Teknisk sparring er en afgrænset gennemgang af det, I selv har tænkt jer at gøre. I beskriver hændelsen og jeres plan, og en uvildig IT-sagkyndig vurderer kilder, rækkefølge, metode og dokumentation, før nogen rører systemerne. Bagefter udfører I selv arbejdet. Der bestilles ingen undersøgelse, og der skrives ingen sagkyndig rapport.

Sparringen passer til teams, der sagtens kan eksportere logs, lægge et hold eller tage et image, men som vil være sikre på, at resultatet kan tåle at blive gennemgået senere af en modpart, et forsikringsselskab eller en revisor.

Hvad sparringen dækker

• Kilderne: hvilke systemer der er relevante, og hvilke der kan undværes. Et almindeligt mønster er at sikre for meget af ét system og for lidt af et andet, for eksempel en stor kopi af et fællesdrev, men ingen loginlogs fra Entra ID.
• Rækkefølgen: hvad der forsvinder først. Hukommelse, kortlivede cloudlogs og logs, der roterer, går forud for diske, som ikke ændrer sig, så længe maskinen står slukket. → Flygtighedsorden
• Metoden: fuldt image, målrettet indsamling eller eksport gennem en administrativ grænseflade, og hvilke værktøjer og indstillinger der passer til den enkelte kilde. → Fysisk, logisk eller målrettet sikring
• Dokumentationen: handlingslog, hashværdier, tidszoner, anvendte konti og værktøjsversioner. Netop her bliver de fleste interne indsamlinger svage. → Selvindsamling og dens risici
• Behovet for en uvildig: om sagen er af en art, hvor IT-afdelingen eller MSP’en ikke bør stå for sikringen alene, fordi egne konti, egen drift eller en kollega kan være en del af spørgsmålet.

Typiske situationer

• En medarbejder er fratrådt i uenighed, og IT vil sikre postkasse, OneDrive og bærbar, før kontoen lukkes. Spørgsmålet er, om en eksport fra Purview er nok, eller om maskinen også skal images.
• SOC’en har inddæmmet en kompromitteret konto og vil vide, hvilke logs der skal eksporteres nu, og hvilke der kan vente til i morgen.
• En MSP skal genopbygge en server hos en kunde, der er i tvist med en tidligere leverandør, og vil have bekræftet, at snapshot og logudtræk dækker det, der kan blive spurgt om.
• Ledelsen beder IT om at kigge på en brugers aktivitet. IT vil vide, hvor grænsen går mellem en teknisk sikring og en egentlig undersøgelse, og hvordan egne spor holdes ude af materialet.
• Et IR-team arbejder på at få driften tilbage, og den interne IT vil vide, hvad der skal bevares ved siden af genopretningen. → Samarbejde med jeres IR-leverandør

Sådan foregår det

1. Konflikttjek. Organisationen, de berørte personer og en eventuel modpart tjekkes, før detaljerne drøftes. → Uvildighed og bindinger
2. Kort beskrivelse fra jer. Systemer, tidsrum, hvad der allerede er gjort, og hvad I har planlagt. En punktliste eller et udfyldt datakort er nok. → Skabelon: teknisk datakort
3. Gennemgang. Som regel et møde eller en telefonsamtale, hvor planen tages punkt for punkt. Skærmdeling kan bruges til at se en opbevaringsindstilling eller en eksportdialog, men den sagkyndige logger ikke selv på jeres systemer under sparringen.
4. Skriftlig opsummering. Anbefalingen sendes på skrift, så den kan ligge i sagen ved siden af jeres egen handlingslog.

Sparringen kan tages flere gange i samme forløb, for eksempel når en eksport er færdig, og I vil have vurderet, om hashlister og eksportnoter er komplette.

Hvad I får

• En kort skriftlig anbefaling: hvilke kilder, i hvilken rækkefølge og med hvilken metode.
• Bemærkninger til jeres dokumentation: hvad handlingslog, hashlog og eksportnoter mangler, før de kan stå alene. → Skabelon: handlingslog
• En klar vurdering af ansvaret: kan I gøre arbejdet selv, eller bør en uvildig sikre hele eller dele af materialet?
• En reference: spørger en advokat eller en revisor senere, hvem der har vurderet fremgangsmåden, er svaret dokumenteret.

Sparringen er ikke en erklæring om jeres data. Den sagkyndige har ikke set beviskopierne og udtaler sig derfor ikke om, hvad de viser.

Hvornår sparring ikke er nok

• Når IT-afdelingen, MSP’en eller deres konti kan være en del af det, sagen handler om. Så bør sikringen foretages af en, der ikke har en rolle i driften.
• Når kilden kræver udstyr eller metoder, I ikke har til rådighed: hukommelsen på en kørende maskine, et udtræk fra en telefon eller en disk med læsefejl.
• Når der allerede er en tvist, og modparten må ventes at angribe metoden.
• Når resultatet skal bruges i en retssag eller en voldgift, hvor der skal en uvildig rapport til. → Digital forensics-undersøgelse

I de tilfælde kan sparringen gå direkte over i en sikring, uden at sagen skal forklares forfra.

Hvem I taler med

Sparringen gives af John Nielsen, som har haft Nielco IT siden 2009 og har arbejdet med IT-sikkerhed i over tre årtier. John har været IT-sagkyndig både ved danske retter og ved UPC, Den Fælles Europæiske Patentdomstol, og har indsigt i og erfaring med incident response og hackerangreb. En plan, der skal fungere ved siden af en igangværende inddæmning, kan derfor vurderes realistisk. Der er hverken produkter eller leverandøraftaler bag rådene, så anbefalingen handler kun om jeres sag.

Pris, fortrolighed og afgrænsning

Der står ingen beløb her. Omfanget afhænger af, hvor mange kilder planen omfatter, og hvor mange gange I vil vende den. Hastesager koster ekstra, se pris og tilbud på nielcoit.dk.

Det, I fortæller under sparringen, bliver hos den sagkyndige: tavshedspligten for IT-sagkyndigt arbejde viger kun for et krav fra domstolene. Ønsker I en NDA, underskrives den, før I beskriver sagen.

Sparring ydes til civile sager og interne undersøgelser samt til tvister, der løses uden om domstolene. Hvad der falder uden for, står i afgrænsningen.

Har I en plan, der skal vendes, før I går i gang, så ring på 70 13 63 23, eller beskriv den kort via kontaktsiden.