Teknisk undersøgelse ved fratræden

Mistanken lyder næsten altid ens: En medarbejder er stoppet eller har sagt op, og der er grund til at tro, at kundelister, tilbud, tegninger eller kildekode er fulgt med. Den tekniske opgave er at finde ud af, hvilke data der faktisk har forladt virksomhedens systemer, ad hvilken vej, og hvornår. Svaret skal kunne holde, når den tidligere medarbejders advokat læser rapporten.

Hvorfor rækkefølgen betyder mest

De bedste spor er også de mest flygtige. Computeren står klar til at blive genbrugt, kontoen skal lukkes, licensen frigives, og postkassen konverteres. Logs i cloud har en opbevaringsperiode, der løber uanset sagen. Derfor sikres der efter, hvad der forsvinder først:

1. Cloud-logs og auditdata, der har en fast opbevaringstid: loginlog, filaktivitet, mailsporing og eksportlogs i SaaS-systemer.
2. Kontoen, før den slettes eller nulstilles: postkasse, OneDrive, delte drev, regler og registrerede enheder.
3. Computeren, som et image, før den geninstalleres eller udleveres til en ny bruger. → Tjekliste: før reinstallation
4. Firmatelefonen, afgrænset til arbejdsdata. → Firmatelefonen i en ansættelsessag
5. Netværks- og sikkerhedslogs: proxy, firewall, DLP og EDR, før de roterer.

Hvordan det hele planlægges, så spørgsmålene styrer sikringen og ikke omvendt, står i Data taget ved fratræden: den tekniske undersøgelsesplan. Ledelsens og HR’s tjekliste for de første døgn ligger hos bevissikring-digitalt.dk.

De veje, data typisk tager

USB og eksterne diske. Windows registrerer, hvilke lagringsenheder der har været tilsluttet, med serienummer, drevbogstav og første og sidste tilslutning. Selve kopieringen logges normalt ikke, men LNK-filer, jump lists og shellbags kan vise, at filer på det eksterne drev blev åbnet eller gennemset. → USB-tidslinjen i Windows

Mail til privat adresse. Message trace og auditloggen kan vise afsendelser til eksterne adresser, vedhæftningers navne og størrelse, og om der er oprettet regler for automatisk videresendelse. → Mail til privat adresse

Privat cloud. Upload via browseren efterlader spor i browserhistorik, proxy- og firewalllogs og nogle gange i SRUM’s opgørelse over netværksforbrug pr. program. → Upload til privat cloud

Synkronisering. En privat OneDrive, Dropbox eller iCloud på arbejdscomputeren kan flytte hele mapper uden en eneste synlig handling. Samtidig kan virksomhedens egen OneDrive være synkroniseret til en privat maskine. → OneDrive-klienten på Windows og Download og synkronisering i SharePoint og OneDrive

Systemernes egne eksporter. Kundelisten forlader ofte virksomheden som en eksport fra CRM eller ERP, ikke som en fil på disken. → Kundelisten fra CRM

AI-tjenester. Indsættelse af firmadata i en ekstern AI-tjeneste er en nyere vej ud. → Shadow AI

Når sporene er sikret, samles de i én tidslinje for de sidste uger, hvor mønstre som ekstraordinær aktivitet efter opsigelsen bliver synlige. → Tidslinje for de sidste uger før fratræden

Når den fratrådte var administrator

En medarbejder med administratorrettigheder kan have ændret eller slettet de logs, undersøgelsen bygger på, og kan have efterladt adgange. Så skal der bruges kilder, som personen ikke selv kontrollerede, og der skal ledes systematisk efter bagdøre. → Undersøgelse af en administrator og Bagdøre efter en administrator

Hvad der kan og ikke kan bevises

En teknisk undersøgelse kan typisk vise, at en bestemt fil blev åbnet fra et USB-drev med et bestemt serienummer, at en mail med en navngiven vedhæftning gik til en ekstern adresse, eller at en konto downloadede et antal filer på et givent tidspunkt. Det er stærke fund, når de underbygges af flere uafhængige kilder.

Den kan sjældent vise, hvad der skete med data bagefter. Hvad der ligger på medarbejderens private computer eller telefon, kræver adgang, som kun samtykke eller en retlig afgørelse kan give. Den kan heller ikke uden videre fastslå, hvem der sad ved tastaturet, hvis en konto var delt, eller adgangskoden kendt af flere. → Hvem sad ved tastaturet?

Og manglende spor er et svar med forbehold. Er computeren nulstillet, eller er logs udløbet, kan undersøgelsen kun sige, at kilderne ikke viser noget. → Fravær af spor. Er der slettet data inden afleveringen, beskriver bevissikring-digitalt.dk de praktiske muligheder, og digital-bevissikring.dk bevisvejen for advokaten.

Private data på arbejdsudstyret

Arbejdscomputeren rummer næsten altid private mails, billeder og browsing. Analysen afgrænses til de spørgsmål, sagen handler om, og private data adskilles teknisk, så de ikke indgår i rapporten uden grund. → Private data på arbejdsenheden

Hvad I får

• Sikrede kilder fra computer, konti og systemer, med hash og bevislog.
• En tidslinje over relevante handlinger i perioden før og efter opsigelsen.
• En opgørelse over hvilke filer, mails og eksporter der kan påvises at have forladt systemerne, og ad hvilken vej.
• En rapport med tydelig skelnen mellem det påviste, det sandsynlige og det, der ikke kan siges noget om.

Hvad påvirker prisen?

Ingen beløb her. Prisen afhænger især af antallet af enheder og konti, hvor mange systemer der indgår, hvor lang en periode der skal dækkes, om der er tale om en administrator, og om sagen haster (hastesager koster ekstra). Se, hvordan Nielco IT prissætter opgaverne.

Bag undersøgelsen

Undersøgelsen udføres af John Nielsen, som har drevet Nielco IT siden 2009 og arbejdet med IT-sikkerhed i mere end 30 år. Opgaverne som IT-sagkyndig omfatter sager ved danske domstole i flere retskredse og ved patentdomstolen UPC (Den Fælles Europæiske Patentdomstol). Nielco IT er uvildig: ingen produktsalg, ingen leverandøraftaler og ingen opgave for modparten i samme tvist.

Fortrolighed

Fratrædelsessager rummer persondata om både den fratrådte og kolleger. En NDA underskrives, hvis I beder om det, og tavshedspligten dækker al IT-sagkyndig bistand, så længe ingen domstol forlanger oplysningerne udleveret.

Afgrænsning

Undersøgelsen tjener civile formål: ansættelsesretlige tvister, forretningshemmeligheder, konkurrenceklausuler og interne undersøgelser. Politiets eventuelle efterforskning ligger uden for. Se afgrænsningen.

Tal med Nielco IT på 70 13 63 23, eller læs videre om digital bevissikring på nielcoit.dk.