Skabelon: indholdsfortegnelse til en forensic-rapport

En forensic-rapport skal kunne læses af en ledelse eller en dommer og efterprøves af en anden sagkyndig. Det kræver en fast struktur, hvor fund, fortolkning og forbehold holdes adskilt. Skabelonen nedenfor er en indholdsfortegnelse med en kort beskrivelse af, hvad hvert afsnit skal indeholde. Den er et supplement til artiklen om rapportskrivning og kan tilpasses rapportens omfang.

Hent skabelonen

PDF til udskrift

Fri brug uden tilmelding. CSV-filerne bruger semikolon og UTF-8, så de åbner korrekt i dansk Excel. Eksempelrækkerne er fiktive og kan slettes.

Hvem kan bruge skabelonen?

Skabelonen er skrevet til sagkyndige og forensic-analytikere, men den kan også bruges af:

• IT-afdelinger og MSP’er, der skal skrive en rapport efter en intern undersøgelse,
• incident response-teams, hvis rapport senere skal kunne bruges i en tvist, → IR-rapporten som bevis
• advokater og ledelser, der modtager en rapport og vil tjekke, om de vigtige afsnit er der.

Mangler en rapport flere af afsnittene nedenfor, er det et tegn på, at den kan være svær at efterprøve.

Sådan bruger du skabelonen

1. Behold rækkefølgen. Læseren skal kunne finde metoden, før fundene præsenteres, og forbeholdene, før konklusionen bruges.
2. Skriv sammenfatningen til sidst, men placér den først.
3. Brug samme bevis-id’er som i bevisloggen og hash-loggen.
4. Skriv tider i én tidszone, og angiv hvilken. → Sommertid og tidszoner i rapporten
5. Lad afsnit stå med “ikke relevant” frem for at slette dem, så det er tydeligt, at de er overvejet.

Hvordan de enkelte afsnit skrives, er beskrevet i Rapportskrivning i digital forensics.

Skabelonen

1. Forside

• Titel, sag og version
• Udarbejdet af (navn, rolle) og dato
• Bestilt af
• Fortrolighedsmærkning

2. Sammenfatning

• Spørgsmålene i kort form
• Svarene i kort form med konklusionsgrad
• De vigtigste forbehold

3. Kommissorium og afgrænsning

• ☐ Spørgsmål, rapporten besvarer, ordret
• ☐ Personer, perioder og systemer, der er omfattet
• ☐ Det, der bevidst er holdt uden for
• ☐ Ændringer i kommissoriet undervejs

→ Teknisk kommissorium

4. Den sagkyndiges baggrund og uvildighed

• ☐ Kvalifikationer, der er relevante for opgaven
• ☐ Forhold til parterne og eventuelle bindinger

5. Kilder og sikring

• ☐ Liste over kilder med bevis-id
• ☐ Sikringsmetode, værktøjer og versioner
• ☐ Hashværdier og kontrol (eller henvisning til bilag)
• ☐ Kilder, der ikke kunne sikres, og hvorfor

6. Metode

• ☐ Analyseplan og hypoteser → Analyseplan og hypoteser
• ☐ Værktøjer, versioner og eventuel verifikation
• ☐ Søgetermer og filtre
• ☐ Håndtering af private og fortrolige data
• ☐ Peer review eller anden kvalitetskontrol

7. Fund

• ☐ Fund pr. spørgsmål, med kilde og bevis-id
• ☐ Tidslinje over relevante hændelser
• ☐ Tabeller og figurer med forklaring → Visualiseringer i forensiske rapporter

8. Fortolkning og alternative forklaringer

• ☐ Hvad fundene viser, og hvad de ikke viser
• ☐ Overvejede alternative forklaringer, og hvorfor de er afvist eller ikke kan afvises
• ☐ Fejlkilder, der kan påvirke resultatet → Fejlkilder i digital forensics

9. Konklusion

• ☐ Svar pr. spørgsmål
• ☐ Konklusionsgrad pr. svar med forklaring af skalaen → Konklusionsgrader

10. Forbehold og begrænsninger

• ☐ Manglende data og perioder
• ☐ Afvigelser under arbejdet → Afvigelser og fejl undervejs
• ☐ Forhold, der kan ændre konklusionen, hvis nye data kommer frem

11. Bilag

• ☐ Bevislog
• ☐ Hash-log
• ☐ Sikringsrapport
• ☐ Værktøjslogs og rapporter
• ☐ Ordliste over tekniske termer → Ordbog

Typiske fejl

• konklusioner i fund-afsnittet, så fakta og vurdering blandes,
• alternative forklaringer nævnes ikke,
• værktøjsversioner og hashværdier mangler,
• konklusionsgrader bruges uden at skalaen er forklaret,
• sammenfatningen lover mere end konklusionen.

Tilpasning

En kort rapport til intern brug kan slå afsnit 3 og 4 og afsnit 8 og 9 sammen, men bør aldrig udelade forbehold. En rapport til brug i retten skal kunne stå alene, så modpartens sagkyndige kan efterprøve den uden at spørge. Den tekniske gennemgang af en andens rapport følger samme struktur. → Gennemgang af modpartens forensiske rapport

Relateret

• Skabelon: sikringsrapport
• Arbejdsnoter under undersøgelsen
• Skabelon: indholdet i en IT-erklæring for erklæringer i retssager
• Alle skabeloner og tjeklister: Tjeklister, skabeloner og værktøjer