Redaktionel politik

digitalforensics.dk forklarer teknikken bag digitale beviser til IT-folk, sikkerhedsfolk, revisorer, DPO’er, advokater og sagkyndige. Politikken her beskriver, hvem der skriver, hvilke kilder der bruges, hvordan versionsafhængige detaljer håndteres, og hvordan fejl rettes.

Forfatter

Artiklerne skrives af John Nielsen, Nielco IT, IT-sagkyndig med retssagserfaring og mere end 30 års erfaring med IT-sikkerhed. → John Nielsen

Vinklen er teknisk: hvordan et artefakt eller en logkilde opstår, hvordan den sikres og verificeres, hvilke fejlkilder der findes, og hvad den kan og ikke kan bære i en konklusion. Juridiske vurderinger overlades til advokater og til søstersitet for advokater.

Kilder

Standarder: ISO/IEC 27037, 27041, 27042, 27043 og 27050, NIST SP 800-86 og anerkendte faglige retningslinjer. Henvisninger angiver standardens nummer og emne, ikke gengivelser af indholdet. → Kvalitet, dokumentation og standarder
Leverandørdokumentation: Microsoft, Apple, Google, cloududbydere og andre leverandører er primærkilde til, hvad deres logs og eksportfunktioner indeholder.
Love og regler: henvises til gældende udgave på retsinformation.dk og formuleres forsigtigt uden løfter om udfald.
Når dokumentationen ikke rækker: beskrives adfærden generelt, og det fremgår, at detaljen afhænger af version og opsætning. Fremover gælder, at en beskrivelse, der bygger på test i et kontrolleret miljø, oplyser det i teksten sammen med version og testdato. → Testdatasæt og referencedata

Alle artikler slutter med afsnittet “Kilder og versioner”, der lister de primærkilder, artiklen bygger på, og med datoen “Senest gennemgået”. Tekniske detaljer som stier, event-id’er, logfelter og eksportformater faktatjekkes mod leverandørens dokumentation og de relevante standarder, før artiklen udgives.

Versionsafhængige detaljer

Stier, event-id’er, databaseskemaer, opbevaringstider, licensniveauer og standardindstillinger ændrer sig mellem versioner af Windows, macOS, iOS, Android og cloudtjenester. Hvor en detalje afhænger af version, licens eller konfiguration, formuleres den generelt, eller versionen angives. Oplysninger, der ofte ændres, fx opbevaringstider og licenskrav, markeres med tidspunktet for gennemgangen, så læseren kan se, hvor gammel oplysningen er. Kontrollér altid detaljen mod den aktuelle dokumentation og jeres egen opsætning, før den bruges i en sag.

Hvad artiklerne ikke indeholder

Opdigtede sager. Ingen kunder, sager, tal eller resultater fra virkeligheden. Eksempler er typiske tekniske situationer. Oplysninger fra opgaver forbliver fortrolige.
Opskrifter på omgåelse. Ingen vejledning i at knække adgangskoder, bryde kryptering, skjule spor eller overvåge andre. Anti-forensics og stalkerware beskrives kun med henblik på opdagelse og dokumentation. → Afgrænsning
Produktreklame. Værktøjer nævnes som kategorier eller neutrale eksempler. Nielco IT sælger ikke produkter og har ingen leverandøraftaler. → Uvildighed og bindinger
Juridisk rådgivning. Artiklerne kan ikke erstatte en advokats vurdering af en konkret sag.

Sprog

Teksten er præcis og saglig. Tekniske termer bruges, hvor de er de rigtige, og forklares i ordbogen. Engelske fagudtryk står i parentes, hvor det hjælper søgning og genkendelse. Der skrives om personer uden at angive køn.

Faste termer

Samme begreb skrives på samme måde i alle artikler:

auditlog · Bruges i stedet for: audit log, revisionslog, overvågningslog · Bemærkning: Microsofts egne produktnavne gengives, som de står
tenant · Bruges i stedet for: lejer, lejemål · Bemærkning: Den samlede organisation i en cloudtjeneste som Microsoft 365
kæde af ansvar (chain of custody) · Bruges i stedet for: bevisrække, varetægtskæde · Bemærkning: Den engelske term står i parentes første gang
ikke-allokeret plads (unallocated) · Bruges i stedet for: ufordelt plads, ledig plads · Bemærkning: Det område på et lagermedie, som filsystemet ikke har tildelt en fil
IT-forensik · Bruges i stedet for: computerforensik, dataforensik · Bemærkning: “Digital forensics” bruges om fagområdet og i sitets navn

Opdatering og rettelser

Artiklerne gennemgås, når en platform ændrer en logkilde, et artefakt eller en eksportfunktion, når en standard revideres, eller når en læser påpeger en fejl. Bliver der fundet en fejl, for eksempel en forkert sti, et forkert event-id eller en fremgangsmåde, der kan ændre kilden, rettes den i artiklen, og datoen “Senest gennemgået” opdateres. Fremover er det fremgangsmåden, at en væsentlig faglig rettelse også beskrives kort i artiklen, så læsere, der har brugt den tidligere tekst, kan se, hvad der er ændret.

Har du fundet en fejl, så skriv til info@nielcoit.dk med artiklens adresse, platform og version og en kort beskrivelse.