...

Uvildig teknisk undersøgelse, når IT eller leverandøren selv kan være part

De fleste hændelser undersøges bedst af dem, der kender systemerne. Men der er en type sag, hvor det ikke holder: når spørgsmålet handler om netop de folk, der har nøglerne. Har en administrator misbrugt sine rettigheder? Var backuppen sat op, som MSP’en lovede? Kom angriberen ind gennem en adgang, leverandøren selv havde åbnet? Så er IT-afdelingen, driftsleverandøren eller IR-teamet ikke kun hjælpere. De er også en mulig del af forklaringen.

En uvildig teknisk undersøgelse løser det problem ved at lade en udefrakommende sikre og analysere, uden binding til drift, produkter eller nogen af de involverede.

Hvornår egen IT eller leverandør bør træde et skridt tilbage

Typiske tegn på, at undersøgelsen bør lægges uden for organisationen:

Administratorer er i søgelyset. Den, der kan slette loggen, bør ikke være den, der sikrer den. → Undersøgelse af en administrator
MSP’ens arbejde er til debat. Fx en patch, der ikke blev lagt, en fjernadgang, der stod åben, eller en backup, der ikke kunne gendannes. → IT-leverandørens adgang: RMM-logs
IR-leverandørens indgreb er en del af tidslinjen. Inddæmning ændrer systemer, og den, der har ændret, skal ikke selv afgøre, hvad ændringerne betød. → IR-rapporten som bevis
Der er penge mellem parterne. En forsikringsdækning, et erstatningskrav eller en kontrakt, hvor leverandørens ansvar afhænger af konklusionen.
Ledelsen skal kunne stå på resultatet over for bestyrelse, ejere, kunder eller en modpart.

Det handler ikke om mistillid til den enkelte tekniker. Det handler om, at en konklusion fra en part med en interesse i udfaldet er let at angribe, uanset hvor korrekt den er.

Hvad gør undersøgelsen uvildig i praksis

Uvildighed kan ikke påstås, den skal kunne ses i arbejdet. Konkret betyder det:

Uafhængige kilder. Hvor det er muligt, hentes data fra kilder, de involverede ikke kan ændre: cloud-audit, eksterne logservere, leverandørens platformlogs.
Sikring før samtaler. Kilder fastfryses med hash, før de involverede bliver bedt om forklaringer.
Egne indgreb registreres. Alt, IT, MSP og IR har gjort, noteres med tid og person og adskilles fra det, sagen drejer sig om. → Kontaminering: egne spor
Alternative forklaringer vurderes. En fejlkonfiguration og et bevidst indgreb kan efterlade ens spor; begge hypoteser afprøves. → Uvildighed i praksis
Metoden dokumenteres, så en anden fagperson kan køre den igen og kontrollere resultatet.

Samspillet med IT, MSP og IR

En uvildig undersøgelse betyder ikke, at de interne skal holdes ude. De har adgangene, kender opsætningen og har ofte de første observationer. Deres bidrag bruges, men som kilder med navn og tidspunkt, ikke som konklusioner. Adgang til den sagkyndige gives med afgrænsede roller, der logges. → Adgang for en ekstern sagkyndig

Når en IR-leverandør er i gang efter et angreb, sikrer Nielco IT uvildigt ved siden af og kan bagefter efterprøve IR-rapporten. Erfaringen med incident response og hackerangreb betyder, at IR-teamets prioriteringer er kendt terræn. Rollefordelingen er gennemgået på Samarbejde med IR-leverandøren. Er MSP’en selv den, der ringer, er der en artikel om netop den situation: MSP’er, der ringer for en kunde.

Konflikttjek og ingen bindinger

Før der gives overslag, tjekkes for konflikter med organisationen, de involverede personer, modparten og de systemer og leverandører, sagen vedrører. Til det skal der kun bruges navne og et par linjer om sagen.

Nielco IT har ingen varer på hylden: ingen hardware, software eller licenser, og ingen partneraftaler med leverandører af drift, sikkerhedsprodukter eller værktøjer. En vurdering af en MSP’s eller et produkts opsætning påvirkes derfor ikke af kommercielle hensyn. Har Nielco IT én rolle i en sag, tages der ikke en anden, og modparten i tvisten kan ikke bagefter blive kunde i den. Den fulde politik står på Uvildighed og bindinger.

Hvad I får

beviskopier og hash-log for de sikrede kilder,
en registrering af alle indgreb fra IT, MSP og IR med tid og person,
en rapport, der adskiller fund, fortolkning og forbehold og vurderer alternative forklaringer,
en metode, som en skønsmand eller modpartens sagkyndige kan efterprøve.

Leverancens form svarer til sikringsrapporten og indholdsfortegnelsen til en forensic-rapport.

Hvem undersøger

Undersøgelsen laves af John Nielsen, Nielco IT’s eneste konsulent, som startede for sig selv i 2009 og har haft IT-sikkerhed som fag i over 30 år, med erfaring fra kritisk infrastruktur, offentlige myndigheder og finanssektoren. Som IT-sagkyndig har John Nielsen erfaring fra retssager, og opdragsgiverne tæller både parter, advokater og domstolene selv. Større opgaver løses ved at tilknytte konsulenter i Nielco IT’s regi under samme tavshedspligt.

Pris, hast og fortrolighed

Prisen afhænger af antal kilder, datamængde og spørgsmålenes omfang; hastesager koster ekstra. Se nielcoit.dk/priser. Fortroligheden er sikret af tavshedspligten, som kun brydes på domstolenes krav, og I kan få en NDA underskrevet.

Undersøgelserne gælder civile sager, interne forhold og tvister. Se afgrænsningen.

Vil I drøfte, om sagen kræver en uvildig, så ring 70 13 63 23. Start med navne på de involverede, så konflikttjekket kan klares først.