adgangen kan logges

Adgang til beviskopier sker gennem flere lag, og hvert lag kan logge:

Lagringen: Filserver, NAS eller cloudlager kan registrere, hvem der læser og skriver filer i sagens område. På Windows-servere kræver det, at objektadgangsrevision er slået til for de relevante mapper. I cloudlagring skal adgangslogning typisk aktiveres særskilt.
Analysemaskinen: Styresystemets log over logon og eventuelt procesoprettelse viser, hvem der var logget på, og hvilke programmer der kørte.
Analyseværktøjet: Nogle forensiske værktøjer fører en log over åbnede sager, søgninger og eksporter. Kontrollér, hvad dit værktøj registrerer, og om loggen kan slås til.
Gennemgangsplatforme: eDiscovery- og gennemgangsværktøjer har typisk detaljerede auditlogs over, hvem der har set hvilket dokument, hvilke koder der er sat, og hvad der er eksporteret.
Fysisk adgang: Adgangskontrol til rummet eller skabet, hvor medier opbevares.

Ingen af lagene dækker alt. Lagringen ser, at en beholderfil er læst, men ikke hvilke filer i beholderen der er åbnet. Analyseværktøjet ser søgningerne, men ikke kopiering af beholderen til et USB-medie. Kombinationen giver billedet.

Hvad der bør registreres

Som minimum bør det kunne fastslås:

hvilken person der tilgik hvilken sag og hvilket objekt,
hvornår adgangen startede og sluttede, med tidszone,
om der blev læst, skrevet, slettet eller eksporteret,
hvilke søgninger der blev kørt i indholdet, hvis værktøjet kan registrere det,
hvilke elementer der blev eksporteret, og hvortil.

Det sidste punkt er det vigtigste i forhold til persondata. En søgning, der rammer private mails, er en del af analysen. En eksport af dem er en ny behandling, der skal kunne begrundes. → Private data på arbejdsenheden: teknisk adskillelse

Personlige konti

Logning er kun meningsfuld, hvis adgangen sker med personlige konti. Fælleskonti på analysemaskiner eller i gennemgangsplatforme gør det umuligt at føre en handling tilbage til en person. Det gælder også administrative konti: Den, der administrerer lagringen, bør bruge en særskilt konto til sagsarbejde, så administrative handlinger kan skelnes fra analyse.

Loggens integritet

En adgangslog, som analytikeren selv kan slette eller ændre, er svag dokumentation. Beskyt den:

Send loggen væk fra systemet, fx til en central logserver eller et SIEM, som analytikeren ikke administrerer.
Begræns rettigheder, så de personer, loggen handler om, kun kan læse, ikke ændre den.
Gem en hashværdi af logudtræk ved sagens afslutning, og registrér den i bevisloggen.
Synkronisér urene på analysemaskiner og lagring, så tidsstempler i forskellige logs kan sammenholdes.

Generelle metoder til at vise, at en log ikke er ændret, er beskrevet i Logintegritet.

Et minimum for den lille praksis

En enkeltmandspraksis eller en lille IT-afdeling har sjældent et SIEM eller en central logserver. Sporbarheden kan alligevel etableres med enkle midler:

Krypterede volumener pr. sag, som kun monteres, når der arbejdes på sagen, og en manuel registrering af hver montering i arbejdsnoterne.
Styresystemets egen logning af logon og objektadgang på analysemaskinen, med loggen kopieret og hashet ved sagens afslutning.
Analyseværktøjets egen log slået til, hvor den findes.
En fast regel om, at eksporter kun sker til en bestemt mappe, som registreres i bevisloggen.

Det giver ikke samme uafhængighed som en central log, og det skal fremgå af dokumentationen. Men det gør det muligt at redegøre konkret for adgangen, og det er langt bedre end ingenting. Virksomheders egen, enklere adgangslog over digitale kopier findes som skabelon på Skabelon til intern log over beviser.

Adgang for eksterne

Får en skønsmand, modpartens sagkyndige eller en advokat adgang til data i en gennemgangsplatform eller et delt lager, skal de have personlige konti, og deres adgang logges på samme måde som analytikerens. Afgræns adgangen til de data, der er aftalt, og fjern den, når opgaven er afsluttet. Eksportér loggen over eksterne adgange som en del af sagens dokumentation.

Opbevaring og gennemgang

Adgangsloggen gemmes, så længe beviskopierne gemmes, og lidt længere, så det kan dokumenteres, hvem der havde adgang i hele perioden. Den bør gennemgås med jævne mellemrum, fx ved sagens afslutning og ved overdragelse af ansvaret, med fokus på adgang uden for arbejdstid, adgang fra uventede konti og eksporter, der ikke kan forklares ud fra arbejdsnoterne. Afvigelser undersøges og dokumenteres.

Loggen indeholder selv persondata om analytikerne. Den bør ikke bruges til andet end sporbarhed i sagen og kvalitetsstyring, og de ansatte bør være orienteret om logningen.

Når loggen bliver bevis

Hvis modparten rejser tvivl om, hvorvidt beviskopien er blevet ændret, eller om data er brugt til andet end sagen, kan adgangsloggen være det, der besvarer spørgsmålet. Udtræk den relevante del, beregn hashværdi, og beskriv, hvilke systemer den stammer fra, og hvad de registrerer og ikke registrerer. Begrænsningerne skal fremgå. En log, der kun dækker lagringen, kan ikke vise, hvad der skete inde i analyseværktøjet. → Opbevaring af beviskopier

Typiske fejl

Objektadgangsrevision er ikke slået til på sagens mapper, så lagringen intet registrerer.
Analytikere bruger en fælles konto på analysemaskinen.
Loggen ligger på samme server som data og kan slettes af samme administratorer.
Gennemgangsplatformens auditlog eksporteres ikke, før abonnementet eller sagen lukkes.
Urene på analysemaskiner går forkert, så logs ikke kan sammenholdes.
Ingen gennemgår loggen, før den skal bruges.
Eksterne får adgang via en delt konto eller et åbent link, så deres handlinger ikke kan skelnes fra hinanden.
Logningen slås først til, efter at analysen er i gang, så de første dages adgang mangler.

Hvad adgangsloggen kan og ikke kan bevise

En komplet og beskyttet adgangslog kan vise, hvilke personer der har tilgået beviskopierne og hvornår, og den kan understøtte, at der ikke er sket uautoriseret adgang i de systemer, den dækker. Den kan ikke vise, hvad en person har læst på skærmen og husket, og den dækker ikke adgang uden om de loggede systemer. Hullerne skal derfor beskrives lige så tydeligt som indholdet.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Sikring: metoderne samlet

Læs også: Langtidsopbevaring: kan beviskopien læses om ti år? · Tilbagelevering af originalmedier og dokumentation af tilstand

→ Forensisk sikring · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik