Forside › Tjeklister og skabeloner · Gennemgået oktober 2026 · Af John Nielsen
En geninstallation, en nulstilling eller en genudlevering til en ny medarbejder fjerner næsten alle spor på en computer. Det er rutine i IT-driften, og i langt de fleste tilfælde er det helt uproblematisk. Men når der er en hændelse, en fratræden under uklare forhold eller en tvist i horisonten, kan maskinen være det eneste sted, hvor bestemte spor findes. Denne tjekliste samler de spørgsmål, der afgør, om der skal laves en forensisk kopi først. Svarer du ja til ét af dem, bør maskinen sikres, før den røres.
Haster det? En maskine i returprocessen nulstilles ofte inden for få dage, og så er USB-, program- og browserspor væk. Se akut forensisk sikring; hastesager koster ekstra.
Hvordan virksomheden modtager udstyr fra en fratrådt medarbejder, er beskrevet på bevissikring-digitalt.dk. Her er den tekniske beslutning.
Hvorfor det haster
Sporene på en computer forsvinder ikke kun ved geninstallation. Allerede ved almindelig brug overskrives slettede data, logfiler roterer, og SSD-diske rydder frigjort plads op i baggrunden. En maskine, der står tændt og forbundet til netværket, opdaterer sig selv, synkroniserer og indekserer. Jo længere tid der går, jo mindre er der at finde. Derfor bør beslutningen tages, før maskinen sendes videre, ikke når spørgsmålet opstår måneder senere.
Spørgsmål om personen
- ☐ Er brugeren fratrådt eller opsagt under uenighed, bortvist, eller er der en konflikt om fratrædelsen?
- ☐ Er brugeren gået til en konkurrent eller har startet egen virksomhed i samme branche?
- ☐ Har brugeren haft adgang til forretningshemmeligheder, kundedata, kildekode eller økonomiske systemer?
- ☐ Har brugeren haft administratorrettigheder?
- ☐ Er der modtaget klager, whistleblowerindberetninger eller lignende om brugeren?
- ☐ Har brugeren selv slettet eller nulstillet maskinen før afleveringen?
Den sidste er særlig vigtig. En maskine, der afleveres nulstillet, kan stadig rumme spor, fx tidspunktet for nulstillingen, og selve nulstillingen kan være et relevant faktum.
Spørgsmål om hændelser
- ☐ Har maskinen været involveret i en sikkerhedshændelse, alarm fra EDR eller antivirus, eller mistanke om skadelig kode?
- ☐ Har brugerens konto været kompromitteret, fx en overtaget mailkonto?
- ☐ Er maskinen brugt til at tilgå systemer, hvor der er mistanke om misbrug eller dataudtræk?
- ☐ Er der forsvundet data, eller er der sket uautoriserede ændringer, hvor maskinen kan være brugt?
Ved hændelser er det ofte incident response-processen, der foreslår geninstallation. Det er korrekt for at genetablere driften, men sikringen bør ske først, eller geninstallationen bør ske på ny hardware, så den gamle disk kan bevares. Hvad der sker med artefakterne ved isolering og genopsætning, er beskrevet i isolering og genopsætning.
Spørgsmål om sagen
- ☐ Er der en igangværende eller forventet tvist, hvor brugerens handlinger kan blive relevante?
- ☐ Har en advokat, ledelsen eller HR bedt om, at data bevares?
- ☐ Er der en litigation hold eller en anmodning om bevarelse fra en anden part?
- ☐ Er der en forsikringssag, hvor forsikringsselskabet kan bede om dokumentation?
Har nogen bedt om bevarelse, er det ikke IT’s beslutning at geninstallere. Så skal maskinen sikres eller opbevares urørt.
Spørgsmål om maskinen
- ☐ Er det den eneste kilde til de relevante data, eller findes de også centralt i cloud, backup eller logs?
- ☐ Er der lokale data, der ikke synkroniseres, fx lokale mapper, PST-filer, browserprofiler eller udviklingsmiljøer?
- ☐ Er maskinen brugt af én person eller delt?
- ☐ Er disken krypteret, og kendes gendannelsesnøglen?
Selv når filerne findes i cloud, rummer den lokale maskine spor, som cloud ikke har: USB-tilslutninger, programkørsel, browserhistorik, lokale kopier og slettede filer.
Særlige maskiner
- ☐ Servere og virtuelle maskiner: En geninstallation eller gendannelse fra backup overskriver logs og spor efter hændelsen. Tag et snapshot eller en kopi af diskfilerne, før gendannelsen, og bevar den gamle maskine slukket, hvis platformen tillader det.
- ☐ Delte maskiner og kiosker: Flere brugere gør attribution sværere, men sporene kan stadig skelnes pr. brugerprofil. Notér, hvem der har brugt maskinen i perioden.
- ☐ Mac med Apple silicon: Disken kan ikke tages ud, og når maskinen nulstilles, slettes krypteringsnøglerne. Sikringen skal derfor ske, før nulstillingen, mens adgangen er intakt.
- ☐ Maskiner, der skal repareres: Et værksted kan udskifte disken eller bundkortet. Aftal, at den gamle disk eller det gamle bundkort returneres, eller sikr maskinen før reparationen.
Hvad en senere undersøgelse kan svare på
Det er lettere at tage beslutningen, når man ved, hvad der står på spil. En bevaret maskine kan typisk vise, hvilke USB-enheder der har været tilsluttet, hvilke filer der er åbnet og hvorfra, hvilke programmer der er kørt, hvilke websider og cloudtjenester der er besøgt, og om der er slettet data, og hvornår. Ingen af disse spor findes i cloud eller i backup af brugerens filer. Er maskinen geninstalleret, er de væk, og spørgsmålene kan kun besvares delvist ud fra centrale logs.
Hvis svaret er ja
- ☐ Stop geninstallation, nulstilling og genudlevering.
- ☐ Notér maskinens tilstand, model og serienummer, og hvem der har haft den siden afleveringen.
- ☐ Afklar kryptering og find gendannelsesnøglen, før maskinen slukkes, hvis den er tændt. Se BitLocker og FileVault.
- ☐ Beslut, om maskinen skal slukkes eller isoleres. Se sluk, isolér eller lad den køre.
- ☐ Lav en forensisk kopi, eller opbevar disken urørt, indtil kopien kan laves.
- ☐ Hash kopien, og registrér den i en bevislog.
Fremgangsmåden er beskrevet i forensisk image trin for trin.
Hvis svaret er nej
- ☐ Notér, at spørgsmålene er gennemgået, af hvem og hvornår.
- ☐ Notér maskinens serienummer og hvad der skete med den.
- ☐ Følg den normale procedure for geninstallation eller bortskaffelse.
Et kort notat om, at vurderingen er foretaget, kan vise sig værdifuldt, hvis spørgsmålet alligevel opstår senere.
Billigere alternativer
En fuld forensisk kopi er ikke altid nødvendig. Alternativer, der stadig bevarer muligheden for en senere undersøgelse:
- Behold disken. Sæt en ny disk i maskinen, og opbevar den gamle forseglet og mærket.
- Behold maskinen. Udlever en anden maskine til den nye medarbejder.
- Triage. Indsaml de vigtigste artefakter med et dokumenteret værktøj, når en fuld kopi ikke står mål med sagen. Se triage eller fuld kopi.
At opbevare en disk koster næsten ingenting i forhold til de spor, der går tabt ved geninstallation. Opbevaringen skal dog dokumenteres, så det senere kan vises, at disken ikke har været brugt.
Gør det til en fast rutine
Mange organisationer har gavn af en fast regel om, at maskiner fra fratrådte medarbejdere opbevares urørt i en periode, fx nogle måneder, før de geninstalleres. Undtagelser kan godkendes af en ansvarlig. Reglen fjerner behovet for at vurdere hver sag under tidspres, og den bør stå i offboarding-proceduren sammen med de spørgsmål, der udløser en egentlig sikring.
Typiske fejl
- Maskinen geninstalleres samme dag som afleveringen, fordi en ny medarbejder venter.
- En MSP nulstiller maskinen som standardprocedure uden at kende baggrunden.
- Brugeren får lov til at “rydde op i private ting” før afleveringen.
- Den gamle disk kasseres sammen med maskinen ved udskiftning.
- Der tages en kopi, men uden hashværdi og uden registrering.
- Maskinen sendes til leasingselskabet eller genbrug ved kontraktens udløb, uden at nogen har vurderet, om den indgår i en verserende sag.
Kilder og versioner
- Apple Platform Deployment: sletning af Apple-enheder og nøgler
- NIST SP 800-88 Rev. 2: sletning og sanering af medier
- NIST SP 800-86: integration af forensiske teknikker i hændelseshåndtering
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Tjeklister og skabeloner
Læs også: Tjekliste: logs at sikre i Microsoft 365 ved en hændelse · Tjekliste: tekniske trin ved sikring af en mobiltelefon · Alle skabeloner og værktøjer
→ Tjeklister og skabeloner · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
