Når MSP’en henvender sig på kundens vegne

Forside › Sikring: metoderne samlet · Gennemgået oktober 2026 · Af John Nielsen

Når en MSP ringer til en uvildig IT-sagkyndig om en hændelse hos en kunde, er det næsten altid kunden, der er opdragsgiver, ikke MSP’en. Kunden ejer data og systemer, kunden træffer beslutningerne, og kunden modtager rapporten. MSP’en er den tekniske kontakt, der åbner døren, stiller adgang til rådighed og overdrager det, der allerede er sikret. At få de roller på plads fra første samtale sparer tid og forhindrer problemer, hvis MSP’en senere selv bliver en del af sagen.

MSP’ens første time hos kunden er beskrevet på bevissikring-digitalt.dk, og de tekniske trin i tjekliste til MSP’er: når kunden ringer. Denne artikel handler om det næste skridt: når MSP’en henter en uvildig ind.

Hvem er opdragsgiver?

Opdragsgiveren er den, der har et spørgsmål, der skal besvares, og som har råderet over de data, der skal undersøges. I langt de fleste sager er det kunden, eventuelt repræsenteret ved sin advokat. MSP’en kan formidle kontakten, men opdraget, mandatet og beslutningerne skal komme fra kunden.

Der er tre grunde til at holde det adskilt:

• Råderet. MSP’en har teknisk adgang til kundens systemer, men ikke nødvendigvis ret til at beslutte, hvad der undersøges, eller hvem der får indsigt i resultatet.
• Uvildighed. Hvis MSP’en er opdragsgiver, kan den sagkyndiges rapport blive opfattet som MSP’ens partsindlæg, især hvis spørgsmålet berører MSP’ens egen drift.
• Rapportens modtager. Rapporten kan indeholde konklusioner om MSP’ens egne handlinger. Den skal gå til den, der har spurgt, og som kan bruge den.

I særlige tilfælde er MSP’en selv opdragsgiver, fx når MSP’en vil have dokumenteret sin egen rolle i en tvist med kunden. Så er det en anden opgave med en anden opdragsgiver, og den kan ikke kombineres med en opgave for kunden i samme sag.

Konflikttjek

Før en uvildig IT-sagkyndig siger ja, skal der laves et konflikttjek. Spørgsmålet er, om den sagkyndige har bindinger til kunden, til MSP’en, til en mulig modpart eller til andre involverede, der kan så tvivl om uvildigheden. Nielco IT’s politik er beskrevet under uvildighed og bindinger: konflikttjek før overslag, ingen dobbeltrolle i samme sag og ingen opgave for modparten i samme tvist.

Til konflikttjekket skal den sagkyndige kende kundens navn, MSP’ens navn og en kort beskrivelse af, hvad sagen drejer sig om, herunder om der er en kendt modpart. MSP’en kan med fordel have de oplysninger klar, når der ringes.

MSP’ens egen rolle i sagen

MSP’en er sjældent kun budbringer. MSP’en har typisk administratoradgang, egne konti i kundens miljø, fjernadgangsværktøjer og ansvar for patching, backup og overvågning. Det betyder, at MSP’ens handlinger og logs næsten altid indgår i undersøgelsen, og at MSP’en i nogle sager kan blive kritiseret eller blive part.

Det er ikke et problem i sig selv, men det skal være synligt. Sig det åbent i første samtale, hvis MSP’en kan være berørt, fx fordi hændelsen startede via en MSP-konto, et RMM-værktøj eller en manglende opdatering. Sporene efter leverandørens adgang er beskrevet i IT-leverandørens adgang: RMM-logs.

Når MSP’en kan være berørt, bør sikringen så vidt muligt udføres af den uvildige, ikke af MSP’en. MSP’en stiller adgang til rådighed og forklarer miljøet, men den sagkyndige tager selv kopierne og eksporterne.

Hvem ejer beviskopierne?

Beviskopier tilhører som udgangspunkt opdragsgiveren. Det betyder, at kunden bestemmer, hvem der får adgang til dem, hvornår de udleveres, og hvornår de slettes. Hvordan og til hvem kopierne udleveres, aftales ved opgavens start.

For MSP’en har det to konsekvenser. MSP’en kan ikke forvente at få kopier af det sikrede materiale, medmindre kunden giver lov. Og det materiale, som MSP’en selv har sikret før den sagkyndige kom ind, bør overdrages til kunden eller den sagkyndige og ikke blive liggende i MSP’ens egne systemer uden aftale.

Den tekniske overdragelse fra MSP’en

Det mest værdifulde, en MSP kan levere til den sagkyndige, er overblikket og de første sikringer:

• En oversigt over miljøet: tenants, domæner, servere, klienter, firewall, backup, EDR og vigtige SaaS-tjenester.
• En liste over administratorkonti, herunder MSP’ens egne, og hvilke værktøjer MSP’en bruger til fjernadgang.
• De eksporter, der allerede er taget, med tidspunkt, metode, konto og hashværdi.
• Indgrebsloggen med alle handlinger siden hændelsen blev opdaget.
• Opbevaringstider for de vigtigste logkilder, så det kan vurderes, hvad der haster.

Derudover skal MSP’en stille adgang til rådighed for den sagkyndige. Hvilke roller der er nødvendige, er beskrevet i adgang for en ekstern sagkyndig.

Kommunikation og rapport

Aftal tidligt, hvem der kommunikerer med hvem. En god model er, at den sagkyndige rapporterer til kunden eller kundens advokat, og at MSP’en er teknisk kontakt for adgang og spørgsmål om miljøet. MSP’en får kun indsigt i resultater, i det omfang kunden beslutter det.

Det kan virke underligt for en MSP, der har hentet den sagkyndige ind, men det er netop det, der gør rapporten brugbar. En rapport, som MSP’en har haft indflydelse på, vil en modpart angribe. Al IT-sagkyndig opgaveløsning hos Nielco IT er omfattet af tavshedspligt, og der underskrives fortrolighedsaftale på forespørgsel.

Økonomi

Den, der er opdragsgiver, betaler normalt også. Det bør afklares med kunden, før arbejdet går i gang, så MSP’en ikke ender med en regning for en opgave, som kunden har bestilt. Hvordan opgaverne prissættes, står på nielcoit.dk/priser/. Hastesager koster ekstra.

Typiske misforståelser

• “Vi har ringet, så vi er kunden.” Den, der ringer, er ikke nødvendigvis opdragsgiver. Det afklares i første samtale.
• “Vi kan selv tage kopierne, så sparer kunden tid.” Det kan være fornuftigt, når MSP’en ikke er berørt, men det skal ske med dokumenteret metode, hashværdier og en indgrebslog. Ellers skal det gøres om.
• “Vi får rapporten, fordi vi skal rette fejlene.” MSP’en får de tekniske anbefalinger, kunden vælger at dele. Rapporten tilhører opdragsgiveren.
• “Den sagkyndige skal hjælpe os med at forklare, at det ikke var vores skyld.” En uvildig sagkyndig undersøger, hvad der skete. Konklusionen kan pege i alle retninger.
• “Vi venter med at ringe, til kunden har besluttet sig.” Imens roterer logs. Det er bedre at sikre de mest flygtige kilder nu og aftale resten bagefter.

Når det sker igen

Mange MSP’er oplever, at den slags henvendelser kommer igen. Det kan derfor betale sig at have aftalt på forhånd, hvem der ringes til, og at have konflikttjek og kontaktpunkt på plads, før der er en hændelse. En fast aftale af den type er beskrevet under beredskabsaftale.

Kilder og versioner

• ISO/IEC 27037:2012: Guidelines for identification, collection, acquisition and preservation of digital evidence
• NIST SP 800-86: Guide to Integrating Forensic Techniques into Incident Response

Senest gennemgået: oktober 2026.

Næste skridt

• Chain of custody-loggen: felter, hændelser og hashreferencer
• Opbevaring af beviskopier: lagring, kryptering og adgangskontrol
• Sikker sletning af beviskopier, og hvordan sletningen dokumenteres

Del af: Sikring: metoderne samlet

Læs også: Adgang for en ekstern sagkyndig: roller i Entra ID, Purview, Google og AD · RMM-værktøjet som sikringsværktøj

→ Forensisk sikring · For MSP’er · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT