Forside › Kvalitet og standarder · Gennemgået oktober 2026 · Af John Nielsen
SWGDE (Scientific Working Group on Digital Evidence) er en amerikansk arbejdsgruppe, der siden 1998 har udgivet konsensusdokumenter om digitale og multimediebeviser. Dokumenterne er gratis, konkrete og opdateres løbende, og de er derfor blandt de mest brugte praktiske referencer i faget. De er ikke en dansk standard og ikke bindende i en civil sag, men de kan bruges som målestok for, hvad der er almindelig god praksis, når en sikring eller analyse skal begrundes eller efterprøves.
Hvor ISO/IEC 27037 og NIST SP 800-86 beskriver principper og proces, går SWGDE ned i den praktiske udførelse: hvordan en computer, en Mac, en telefon eller en cloudkonto sikres, hvordan værktøjer testes, og hvad en rapport skal indeholde. Sammenhængen med de øvrige standarder er beskrevet i ISO/IEC 27037 og NIST SP 800-86 og i ENFSI’s Best Practice Manual.
Dokumenttyperne
SWGDE udgiver flere slags dokumenter, og typen har betydning for, hvordan de bruges:
- Best practices beskriver anbefalet fremgangsmåde for en bestemt opgave, fx sikring af computere eller mobiltelefoner.
- Requirements stiller minimumskrav, fx til værktøjstest eller rapportskrivning.
- Guidelines og considerations giver overvejelser og valgmuligheder uden at fastlægge én metode.
- Technical notes er tekniske opslag om platforme, fx macOS og Linux.
- Positions er holdninger til faglige spørgsmål.
Dokumenterne udvikles i komitéer, bl.a. Forensics, Quality & Standards, Imaging, Video, Audio, Photography og Cellular & Geolocation. De har et dokumentnummer med årstal, komitébogstav og version, fx 17-F-002-2.1, og ældre versioner arkiveres, når en ny udgives. Når et dokument citeres, skal nummer og version derfor altid med.
De mest relevante dokumenter for IT-folk
På tidspunktet for gennemgangen (oktober 2026) er disse dokumenter særligt relevante for computer-, mobil- og cloudsikring i civile sager:
- Best Practices for Computer Forensic Acquisitions (17-F-002) · Valg af sikringsmetode, verifikation og dokumentation
- Best Practices for Computer Forensic Examinations (18-F-001) · Analyseproces og dokumentation af fund
- Considerations for Focused Collection of Digital Evidence (14-F-003) · Målrettet indsamling i stedet for fuld kopi
- Best Practices for Remote Collection of Digital Evidence from an Endpoint (22-F-003) · Fjernsikring af computere
- Best Practices for Digital Evidence Acquisition, Preservation, and Analysis from Cloud Service Providers (23-F-004) · Cloudtjenester og eksport
- Best Practices for Mobile Device Evidence Collection & Preservation Handling and Acquisition (18-F-003) · Telefoner og tablets
- Minimum Requirements for Testing Tools Used in Digital and Multimedia Forensics (18-Q-001) · Test og validering af værktøjer
- Requirements for Report Writing in Digital and Multimedia Forensics · Rapportens indhold
Hertil kommer tekniske noter for macOS og Linux og best practices for sikring af Apple-computere og onlineindhold. Versionsnumrene ændres løbende, så tjek altid den aktuelle udgave på SWGDE’s dokumentside.
Hvorfor de passer til civile sager
Mange af dokumenterne er skrevet med offentlige laboratorier som primær målgruppe, men de tekniske anbefalinger er de samme, uanset hvem der bestiller undersøgelsen. Tre af dem passer særligt godt til den civile virkelighed:
- Focused collection. I civile sager og interne undersøgelser er en fuld kopi af alt ofte hverken nødvendig eller proportional, især når der er private data på enheden. SWGDE’s overvejelser om målrettet indsamling giver et fagligt grundlag for at begrunde en afgrænset sikring og for at beskrive, hvad den afgrænsning udelukker.
- Remote collection. Fjernsikring af computere er almindelig, når medarbejdere arbejder hjemme eller på flere lokationer. Dokumentet beskriver, hvad der skal dokumenteres, når sikringen sker over netværket. Se også fjernsikring: forberedelse.
- Cloud. Data hos tjenesteudbydere kan sjældent kopieres bit for bit. Dokumentet beskriver, hvordan eksport, integritet og begrænsninger dokumenteres.
Sådan bruges dokumenterne i en sag
Som tjekliste før opgaven. Gennemgå det relevante best practice-dokument, før sikringen planlægges. Det fanger typisk punkter, der ellers glemmes, fx dokumentation af systemtid, krypteringsstatus og værktøjsversioner.
Som reference i rapporten. Henvis til dokumentet med titel, nummer og version, og beskriv, hvor fremgangsmåden følger det. Skriv ikke, at undersøgelsen er “SWGDE-certificeret” eller “SWGDE-godkendt”: SWGDE certificerer og godkender ikke produkter, tjenester eller personer på baggrund af påstande om overholdelse.
Ved afvigelser. Praksis kan sjældent følges punkt for punkt, fx fordi en enhed ikke kan slukkes, eller fordi kun en eksport er mulig. Afvigelsen skal beskrives og begrundes. Se afvigelser og fejl undervejs.
Ved efterprøvning af modpartens rapport. Dokumenterne giver et sagligt grundlag for spørgsmål som: Hvordan blev værktøjet testet? Hvorfor blev der ikke verificeret med hash? Hvilke data blev fravalgt ved en målrettet indsamling? Spørgsmålene bør stilles som faglige spørgsmål, ikke som påstande om, at en standard er overtrådt, fordi dokumenterne ikke er bindende.
Værktøjstest og rapportering
Minimumskravene til værktøjstest supplerer verifikation af værktøjer og de offentlige testresultater fra NIST CFTT og CFReDS. Kravene til rapportskrivning matcher det, en dansk retssag typisk har brug for: identifikation af data og værktøjer, metode, resultater, begrænsninger og forfatterens kvalifikationer.
Forholdet til de øvrige standarder
En typisk dansk rapport henviser til flere referencer på én gang, og det er en fordel at kende arbejdsdelingen:
- ISO/IEC 27037 beskriver identifikation, indsamling, erhvervelse og bevaring på principniveau og er den internationale standard, en dansk domstol eller modpart oftest kender.
- ISO/IEC 27041 og 27042 handler om, at metoden er egnet, og om analyse og fortolkning.
- NIST SP 800-86 forbinder forensic med incident response og er nyttig, når sikringen sker under en hændelse.
- ENFSI’s Best Practice Manual er den europæiske pendant med fokus på laboratoriepraksis og kvalitet.
- SWGDE udfylder hullet mellem principper og praksis med konkrete anbefalinger pr. platform og opgave.
Når SWGDE bruges sammen med ISO-standarderne, kan rapporten pege på princippet i ISO og den konkrete udførelse i SWGDE. Det gør det lettere for en modpart eller en skønsmand at efterprøve, hvad der er gjort, og hvorfor. Er der uoverensstemmelse mellem referencerne, bør rapporten sige, hvilken der er fulgt, og hvorfor.
Begrænsninger
- Amerikansk kontekst. Juridiske henvisninger og terminologi er amerikanske og skal ikke overføres til dansk ret.
- Ikke en metode i sig selv. Dokumenterne siger, hvad der bør gøres, ikke præcis hvordan i et bestemt værktøj.
- Versioner. Et dokument kan være opdateret siden undersøgelsen. Rapporten skal henvise til den version, der faktisk blev fulgt.
- Dækning. Nyere platforme og tjenester kan mangle et dedikeret dokument. Så må anbefalingerne overføres med omtanke, og begrundelsen skal stå i rapporten.
- Ophavsret. SWGDE har regler for gengivelse og brug af logo, som skal respekteres, hvis tekst gengives i en rapport eller procedure.
Kilder og versioner
- SWGDE: Published documents, Forensics committee
- SWGDE: Published documents, Quality & Standards committee
- NIST SP 800-86: Guide to Integrating Forensic Techniques into Incident Response
Senest gennemgået: oktober 2026.
Næste skridt
- ISO/IEC 27043: principper og processer for hændelsesundersøgelser
- ISO/IEC 17025 og digital forensics: hvad standarden kræver
- Fagfællebedømmelse (peer review) af forensisk arbejde
Del af: Kvalitet og standarder
Læs også: Forensic readiness-test: kan logningen bære en undersøgelse? · NIST CFTT og CFReDS: offentlige værktøjstests og testbilleder
→ Second opinion på en IR- eller forensic-rapport · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
