Digitale beviser gør advokatkontoret til opbevaringssted for meget følsomme data. En kopi af en telefon kan rumme en persons beskeder, billeder, helbredsoplysninger og adgangskoder. En kopi af en virksomheds filserver kan indeholde forretningshemmeligheder og persondata om hundredvis af medarbejdere og kunder. Materialet skal beskyttes mod udefrakommende, men også mod kontorets egne systemer, som kan ændre eller sprede det uden at nogen bemærker det.
Den løbende håndtering på kontoret, fra modtagelse til bilag, er beskrevet i Advokatkontorets håndtering af digitalt bevismateriale. Denne artikel handler om den tekniske sikkerhed omkring materialet.
Bevismateriale kan være farligt
Det, klienten afleverer, er ikke nødvendigvis sikkert at åbne. Netop i sager om IT-angreb, svindel eller fratrådte medarbejdere kan materialet indeholde skadelig kode:
- Mails med vedhæftede filer, der var en del af et angreb.
- USB-nøgler eller harddiske fra et kompromitteret miljø.
- Dokumenter med makroer.
- Links i beskeder, der fører til falske loginsider.
Åbnes sådant materiale på en almindelig arbejdscomputer, kan det kompromittere kontoret. Materiale fra en sag om et angreb bør derfor behandles som potentielt farligt, indtil andet er afklaret. Overvej at lade en sagkyndig modtage og undersøge det i et isoleret miljø, før kontoret får en sikker arbejdskopi.
Når kontorets sikkerhed ændrer beviset
Det modsatte problem er mindre kendt. Kontorets egne sikkerhedssystemer kan ændre eller fjerne bevismateriale:
- Antivirus kan sætte filer i karantæne eller slette dem. Er det netop den skadelige fil, der er beviset, forsvinder den.
- Mailfiltre kan fjerne vedhæftninger eller omskrive links i videresendte mails.
- Automatisk konvertering i dokumentsystemer kan ændre filformat og metadata.
- Synkronisering kan opdatere tidsstempler, når filer kopieres mellem systemer.
Originalen bør derfor opbevares et sted, hvor ingen af disse funktioner rører den, og altid med en hashværdi, så det kan kontrolleres, at den er uændret. Arbejdet foregår på kopier. → Metadata i advokatens egne dokumenter
Hvor materialet ligger
Store kopier ender ofte på steder, ingen har planlagt:
- en ekstern harddisk i en skuffe,
- en medarbejders bærbare computer,
- en mappe, der automatisk synkroniseres til en cloudtjeneste,
- en mail, sendt til en kollega,
- kontorets backup, der gemmes i mange år.
Hvert sted er en kopi, der skal beskyttes og senere slettes. Fastlæg derfor ved sagens start, hvor materialet må ligge, og hold det der.
Grundlæggende sikkerhedskrav
For følsomt bevismateriale bør kontoret som minimum have styr på:
- Kryptering. Eksterne diske og bærbare computere med bevismateriale skal være krypteret.
- Adgangsstyring. Kun dem, der arbejder på sagen, har adgang til mappen eller systemet.
- Totrinsgodkendelse på de systemer, hvor materialet ligger, og på delingsløsninger.
- Log over adgang, så det kan dokumenteres, hvem der har set eller hentet materialet.
- Ingen automatisk synkronisering af bevismapper til private eller ikke-godkendte tjenester.
- Kontrolleret deling. Store mængder deles via en løsning med adgangsstyring, ikke som vedhæftninger. → Deling af store datamængder
Backup og opbevaringstid
Backup beskytter mod tab, men forlænger også materialets levetid. Er materialet slettet fra sagsmappen, kan det stadig ligge i backup i årevis. Det bør overvejes:
- om bevismateriale skal med i den almindelige backup,
- hvor længe backup gemmes,
- om sletning efter sagen også omfatter backup, eller om det accepteres, at kopier udløber over tid.
Spørgsmålet bliver konkret, hvis kontoret ved et forlig forpligter sig til at slette materialet. → Sletning og tilbagelevering af data efter forlig eller dom
Databeskyttelse
Advokatkontoret behandler personoplysninger i bevismaterialet og har pligt til at beskytte dem med passende sikkerhedsforanstaltninger. Hvordan behandlingsgrundlag og opbevaring vurderes i en tvist, er beskrevet i GDPR og bevisførelse. Datatilsynet har vejledning om sikkerhed ved behandling af personoplysninger på datatilsynet.dk.
Hvis uheldet er ude
Rammes kontoret af et angreb, fx ransomware, er bevismateriale en del af skaden. Det rejser to spørgsmål:
- Er materialet kommet ud? Det har betydning for klienten, for modparten og for de personer, der optræder i materialet.
- Er materialet uændret? Hashværdier gør det muligt at kontrollere, om en gendannet kopi svarer til originalen.
Materiale, der er sikret af en sagkyndig, kan som regel hentes igen fra den sagkyndiges kopi. Det forudsætter, at den sagkyndiges opbevaring er aftalt.
Klienten som afsender
Sikkerheden starter, før materialet når kontoret. Klienter sender ofte bevismateriale på den nemmeste måde: som vedhæftninger i almindelig mail, via private delingstjenester eller i en chat. Det giver kopier hos mailudbydere og tjenester, som hverken klienten eller kontoret har kontrol over. Det kan også betyde, at filerne ændres undervejs, fx når billeder komprimeres i en chat, eller når metadata fjernes ved upload.
Giv derfor klienten en klar anvisning på, hvordan materialet skal afleveres:
- via kontorets sikre delingsløsning, eller
- på et medie, der afleveres fysisk, eller
- ved at en sagkyndig sikrer materialet direkte hos klienten.
Bed klienten om ikke at sende originaler, før det er aftalt hvordan.
Modtagelse af et medie i praksis
Når en harddisk, en USB-nøgle eller en telefon afleveres på kontoret, er de første minutter afgørende for, om materialet senere kan bruges. En fast fremgangsmåde kan se sådan ud:
- Notér modtagelsen. Hvem afleverede hvad, hvornår, og i hvilken stand. Tag et foto af mediet med serienummer.
- Tilslut det ikke. Mediet sættes ikke i en arbejdscomputer, hvor antivirus, indeksering eller automatisk afspilning kan ændre det eller starte skadelig kode.
- Opbevar det sikkert. Læg mediet i en mærket pose eller kuvert i et aflåst skab, adskilt fra andre sagers materiale.
- Lad en sagkyndig lave kopien. Kopien laves med skrivebeskyttelse, og der beregnes hashværdier af både original og kopi.
- Arbejd på kopien. Kontoret får en arbejdskopi, mens originalen forbliver urørt.
For telefoner gælder desuden, at de kan modtage beskeder og fjernsletning, så længe de er tændt og forbundet. Spørg klienten, om telefonen skal i flytilstand, før den afleveres, og notér, om det er sket. → Fjernsletning af firmatelefonen: bevisforspildelse eller rutine?
Mobile enheder og hjemmearbejde
Advokater og medarbejdere arbejder ofte på bærbare computere, tablets og telefoner uden for kontoret. Bevismateriale, der åbnes på en mobil enhed, kan blive gemt lokalt i en midlertidig mappe eller i en downloadmappe og glemt der. Fastlæg, om bevismateriale må åbnes på mobile enheder, og i givet fald hvordan. Det enkleste er ofte, at materialet kun tilgås gennem et system, hvor det bliver liggende centralt.
Typiske fejl
- At åbne bilag fra en sag om et IT-angreb på en almindelig arbejdscomputer.
- At lade antivirus slette filer, der er bevis.
- At opbevare kopier af telefoner på ukrypterede eksterne diske.
- At synkronisere bevismapper til en cloudtjeneste uden at vide det.
- At glemme backup, når materialet skal slettes.
Tjekliste ved sagens start
- ☐ Fastlagt hvor original og arbejdskopi må ligge
- ☐ Materialet vurderet for skadelig kode
- ☐ Antivirus og synkronisering kan ikke ændre originalen
- ☐ Kryptering og adgangsstyring på plads
- ☐ Backup og sletning aftalt
Kontorets IT-sikkerhed er kontorets ansvar. En IT-sagkyndig bør inddrages, når materialet kan indeholde skadelig kode, eller når store kopier skal opbevares og deles, uden at beviset ændres.
→ Send en sag · Tlf. 70 13 63 23 · IT-sagkyndig bistand til advokater hos Nielco IT
