Uberettigede opslag: teknisk analyse af adgangslogs i fagsystemer

Forside › Kvalitet og standarder · Gennemgået oktober 2026 · Af John Nielsen

En opslagslog viser, hvilken bruger der så hvilke oplysninger hvornår. Den viser ikke, om opslaget var berettiget. Det afgøres først, når hver logpost holdes op mod konteksten: brugerens rolle, de sager brugeren arbejdede på, og systemets egen adfærd. Den tekniske del af en undersøgelse af uberettigede opslag handler derfor om at få et komplet udtræk, forstå felterne og bygge den kontekst, der skiller arbejdsmæssige opslag fra de andre.

Ledelsens håndtering og de ansættelsesretlige skridt er beskrevet på bevissikring-digitalt.dk, og den juridiske brug af logdata i ansættelsessager på digital-bevissikring.dk. Her gennemgås teknikken. Artiklen handler om interne undersøgelser i offentlige og private organisationer.

Hvad en opslagslog typisk indeholder

Fagsystemer i sundhed, socialområdet, jobcentre, forsikring og banker logger brugernes anvendelse af personoplysninger. Datatilsynets katalog over sikkerhedsforanstaltninger peger på logning af læsning, tilføjelse, søgning, ændring, eksport og sletning. Felterne varierer, men de fleste logs har en variant af:

Tidspunkt · Dato og klokkeslæt, ofte uden angivet tidszone
Bruger · Brugernavn, medarbejdernummer eller teknisk id
Handling · Visning, søgning, udskrift, eksport, ændring
Objekt · Personnummer, sagsnummer, journal eller post-id
Kontekst · Skærmbillede, modul, organisatorisk enhed, begrundelse
Klient · Arbejdsstation, IP-adresse eller session

Det første skridt er at finde systemets dokumentation for, hvad hvert felt betyder. “Visning” kan betyde, at hele journalen blev åbnet, eller blot at personen optrådte i en søgeresultatliste. Den forskel er afgørende.

Udtrækket

Opslagslogs ligger sjældent i en almindelig logserver. De ligger i fagsystemets database, hos en leverandør eller i et særskilt logmodul. Bestil udtrækket skriftligt og specificér:

Periode med en margen før og efter den periode, mistanken angår.
Alle brugere med adgang til de berørte personer, ikke kun den mistænkte. Uden sammenligningsgrundlag kan mønstret ikke vurderes.
Alle felter, også dem leverandøren normalt ikke viser i standardrapporten.
Format (CSV eller lignende), tegnsæt og tidszone.
Hashværdi af den leverede fil og en beskrivelse af, hvordan udtrækket er dannet.

Kontrollér udtrækket mod en stikprøve set direkte i systemet. Hvis antallet af poster for en kendt dag ikke stemmer, er udtrækket ufuldstændigt. Integriteten af selve loggen, og hvordan den kan vises, er beskrevet i logintegritet.

Konteksten, der afgør vurderingen

En liste over opslag på en bestemt person er ikke i sig selv et fund. Det bliver først et fund, når opslagene ikke kan forklares. De typiske kilder til forklaring er:

Sagstildeling: var brugeren tildelt sagen eller teamet på tidspunktet? Tildelinger ændres over tid, så det skal være historikken, ikke den nuværende tildeling.
Vagtplan og arbejdstid: var brugeren på arbejde? Opslag uden for vagt kan have en forklaring som tilkaldevagt eller hjemmearbejde.
Aftaler og hændelser: havde personen en aftale, en henvendelse eller en indlæggelse, der gjorde opslaget naturligt?
Systemets egne handlinger: batchjob, integrationer og automatiske kontroller kan stå i loggen med en brugers id, hvis de kører under brugerens session.
Delte arbejdsstationer: hvis flere brugere arbejder på samme maskine med samme session, peger loggen på kontoen, ikke på personen ved tastaturet.

Normalisér tidspunkter og brugeridentiteter, før kilderne sammenholdes. Hvordan forskellige logformater bringes på samme form, er beskrevet i normalisering af logdata.

Falske positiver

De hyppigste fejl i analyser af opslagslogs er tekniske:

Søgeresultater som visninger: en søgning på et efternavn kan logge alle personer i resultatlisten.
Forhåndsvisning: nogle systemer logger et opslag, når markøren holdes over en linje, eller når en liste genindlæses.
Gentagne poster: én åbning kan give flere poster, fordi flere moduler logger hver for sig.
Tidszone og sommertid: en log uden tidszone kan forskyde opslag en time i forhold til vagtplanen, hvilket flytter et opslag ind eller ud af en vagt.
Navnesammenfald: personer med samme navn eller familierelationer i samme husstand kan give opslag, der ser mistænkelige ud.

Hvert mistænkeligt opslag bør derfor kontrolleres i systemet: hvad så brugeren faktisk på skærmen, og hvor længe var journalen åben, hvis systemet logger det?

Mønstre frem for enkeltposter

En analyse bliver mere robust, når den ser på mønstre:

Opslag på kolleger, naboer, kendte personer eller familiemedlemmer.
Opslag på personer uden sammenhæng med brugerens sager i perioden.
Opslag, der følger kort efter, at personen har været omtalt i medierne.
Opslag i serie på samme adresse eller samme efternavn.
Brug af søgefunktioner, som brugerens rolle ikke normalt har brug for.

Sammenlign brugerens mønster med kolleger i samme rolle. Et opslagsmønster, der afviger markant fra kollegernes, er et stærkere grundlag end en enkelt post.

Dataminimering under analysen

Opslagslogs indeholder personnumre og ofte helbreds- eller sociale oplysninger. Analysen bør derfor kun omfatte de data, der er nødvendige, og rapporten bør pseudonymisere de personer, opslagene vedrører, hvor det er muligt. Den, der foretager analysen, bør ikke selv åbne journalerne ud over, hvad der er nødvendigt for at kontrollere en post. Principperne er beskrevet i dataminimering i forensic.

Hvem kan ændre loggen?

Et uberettiget opslag kan være begået af en person med administrative rettigheder i systemet, fx en superbruger eller en medarbejder i IT-afdelingen. Så er det relevant, om den samme person kan ændre, slette eller filtrere i opslagsloggen. Afklar derfor:

Hvilke roller har skriveadgang til logtabellen eller logmodulet?
Logges administratorernes egne handlinger, fx ændring af rettigheder og sletning af poster, i en separat log?
Sendes loggen løbende til en logserver, som systemets administratorer ikke har adgang til?

Hvis loggen kun findes i fagsystemets egen database, og den mistænkte har databaseadgang, skal det fremgå af rapporten som en begrænsning. Datatilsynets katalog anbefaler netop, at logs opbevares adskilt med andre administratorer end kildesystemet.

Dokumentation

Rapporten bør indeholde: hvem der bestilte udtrækket, hvordan det blev dannet, hashværdien, en feltbeskrivelse, de kontekstkilder, der er brugt, og en liste over de poster, der ikke kunne forklares, med begrundelse for hver. Poster, der først så mistænkelige ud, men blev forklaret, bør også nævnes samlet, så det fremgår, at analysen har været åben over for andre forklaringer.

Hvad loggen kan og ikke kan bevise

En opslagslog kan vise, at en konto har åbnet en bestemt journal på et bestemt tidspunkt fra en bestemt arbejdsstation. Den kan ikke alene vise, hvem der sad ved skærmen, hvad personen læste, eller om oplysningerne blev videregivet. Konklusionen bør derfor formuleres med den sikkerhed, data giver: fx at opslagene ikke kan forklares ud fra tildelte sager og vagtplan, frem for at de var uberettigede. Selve vurderingen af berettigelse er en ledelses- og juridisk vurdering, som den tekniske analyse giver grundlag for. Om graduering af konklusioner, se konklusionsgrader.

Nielco IT har erfaring fra offentlige myndigheder og kan gennemføre analysen uvildigt, så IT-afdelingen ikke selv skal undersøge kolleger.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Kvalitet og standarder

Læs også: Konsekvensanalyse for en forensisk undersøgelse: tekniske input · Dataminimering i forensic: filtrér før, under eller efter sikring?

→ Uvildig IT-sagkyndig med forensic-baggrund · For offentlige IT-afdelinger · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik