En second opinion er en uvildig teknisk gennemgang af en rapport, som en anden har skrevet: en incident response-rapport efter et angreb, en forensic-rapport fra en intern undersøgelse eller modpartens tekniske bilag i en tvist. Formålet er ikke at finde fejl for at finde fejl, men at vurdere, om konklusionerne følger af data, om metoden er beskrevet godt nok til at kunne efterprøves, og om der er alternative forklaringer, som rapporten ikke har forholdt sig til.

Gennemgangen laves af en uvildig IT-sagkyndig, der ikke selv sælger IR-ydelser, sikkerhedsprodukter eller drift, og rapporten og dens bilag er omfattet af tavshedspligt.

Situationen

Behovet opstår typisk, når:

• IR-leverandøren har skrevet en rapport, som nu skal bruges over for forsikringen, en kunde eller en anden leverandør,
• modparten har fremlagt en teknisk rapport, som virksomhedens egen IT ikke kan genkende sig i,
• den interne undersøgelse er lavet af en IT-leverandør, der selv drifter systemerne og måske selv er en del af forklaringen,
• forsikringsselskabet afviser dækning med henvisning til en teknisk konklusion,
• ledelsen skal træffe en tung beslutning på grundlag af en rapport, de ikke selv kan vurdere.

En IR-rapport er skrevet for at få driften i gang igen. Den er sjældent skrevet til at blive brugt i en tvist. → IR-rapporten som bevis

Hvad der gennemgås, og hvordan

Gennemgangen følger en fast struktur, så den kan efterprøves: → Gennemgang af modpartens forensiske rapport

• Kommissorium og afgrænsning: hvilke spørgsmål blev stillet, og besvarer rapporten dem, eller nogle andre?
• Sikring: hvilke kilder blev sikret, hvordan, og er hashværdier og bevislog dokumenteret?
• Værktøjer: hvilke værktøjer og versioner blev brugt, og er de egnede til formålet? → Verifikation af værktøjer
• Tid: er tidszoner, sommertid og urafvigelser håndteret konsekvent? → Sommertid og tidszoner i rapporten
• Fortolkning: følger konklusionerne af artefakterne, eller er der sprunget fra et spor til en påstand om en person? → Fra artefakt til konklusion
• Alternative forklaringer: er systemaktivitet, synkronisering og egne indgreb skilt fra det, sagen handler om?
• Konklusionsgrader: er sikkerheden i konklusionen udtrykt, og er den rimelig? → Konklusionsgrader

Hvis de underliggende data er tilgængelige, kan udvalgte fund efterprøves direkte. Ellers vurderes rapporten på det, den selv dokumenterer.

Hvad gennemgangen kan vise

• om rapportens konklusioner er velunderbyggede, delvist underbyggede eller ikke underbyggede,
• hvor metoden mangler dokumentation, så den ikke kan efterprøves,
• hvor der er sprunget over alternative forklaringer,
• hvilke supplerende undersøgelser der kan afklare de åbne punkter,
• om der er forhold, der kan påvirke rapportens uvildighed, fx at forfatteren selv drifter systemerne.

En second opinion kan også ende med, at rapporten holder. Det er et lige så brugbart resultat.

Hvad I får

• Et notat eller en rapport med gennemgangens struktur, fund og vurdering pr. konklusion.
• En liste over åbne punkter og forslag til, hvordan de kan afklares.
• Spørgsmål, der kan stilles til rapportens forfatter eller i en syns- og skønssag. → Typiske tekniske spørgsmål til metoden
• Mulighed for forklaring, hvis sagen ender i retten.

Hvad en efterprøvelig rapport bør indeholde, er vist i indholdsfortegnelsen til en forensic-rapport; gennemgangen bruger samme punkter som tjekliste.

Second opinion på en IT-erklæring i en retssag er beskrevet på Second opinion på en IT-erklæring, og ledelsens vinkel på Second opinion på jeres IT-leverandørs undersøgelse.

Sådan sender I rapporten

Gennemgangen bliver bedre, jo mere af grundlaget der følger med. Send så vidt muligt:

• rapporten i den version, der er afleveret, helst som original PDF og ikke som scanning,
• alle bilag, også tidslinjer, regneark og skærmbilleder, der henvises til,
• hashlister over de sikrede images, eksporter og filer,
• værktøjer og versioner, hvis de ikke står i rapporten, samt eventuelle konfigurationer eller forespørgsler, der blev kørt,
• kommissoriet eller den mail, der beskrev opgaven,
• adgang til de underliggende data, hvis fund skal efterprøves direkte.

Materialet sendes krypteret efter aftale; metode og nøgleudveksling aftales i første samtale, så rapporten aldrig ligger ukrypteret i en mailtråd. Se også Når I ringer.

Samarbejde med jeres IT, MSP eller IR-leverandør

Formålet med en second opinion er ikke at angribe den, der skrev rapporten. Ofte er det mest effektive at stille IR-leverandøren eller jeres egen IT afklarende spørgsmål undervejs: hvilken forespørgsel gav tabellen, hvilken tidszone gælder kolonnen, og hvilke kilder blev ikke sikret. Nielco IT har indsigt i og erfaring med incident response og hackerangreb og læser derfor en IR-rapport med forståelse for, at den er skrevet under tidspres. Rollerne er beskrevet på Samarbejde med IR-leverandøren. Drejer det sig kun om et enkelt afsnit eller en enkelt konklusion, kan teknisk sparring være nok.

Hvad gennemgangen koster

Siden viser ingen beløb. Prisen afhænger af:

• antal sider og bilag,
• om rådata findes og skal efterprøves,
• antal konklusioner, der vurderes,
• hast: hastesager koster ekstra,
• om resultatet skal være et kort notat eller en fuld rapport,
• eventuel forklaring for retten.

Pris og tilbud: nielcoit.dk/priser.

Hvem gennemgår rapporten

Gennemgangen laves af John Nielsen, der er Nielco IT, selvstændig siden 2009 og med en baggrund på mere end 30 år i IT-sikkerhed. John Nielsen har selv været IT-sagkyndig i danske retskredse og ved UPC, patentdomstolen for de deltagende EU-lande. Uvildigheden er konkret: ingen produkter, ingen leverandørpartnerskaber, konflikttjek før overslag, og ingen opgaver for den modsatte part i den samme tvist. Opgaver over hele landet. → Uvildighed og bindinger

Fortrolighed

Rapporter om angreb eller interne forhold beskriver ofte sårbarheder, der stadig er åbne. Tavshedspligten gælder rapporten, bilagene og alle egne notater fra gennemgangen og kan kun brydes af domstolene. Ønsker I en NDA, underskrives den.

Afgrænsning

Gennemgange laves, når rapporten skal bruges i en civil tvist, en intern sag eller en forhandling. Rapporter skrevet til politiets efterforskning gennemgås ikke. Se afgrænsningen.

Har I en rapport, der skal efterprøves, så ring 70 13 63 23, eller se Nielco IT’s ydelse.