Opbevaring af beviskopier: lagring, kryptering og adgangskontrol

Forside › Sikring: metoderne samlet · Gennemgået oktober 2026 · Af John Nielsen

En forensisk kopi skal opbevares, så den er beskyttet mod uvedkommende, mod utilsigtet ændring og mod tab, og så det til enhver tid kan vises, hvem der har haft adgang. Det kræver fire ting: lagring på medier eller systemer, der er egnede til formålet; kryptering i hvile med en nøglehåndtering, der hverken låser data inde eller lader dem flyde; adgangskontrol, der er begrænset til navngivne personer og sager; og adskillelse, så data fra forskellige sager ikke blandes. Hvor længe materialet må gemmes, er en juridisk og organisatorisk vurdering, som er beskrevet på Hvor længe må virksomheden gemme bevismaterialet?. Her handler det om, hvordan det gemmes.

Valg af lagring

Eksterne diske, offline · Fordele: Enkle, adskilte, billige · Ulemper: Kan svigte uden varsel; kræver periodisk kontrol
Dedikeret lagringsserver eller NAS · Fordele: Overblik, redundans, adgangslog · Ulemper: Er online og dermed eksponeret; kræver drift
Bånd eller arkivmedier · Fordele: Lang holdbarhed, offline · Ulemper: Kræver passende læseudstyr i hele perioden
Cloudlagring · Fordele: Redundans, fjernadgang · Ulemper: Placering, udbyderens adgang, nøglekontrol

Masterkopier bør som udgangspunkt ligge offline eller på en lagring med meget begrænset adgang. Arbejdskopier ligger, hvor analysen foregår, men adskilt fra andre sager. Mindst to kopier af hver masterkopi på hver sit medie og helst hver sin fysiske placering er en almindelig praksis. → Arbejdskopier og masterkopi

Diske, der ligger på en hylde, kan svigte uden at give tegn. Elektronik ældes, mekaniske diske kan sætte sig fast, og flashlagring kan miste ladning over lang tid uden strøm. Derfor skal opbevarede kopier kontrolleres med jævne mellemrum, og det hører under langtidsopbevaring. → Langtidsopbevaring: kan beviskopien læses om ti år?

Kryptering i hvile

Beviskopier indeholder typisk store mængder persondata, ofte også følsomme oplysninger om personer, der ikke er part i sagen. De bør krypteres i hvile:

Fuld diskkryptering af eksterne diske og lagringsservere beskytter mod tyveri og tab af hele mediet.
Kryptering pr. sag, fx med en krypteret beholder eller et krypteret volumen pr. sag, gør det muligt at give adgang til én sag uden at åbne andre, og at slette en sag ved at destruere nøglen.
Kryptering i cloud bør ske med nøgler, organisationen selv kontrollerer, så udbyderen ikke kan læse data.

Kryptering beskytter kun, hvis nøglerne er bedre beskyttet end data. Og den beskytter ikke mod den, der har nøglen.

Nøglehåndtering

Nøglehåndteringen er der, hvor opbevaringen oftest går galt, enten fordi nøglen er tabt, eller fordi den er kendt af for mange.

Registrér nøglerne, men ikke i klartekst sammen med data. Notér, hvilken nøgle der beskytter hvilket medie eller hvilken sag, og hvor nøglen opbevares.
Undgå enkeltpersoner som eneste nøgleholder. Hvis kun én person kender nøglen, er data tabt, når personen er væk. En forseglet kopi i et pengeskab eller en adgangskodeadministrator med kontrolleret deling løser det.
Del nøglen, ikke data. Skal en anden part have adgang, kopieres data til et nyt, krypteret medie med en ny nøgle, i stedet for at give den nøgle, der beskytter alle sagens data.
Rotér ved ændringer. Forlader en person med adgang til nøglerne organisationen, overvejes det, om nøgler skal skiftes. På krypterede volumener kan det ofte ske uden at kryptere data om.

Adgangskontrol

Adgang til beviskopier skal være begrænset til personer, der arbejder på sagen, og tildelingen skal være dokumenteret.

Tildel adgang pr. sag, ikke til hele lagringen.
Giv læseadgang til masterkopier og kun skriveadgang, hvor det er nødvendigt.
Fjern adgang, når en person ikke længere arbejder på sagen.
Brug personlige konti, ikke fælleskonti, så adgang kan føres tilbage til en person.
Log adgang til lagringen, og gem loggen et sted, som de samme personer ikke kan ændre. → Logning af analytikerens egen adgang til beviskopier

Fysiske medier opbevares aflåst, med registrering af, hvem der har nøgle eller kode, og hvornår medier tages ud og sættes tilbage.

Cloudlagring i praksis

Cloudlagring kan være et fornuftigt valg, særligt for arbejdskopier, der skal tilgås af flere, men den kræver nogle særlige overvejelser:

Placering: Hvor ligger data fysisk, og kan udbyderen flytte dem? Vælg en region i EU, og notér den.
Udbyderens adgang: Krypteres data med nøgler, som udbyderen administrerer, kan udbyderen i princippet læse dem. Kundestyrede nøgler mindsker det.
Uforanderlig lagring: Mange tjenester tilbyder en tilstand, hvor objekter ikke kan ændres eller slettes i en fastsat periode. Det passer godt til masterkopier, men gør også sletning umulig, før perioden udløber. Sæt perioden med omtanke.
Logning: Slå tjenestens adgangslog til for lageret, og opbevar loggen et andet sted.
Exit: Kan data hentes ud igen i deres oprindelige form og med hashværdier, hvis udbyderen skiftes?

Fysisk sikkerhed og miljø

Fysiske medier opbevares tørt, ved stabil temperatur og væk fra stærke magnetfelter og direkte sollys. Et brandsikkert skab beskytter mod mere end tyveri. Opbevares backup og master i samme skab, er de ikke reelt adskilte. Rummet eller skabet registreres som placering i bevisloggen, og hver udtagning og tilbagelægning er en hændelse.

Adskillelse mellem sager

Data fra forskellige sager må ikke blandes. Det gælder både logisk og fysisk:

én mappe eller ét volumen pr. sag, med sagsnummer i stien,
ingen deling af medier mellem sager, medmindre mediet er slettet og kontrolleret imellem,
analyseværktøjers sagsdatabaser og indekser placeret i sagens eget område,
tydelig mærkning af fysiske medier med sags- og objekt-id.

Adskillelsen beskytter fortroligheden, men også bevisværdien. Hvis filer fra én sag dukker op i en anden, er det svært at forklare, og det skaber tvivl om hele opbevaringen.

Backup af beviskopier

Beviskopier skal sikres mod tab, men en almindelig backup af lagringen kan skabe nye kopier, som ingen har overblik over. Den backup, der omfatter beviskopier, skal være kendt, krypteret, adgangsbegrænset og omfattet af samme sletteplan. Ellers lever kopierne videre i backuppen, efter at sagen er afsluttet og kopierne slettet. → Sikker sletning af beviskopier

Typiske fejl

Masterkopier på et fællesdrev, hvor hele organisationen eller hele IT-afdelingen har adgang.
Krypterede diske, hvor kun én person kender adgangskoden.
Adgangskoder skrevet på mærkaten på disken.
En backup af lagringsserveren, der ikke er med i sletteplanen.
Medier, der ikke er kontrolleret i årevis.
Sagsdata i analyseværktøjets standardmappe på analysemaskinen, uden for sagens område.

Hvad god opbevaring kan og ikke kan bevise

Dokumenteret opbevaring kan vise, at en kopi har været beskyttet mod uvedkommende og mod ændring i hele perioden, og hvem der har haft adgang. Sammen med periodiske hashkontroller kan den vise, at kopien i dag er identisk med kopien ved sikringen. Den kan ikke rette op på fejl i selve sikringen.

Dokumentation

For hver sag bør det fremgå: hvor master, backup og arbejdskopier ligger, hvordan de er krypteret, hvor nøglerne opbevares, hvem der har adgang, og hvornår kopierne sidst er kontrolleret. Ændringer i opbevaringen, fx flytning til et nyt medie eller en ny lagringsserver, registreres som hændelser i bevisloggen med hashkontrol før og efter flytningen. → Chain of custody-loggen

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Sikring: metoderne samlet

Læs også: Overførsel af beviskopier: kryptering, transportmedie og kvittering · Sikker sletning af beviskopier, og hvordan sletningen dokumenteres

→ Forensisk sikring · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik