Skabelon: teknisk datakort

Et teknisk datakort er en oversigt over virksomhedens systemer og logkilder, set med bevissikringens øjne: hvad logges, hvor længe gemmes det, hvordan eksporteres det, og hvem har adgang. Det laves helst, før der er en sag. Når der så sker noget, ved IT-afdelingen allerede, hvor sporene ligger, og hvor hurtigt de forsvinder. Skabelonen kan bruges som et regneark med én linje pr. kilde.

Hent skabelonen

Excel (XLSX) · CSV

Fri brug uden tilmelding. CSV-filerne bruger semikolon og UTF-8, så de åbner korrekt i dansk Excel. Eksempelrækkerne er fiktive og kan slettes.

Hvem har brug for et teknisk datakort?

IT-afdelingen, som skal kunne svare hurtigt, når ledelsen spørger, om noget kan dokumenteres.
MSP’en, som drifter flere kunder og skal vide, hvor kundens logs ligger, og hvem der må eksportere dem.
IT-sikkerhed og SOC, som skal vide, hvilke kilder der kan bruges i en undersøgelse, og hvilke der kun bruges til alarmer.
IT-revision og DPO, som skal kunne vurdere, om logningen er tilstrækkelig. → For IT-revision og DPO’er

Datakortet er også det første, en ekstern sagkyndig vil spørge efter. Findes det, kan sikringen planlægges på timer i stedet for dage.

Sådan bruger du skabelonen

Start med de systemer, der rummer identitet, mail og filer, fx Entra ID, Microsoft 365, Google Workspace, filservere og VPN. Tag derefter forretningssystemer som ERP og CRM.
Udfyld én linje pr. logkilde, ikke pr. system. Et system kan have flere logs med forskellig opbevaring.
Slå opbevaringstider op i leverandørens dokumentation eller i jeres egen opsætning. Skriv “ukendt”, hvis I ikke ved det, frem for at gætte.
Test eksportvejen for de vigtigste kilder, så I ved, at den virker, og hvor lang tid den tager.
Gennemgå datakortet mindst én gang om året og ved større ændringer i licenser eller leverandører.

Kortlægningen før en konkret sikring er beskrevet i Identifikation af datakilder.

Skabelonen

Hoved

Virksomhed eller afdeling:
Udarbejdet af (navn, rolle):
Dato og version:
Næste gennemgang:

Felter pr. logkilde

☐ System (fx Microsoft 365, firewall, ERP)
☐ Logkilde (fx Unified Audit Log, Entra ID-loginlog, firewall-trafiklog)
☐ Hvad logges (logins, filaktivitet, ændringer, trafik)
☐ Hvor ligger loggen (cloud, lokal server, SIEM, leverandør)
☐ Opbevaringstid i dag
☐ Afhænger af licens eller opsætning: ja / nej. Hvilken:
☐ Eksportvej (portal, PowerShell, API, leverandør)
☐ Eksport testet: ja / nej. Dato:
☐ Format ved eksport (CSV, JSON, EVTX, syslog)
☐ Tidszone i loggen
☐ Systemadministrator (navn, rolle)
☐ Kontakt hos leverandør
☐ Hvem kan slette eller ændre loggen
☐ Videresendes til SIEM eller arkiv: ja / nej
☐ Bemærkninger og kendte huller

Eksempel på en udfyldt linje

Linjen viser formen. Opbevaringstider skal altid slås op for jeres egen opsætning.

System · Microsoft 365
Logkilde · Unified Audit Log
Eksportvej · Purview-portal eller PowerShell
Opbevaringstid · afhænger af licens; slås op
Kan slettes af · ingen almindelige brugere

Det, datakortet ofte afslører

logs, der kun gemmes i få dage, fordi standardindstillingen aldrig er ændret, → Logfiler og logrotation
logkilder, som kun IT-leverandøren har adgang til, → IT-leverandørens adgang: RMM-logs
administratorer, der selv kan slette den log, der skulle dokumentere deres handlinger, → Logintegritet
tidszoner, der ikke er ens på tværs af systemer, → Normalisering af logdata
licenser, der ikke giver den logning, man troede.

Typiske fejl

datakortet laves én gang og opdateres aldrig,
det beskriver systemer, ikke logkilder,
opbevaringstider er gættet,
eksportvejen er aldrig prøvet,
leverandørens logs er ikke med.

Tilpasning

I en akut sag kan datakortet bruges baglæns: udfyld kun de linjer, der er relevante for hændelsen, og prioritér dem efter, hvor hurtigt loggen forsvinder. → Flygtighedsorden

Ledelsens version, der handler om, hvor virksomhedens data ligger, er Datakort: hvor ligger vores data?. Advokatens variant til det første klientmøde er Skabelon: datakort til det første klientmøde.