Skabelon: bevislog (chain of custody) for IT

En bevislog dokumenterer, hvor et bevis har været, fra det blev sikret, til det bliver brugt: hvem havde det, hvornår, hvorfor, og var det uændret. Skabelonen nedenfor er lavet til IT-afdelinger, MSP’er og sagkyndige i civile sager og interne undersøgelser. Den har en post pr. bevisgenstand og en hændelseslog under hver post. Kopiér felterne til et regneark eller et dokument, og tilpas dem til jeres miljø.

Hent skabelonen

Excel (XLSX) · CSV: genstande · CSV: hændelser

Fri brug uden tilmelding. CSV-filerne bruger semikolon og UTF-8, så de åbner korrekt i dansk Excel. Eksempelrækkerne er fiktive og kan slettes.

Sådan bruger du skabelonen

Opret én post pr. bevisgenstand. En bevisgenstand er et fysisk medie (disk, telefon, USB-nøgle) eller en logisk enhed (et image, en postkasse-eksport, en logfil). Et image, der laves fra en disk, får sin egen post med reference til disken.
Udfyld stamdata ved sikringen, mens du står med genstanden, ikke bagefter.
Registrér hver hændelse: sikring, hashkontrol, overdragelse, kopiering, opbevaring, analyse og tilbagelevering. Én linje pr. hændelse.
Skriv tider med tidszone, fx 2026-10-21 14:32 (UTC+2), eller brug UTC konsekvent.
Ret aldrig i en tidligere linje. Er der en fejl, tilføj en ny linje, der forklarer rettelsen.
Opbevar loggen adskilt fra beviset, og tag en kopi, når sagen afsluttes.

Baggrunden for de enkelte felter er beskrevet i Chain of custody-loggen: felter, hændelser og hashreferencer.

Skabelonen

Del 1: Sagsoplysninger

Sagsnavn eller sagsnummer:
Sagsejer (navn, rolle):
Ansvarlig for bevislog (navn, rolle):
Kommissorium eller formål (kort):
Dato for oprettelse:

Del 2: Bevisgenstand (én pr. post)

Bevis-id (fx SAG01-E001):
Type: fysisk medie / image / eksport / logfil / andet
Beskrivelse (mærke, model, farve, kendetegn):
Serienummer, IMEI eller anden unik identifikation:
Kapacitet eller størrelse:
Ejer eller bruger af enheden eller kontoen:
Fundet eller hentet fra (adresse, lokale, system, tenant):
Tilstand ved modtagelse (tændt/slukket, låst/ulåst, skader):
Krypteret: ja / nej / ukendt. Nøgle eller gendannelsesnøgle opbevares hvor:
Forsegling eller mærkning (nummer på pose eller label):
Foto taget: ja / nej. Filnavn på foto:
Afledt af bevis-id (hvis det er et image eller en kopi):

Del 3: Sikring

Dato og tid for sikring (med tidszone):
Sikret af (navn, rolle):
Metode: fuldt image / logisk / målrettet / eksport / live
Skrivebeskyttelse brugt: ja / nej / ikke relevant. Hvilken:
Værktøj og version:
Outputformat (fx E01, raw, PST, CSV):
Hashalgoritme:
Hashværdi ved sikring:
Afvigelser eller fejl under sikringen:

Del 4: Hændelseslog

Udfyld én linje pr. hændelse med disse felter:

☐ Løbenummer
☐ Dato og tid (med tidszone)
☐ Hændelse: overdragelse / hashkontrol / kopiering / analyse / opbevaring / tilbagelevering / sletning
☐ Fra (navn, rolle, organisation)
☐ Til (navn, rolle, organisation)
☐ Formål
☐ Hashværdi kontrolleret: ja / nej. Resultat: stemmer / stemmer ikke
☐ Opbevaringssted efter hændelsen
☐ Underskrift eller initialer fra begge parter

Del 5: Afslutning

Beviset er tilbageleveret til (navn, dato):
Beviskopier er slettet (dato, metode, af hvem):
Beviskopier opbevares fortsat (sted, frist):
Bevislog afsluttet af (navn, dato):

Typiske fejl

Hashværdien står kun ét sted. Skriv den både i bevisloggen og i en separat hash-log, så de kan sammenholdes. → Skabelon: hash-log
Overdragelser via netværk glemmes. En kopiering til en server eller en upload til en sagkyndig er også en overdragelse. → Overførsel af beviskopier
Tider uden tidszone. Det giver tvivl, når loggen sammenholdes med systemlogs.
Loggen udfyldes bagefter. En log, der er skrevet fra hukommelsen, er svagere end en, der er udfyldt undervejs.
Arbejdskopier registreres ikke. Alle kopier, der analyseres, skal kunne føres tilbage til masterkopien. → Arbejdskopier og masterkopi

Tilpasning

Skabelonen er generel. I mindre sager kan del 2 og 3 slås sammen. Ved cloud-eksporter erstattes serienummer af tenant, konto og søgekriterier, og fysisk forsegling er ikke relevant. Ved telefoner tilføjes felter for flytilstand, opladning og om fjernsletning er blokeret. → Tjekliste: tekniske trin ved sikring af en mobiltelefon

Skal beviser overdrages mellem IT, leverandør og sagkyndig, kan bevisloggen suppleres med en overdragelsesformular.