Det stærkeste krydsforhør af en IT-sagkyndig handler sjældent om teknik for teknikkens skyld. Det handler om metoden: Hvordan kom dataene fra enheden til rapporten, hvad blev undersøgt, og hvad blev ikke? Hvis metoden har huller, svækkes konklusionerne, uanset hvor overbevisende de lyder. Denne artikel giver spørgsmål, der tester metoden trin for trin.
Rammerne for afhøring af sagkyndige og vidner i retten er advokatens felt.
Forbered dig på tre spor
Et krydsforhør bliver skarpere, når det følger bevisets vej:
- Sikringen: Hvordan blev dataene fremskaffet?
- Analysen: Hvad blev undersøgt, og med hvilke værktøjer?
- Konklusionen: Hvor langt rækker dataene?
Læs rapporten med de tre spor for øje, og markér, hvor dokumentationen er tynd. Det er der, spørgsmålene skal sættes ind.
Spor 1: Kæde af ansvar
Kæden af ansvar dokumenterer, hvem der har haft dataene, hvornår og hvad der er gjort med dem. → Kæde af ansvar
Spørgsmål:
- Hvem sikrede dataene, og hvornår præcist?
- Var den sagkyndige selv til stede ved sikringen, eller er dataene modtaget fra en anden?
- Hvor blev kopien opbevaret mellem sikring og analyse?
- Hvem havde adgang til den i den periode?
- Er der et skriftligt overdragelsesbevis for hver gang dataene skiftede hænder?
Det svage punkt er ofte overgangen fra klienten til den sagkyndige. Har klienten selv kopieret filer over på en USB-nøgle, er det ikke en forensisk sikring. → Hvad er en forensisk kopi?
Spor 2: Hashværdier
En hashværdi er et digitalt fingeraftryk af dataene. Den viser, om kopien er identisk med originalen og uændret siden. → Hashværdier forklaret
Spørgsmål:
- Blev der beregnet hashværdi ved sikringen?
- Blev den kontrolleret igen før analysen?
- Stemmer de to værdier?
- Hvilken hashalgoritme blev brugt? → Hashalgoritmer: MD5, SHA-1 og SHA-256
- Gælder hashværdien hele kopien eller kun udvalgte filer?
Hvis der ikke findes en hashværdi fra sikringstidspunktet, kan den sagkyndige ikke dokumentere, at dataene er uændrede. Det betyder ikke, at de er ændret. Men det er en åbning.
Spor 3: Afgrænsning
Afgrænsningen viser, hvad den sagkyndige ikke har set. Det er ofte her, alternative forklaringer gemmer sig.
- Hvilke enheder og konti blev undersøgt? · Om der mangler datakilder
- Hvilken periode dækker undersøgelsen? · Om relevante tidspunkter er udeladt
- Hvilke søgeord blev brugt, og hvem valgte dem? · Om søgningen var styret mod et bestemt resultat
- Blev der søgt efter data, der taler imod konklusionen? · Om undersøgelsen var ensidig
- Blev slettede data forsøgt gendannet? · Om billedet er fuldstændigt
Spor 4: Værktøjer og efterprøvning
- Hvilket værktøj og hvilken version blev brugt?
- Er resultatet kontrolleret med et andet værktøj eller manuelt?
- Kan en anden sagkyndig gentage undersøgelsen på samme data og få samme resultat?
Et fund, der kun bygger på ét værktøjs fortolkning af ét artefakt, er svagere end et fund, der understøttes af flere uafhængige spor.
Spor 5: Fra fund til konklusion
Her ligger ofte den største sårbarhed. Et fund er, at en fil blev kopieret til et USB-drev på et bestemt tidspunkt. En konklusion om, hvorfor det skete, er noget andet.
Spørgsmål:
- Hvilke konkrete artefakter bygger konklusionen på?
- Kan artefaktet være skabt automatisk, for eksempel af synkronisering, antivirus eller indeksering?
- Er tidsstemplerne kontrolleret for tidszone og systemur? → Tidsstempler og tidszoner
- Kan dataene vise, hvem der sad ved tastaturet, eller kun hvilken brugerkonto der var logget ind?
Det sidste spørgsmål er særligt relevant ved cloud-tjenester. Et login fra en bestemt konto viser, at nogen har brugt kontoens adgangsoplysninger eller en gyldig session. Det viser ikke i sig selv, hvem det var. → Sessioner, tokens og loginlogs
Et eksempel på en spørgsmålsrække
Forestil dig en sag, hvor modpartens sagkyndige konkluderer, at en tidligere medarbejder har kopieret en mappe med tilbud til et USB-drev dagen før fratrædelsen. En spørgsmålsrække kunne bygges op sådan, med lukkede spørgsmål, der hver kun tester én ting:
- “Bygger konklusionen om kopiering på registreringer i Windows om tilsluttede USB-enheder og om åbnede filer?”
- “Har De undersøgt selve USB-drevet?”
- “Viser registreringerne, at filerne blev kopieret, eller at de blev åbnet fra drevet?”
- “Kan de samme registreringer opstå, hvis filerne var lagt på drevet tidligere og blot blev åbnet den pågældende dag?”
- “Har De kontrolleret, om computerens ur og tidszone var korrekt indstillet?”
Rækkefølgen er vigtig. De første spørgsmål fastlægger grundlaget. De sidste prøver, om grundlaget kan bære konklusionen. Hvilke registreringer der findes, og hvad de kan vise, er beskrevet nærmere i → Windows-artefakter: LNK, jumplists, shellbags og USB
Eksemplet er generisk. De præcise spørgsmål afhænger af rapporten og af, hvilke data der faktisk er undersøgt.
Når svaret er “det ved jeg ikke”
Et ærligt “det er ikke undersøgt” eller “det kan dataene ikke vise” er ofte mere værdifuldt end et langt teknisk svar. Lad svaret stå. Et opfølgende spørgsmål om hvorfor giver typisk den sagkyndige mulighed for at forklare, at det var uden betydning. Notér i stedet svaret og brug det i proceduren.
Forberedelse og tidsforbrug
Et godt krydsforhør af en IT-sagkyndig forberedes i god tid. En realistisk rækkefølge:
- Gennemgang af rapporten med egen IT-sagkyndig, så de svage punkter er identificeret.
- Afklaring af tekniske detaljer, så advokaten kender betydningen af de begreber, der skal spørges til.
- Udkast til spørgsmål, som den IT-sagkyndige læser igennem for faglige fejl.
- Gennemgang af mulige svar, så advokaten ved, hvornår et svar åbner for et opfølgende spørgsmål, og hvornår det er tid til at stoppe.
Hvor lang tid det tager, afhænger af rapportens omfang og sagens kompleksitet. Det er sjældent noget, der kan klares dagen før retsmødet.
Om advokatens egen IT-sagkyndige kan være til stede under hovedforhandlingen, er en processuel vurdering.
Undgå de typiske fejl
- Stil lukkede spørgsmål. Åbne spørgsmål giver den sagkyndige plads til at forklare sig ud af et hul.
- Gå ikke ind i teknisk detalje, du ikke selv forstår. Det giver den sagkyndige overtaget.
- Angrib metoden, ikke fagligheden. Rettens tillid til den sagkyndige er sjældent det, der skal flyttes.
- Stil ikke for mange spørgsmål. Tre skarpe punkter står stærkere end tyve små.
- Bland ikke fund og konklusion sammen i spørgsmålene. Spørg til fundet først, derefter til, hvad det kan bære.
Tjekliste før retsmødet
- ☐ Rapporten er læst med fokus på sikring, analyse og konklusion
- ☐ Huller i kæden af ansvar er markeret
- ☐ Hashværdier er kontrolleret
- ☐ Afgrænsningen er sammenholdt med sagens datakilder
- ☐ Alternative forklaringer er listet
- ☐ Egen IT-sagkyndig har gennemgået spørgsmålene
→ Sådan læser du en IT-sagkyndig rapport → Modpartens IT-sagkyndige: hvad du skal kigge efter
→ Send en sag · Tlf. 70 13 63 23 · IT-sagkyndig og skønsmand hos Nielco IT
