Forside › Sikring: metoderne samlet · Gennemgået oktober 2026 · Af John Nielsen
Et teknisk kommissorium er den skriftlige beskrivelse af, hvad en forensisk undersøgelse skal besvare, i hvilke data, for hvilke personer og konti, og i hvilket tidsrum. Det oversætter sagens juridiske eller forretningsmæssige spørgsmål til spørgsmål, som data faktisk kan svare på. Et godt kommissorium gør undersøgelsen hurtigere og billigere, beskytter mod bias og mod unødig gennemgang af persondata, og gør det muligt bagefter at vise, at analysen fulgte en plan, der var lagt, før resultaterne var kendt.
Den organisatoriske afgrænsning, altså hvilke personer og perioder virksomheden vil have med, er beskrevet på Afgrænsning: hvilke personer, data og perioder skal med?. Aftaler med modparten om søgeord og kilder er beskrevet på Søgeord og afgrænsning. Her handler det om den tekniske oversættelse.
Fra sagsspørgsmål til tekniske spørgsmål
Sagens spørgsmål er sjældent tekniske. “Har medarbejderen taget kundelisten med?” kan ikke besvares direkte af en harddisk. Det skal brydes ned til spørgsmål, som bestemte artefakter kan belyse:
- Er kundelisten taget med? · Blev filen åbnet, kopieret til USB, uploadet eller mailet ud i perioden?
- Hvem ændrede kontraktudkastet? · Hvilke konti har gemt versioner, og fra hvilke enheder?
- Var systemet nede? · Hvad viser overvågning, applikationslogs og hændelseslogs i tidsrummet?
- Kom angriberen ind via mail? · Hvilke konti havde mistænkelige logins, regler eller app-tilladelser?
Hvert delspørgsmål skal kunne besvares med ja, nej eller “kan ikke afgøres ud fra de tilgængelige data”. Spørgsmål, der kræver en vurdering af hensigt, troværdighed eller ansvar, hører ikke hjemme i det tekniske kommissorium. De kan belyses af de tekniske svar, men afgøres andre steder.
Kommissoriets elementer
Et teknisk kommissorium bør som minimum indeholde:
- Baggrund i få linjer. Kun det, der er nødvendigt for at forstå spørgsmålene. Undgå at give analytikeren mere kontekst end nødvendigt, fordi kontekst kan styre fortolkningen. → Bias i forensisk analyse
- De tekniske spørgsmål, nummererede, så rapporten kan svare punkt for punkt.
- Personer og identiteter. Ikke kun navne, men konti, mailadresser, brugernavne, enheder og telefonnumre, som undersøgelsen omfatter.
- Datakilder. Hvilke sikrede kopier, eksporter og logs der må bruges, med henvisning til bevisloggen. → Identifikation af datakilder
- Tidsrum. Start og slut med dato, klokkeslæt og tidszone, og hvilket tidsstempel der afgør, om en hændelse er inden for perioden.
- Metoder og begrænsninger. Fx om der må søges i hele indholdet eller kun i metadata, og om bestemte mapper eller kategorier skal undgås.
- Håndtering af private og fortrolige data. Hvad der gøres, hvis analysen støder på private data eller advokatkorrespondance.
- Leverance. Rapportens form, frist, og om der skal leveres bilag som tidslinjer, hashlister eller eksporter.
- Ændringer. Hvordan kommissoriet udvides eller indsnævres undervejs, og af hvem.
Et delspørgsmål, fuldt udfoldet
Et generelt eksempel viser, hvor meget præcision der skal til. Delspørgsmålet “Blev filen kopieret til et USB-medie i perioden?” kan udfoldes sådan:
- Identiteter: brugerkontoen på den bærbare computer og eventuelle lokale administratorkonti.
- Enhed: den bærbare computer med serienummer og bevisnummer.
- Fil: navn, kendte varianter af navnet og hashværdi af den version, virksomheden har.
- Artefakter: USB-registreringer i registreringsdatabasen og hændelseslogs, LNK-filer og jump lists, shellbags, filsystemets ændringsjournal og eventuelle DLP- eller EDR-hændelser.
- Svarmuligheder: ja med angivelse af medie og tidspunkt, nej inden for de tilgængelige data, eller kan ikke afgøres, fx fordi relevante logs er roteret.
Formuleringen gør det tydeligt, hvad der skal ledes efter, og hvad et nej betyder. Et nej er ikke det samme som, at kopiering ikke er sket, kun at de undersøgte spor ikke viser det. → Windows-artefakter: LNK, jump lists, shellbags og USB
Tidsrummet kræver præcision
Tidsrum er den hyppigste kilde til misforståelser. “Fra 1. marts til fratrædelsen” skal oversættes til et præcist start- og sluttidspunkt i en bestemt tidszone. Dertil kommer valget af tidsstempel: En fil kan være oprettet før perioden, ændret i perioden og kopieret efter perioden. En mail har en afsendelses- og en modtagelsestid, som kan ligge på hver sin side af en grænse. Skriv i kommissoriet, hvilket tidsstempel der gælder for hvilken kildetype, eller at alle tidsstempler inden for perioden tæller.
Overvej også en buffer. Aktivitet lige før eller efter perioden kan forklare det, der sker inden for den. Det er bedre at inkludere en kort buffer og beskrive den end at opdage bagefter, at den afgørende hændelse lå fem minutter uden for perioden.
Hypoteser
Et teknisk kommissorium bør formulere mindst to konkurrerende forklaringer på de observationer, der forventes. Hvis spørgsmålet er, om en fil blev kopieret til USB, er den alternative hypotese fx, at filen kom på USB-nøglen fra en anden computer, eller at en LNK-fil skyldes en automatisk proces. Når begge hypoteser er skrevet ned på forhånd, bliver analysen nødt til at lede efter spor, der kan skelne dem. → Analyseplan og hypoteser før analysen starter
Fund uden for kommissoriet
Analysen vil ofte støde på noget, kommissoriet ikke handler om: andre personers data, forhold uden for perioden eller tegn på helt andre hændelser. Kommissoriet bør sige, hvad der så sker: om fundet noteres og rapporteres til opdragsgiveren, om det kun registreres, eller om analytikeren skal stoppe og afvente en beslutning. Uden en sådan regel risikerer undersøgelsen enten at udvide sig selv eller at tie om noget relevant. → Fund uden for opdraget
Ændringer undervejs
Det er normalt, at kommissoriet ændres, når de første resultater viser, at et spørgsmål var forkert stillet, eller at en kilde mangler. Hver ændring skal registreres med dato, hvem der besluttede den, og begrundelse. Rapporten bør vise, hvilke spørgsmål der kom til undervejs, og hvornår. Det beskytter mod indsigelsen om, at undersøgelsen har ledt, indtil den fandt noget, og derefter tilpasset spørgsmålet.
Typiske fejl
- Spørgsmål, der er formuleret som konklusioner: “Dokumentér, at medarbejderen tog filerne.”
- Identiteter, der kun er angivet som navne, så private konti eller alias overses.
- Tidsrum uden tidszone og uden angivelse af tidsstempeltype.
- Kilder, der er nævnt i kommissoriet, men aldrig blev sikret.
- Ingen regel for private data og fund uden for opdraget.
- Ingen registrering af ændringer.
- Spørgsmål, der forudsætter data, som ikke findes, fx logs fra en periode, hvor logningen ikke var slået til. Afstem spørgsmålene med det, der faktisk er sikret, før analysen starter.
- Et kommissorium, der kun findes i en mailtråd, så ingen kan sige, hvilken version analysen fulgte.
Hvad kommissoriet kan og ikke kan
Kommissoriet sikrer ikke korrekte svar, men det gør det muligt at efterprøve, om analysen svarede på det, den skulle, med de data, den havde. I en retssag træder skønstemaerne i kommissoriets sted, men samme tekniske præcision er nødvendig, når temaerne formuleres og besvares.
Dokumentation
Gem kommissoriet i den version, analysen startede med, og hver senere version med ændringslog. Henvis i rapporten til spørgsmålenes numre, og angiv for hvert spørgsmål, om det er besvaret, delvist besvaret eller ikke kunne besvares, og hvorfor.
Kilder og versioner
- ISO/IEC 27042: retningslinjer for analyse og fortolkning af digitale beviser
- ISO/IEC 27037: retningslinjer for håndtering af digitale beviser
- NIST SP 800-86: Guide to Integrating Forensic Techniques into Incident Response
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Sikring: metoderne samlet
Læs også: Defekte og fejlende diske: dataredning eller forensic? · Chain of custody-loggen: felter, hændelser og hashreferencer
→ Forensisk sikring · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
