Kvalifikationer hos IT-sagkyndige

Når en IT-sagkyndig præsenteres, følger der ofte en række forkortelser med. GCFA, CFCE, EnCE og andre certificeringer kan se tungtvejende ud i et CV eller i indledningen til en erklæring. Men hvad dokumenterer de egentlig, og hvad dokumenterer de ikke? Denne side giver advokaten et grundlag for at vurdere kvalifikationer, både hos den sagkyndige, der skal foreslås eller bestilles, og hos modpartens.

De mere praktiske kriterier for valget, fx uvildighed, kapacitet og fortrolighed, står i Sådan vælger du en IT-sagkyndig.

Der er ingen autorisation for IT-sagkyndige

I Danmark findes der ikke en offentlig autorisation eller beskyttet titel for IT-sagkyndige. Det, der gør en person til skønsmand, er rettens udpegning i den konkrete sag. Retsplejeloven stiller krav om, at skønsmanden er uberygtet og ikke inhabil (§ 199), og retten kan afvise spørgsmål, der ligger uden for skønsmandens faglige kompetence (§ 197, stk. 2) (retsplejeloven). Loven siger derimod ikke, hvilken uddannelse eller certificering en IT-skønsmand skal have.

Det betyder, at vurderingen af kvalifikationer altid er konkret. Spørgsmålet er ikke, om den sagkyndige er kvalificeret i almindelighed, men om personen er kvalificeret til at besvare netop de spørgsmål, sagen rejser.

Certificeringer inden for digital forensics

Inden for digital forensics findes der en række internationale certificeringer. Tre af de mest nævnte er:

• GCFA (GIAC Certified Forensic Analyst). Udstedes af GIAC og retter sig mod undersøgelse af computere og hændelser, fx analyse af filsystemer, hukommelse og tidslinjer.
• CFCE (Certified Forensic Computer Examiner). Udstedes af IACIS, en international organisation for computerforensikere, og bygger på en uddannelses- og prøveproces i grundlæggende forensisk undersøgelse af computere.
• EnCE (EnCase Certified Examiner). Er knyttet til det kommercielle forensiske værktøj EnCase og dokumenterer kendskab til værktøjet og til forensisk metode i forbindelse med det.

Der findes også certificeringer knyttet til andre værktøjer, fx til udtræk og analyse af mobiltelefoner, og certificeringer inden for IT-sikkerhed generelt, som ikke specifikt handler om beviser.

Hvad en certificering siger

En certificering viser typisk, at personen på et bestemt tidspunkt har bestået en prøve inden for et afgrænset område. Det kan være et godt tegn:

• Personen har sat sig ind i et fagområde på et niveau, som en ekstern organisation har prøvet.
• Personen kender den terminologi og de grundlæggende metoder, der bruges internationalt.
• Ved værktøjscertificeringer har personen dokumenteret kendskab til et bestemt værktøjs funktioner.

Nogle certificeringer skal fornyes løbende. Om det er sket, kan man spørge til.

Hvad en certificering ikke siger

En certificering er ikke en kvalitetsgaranti for den konkrete erklæring. Den siger ikke:

• Noget om fagområdet i sagen. En forensisk certificering siger ikke noget om erfaring med ERP-systemer, systemudvikling eller drift af netværk. Mange IT-skøn handler om netop det.
• Noget om det konkrete arbejde. Hvordan data er sikret, dokumenteret og analyseret i denne sag, fremgår af erklæringen, ikke af CV’et.
• Noget om uvildighed. En certificeret sagkyndig kan have bindinger til en part eller en leverandør. → Uvildighed og inhabilitet hos IT-sagkyndige
• Noget om evnen til at forklare. En erklæring skal kunne forstås af en dommer og forsvares mundtligt. Det prøves ikke ved en certificering.
• At værktøjet har ret. En værktøjscertificering viser kendskab til værktøjet, ikke at værktøjets fortolkning er korrekt i den konkrete sag.

Omvendt betyder fraværet af en bestemt certificering ikke, at en sagkyndig er ukvalificeret. Erfaring og dokumenteret arbejde kan veje tungere end et kursusbevis.

Standarder er ikke certificeringer

ISO/IEC 27037 er en international standard med retningslinjer for identifikation, indsamling, erhvervelse og bevaring af digitale beviser. Den bliver ofte nævnt i erklæringer og CV’er. Det er værd at holde to ting adskilt:

• At en sagkyndig arbejder efter principperne i en standard, siger noget om metoden. Det kan efterprøves i erklæringen.
• At en sagkyndig henviser til en standard, siger ikke i sig selv, at metoden er fulgt i den konkrete sag.

Standarden er heller ikke et krav, som retten stiller. Den er et fagligt udgangspunkt, som erklæringen kan måles op imod. Hvordan principperne bruges i praksis, er beskrevet i Metode.

Erfaring fra retten

En IT-sagkyndig skal ikke kun undersøge. Skønsmænd kan indkaldes til et retsmøde for at besvare spørgsmål til skønserklæringen, og afhøringen sker efter reglerne om vidner (§ 206, stk. 1 og 3). En partsvalgt sagkyndig kan også blive afhørt som vidne.

Erfaring fra retten handler om at kunne fastholde det, der er konstateret, og indrømme det, der er usikkert, også under modpartens spørgsmål. Det er relevant at spørge:

• Har den sagkyndige afgivet skønserklæringer eller partsindhentede erklæringer før, og om hvilke typer spørgsmål?
• Har den sagkyndige forklaret i retten eller ved voldgift?
• Hvordan forberedes en afhjemling?

→ Afhjemling af en IT-skønserklæring og Krydsforhør af en IT-sagkyndig

Sådan vurderer advokaten kvalifikationer

En praktisk fremgangsmåde er at gå fra sagen til personen, ikke omvendt:

1. Beskriv fagområdet. Hvad handler spørgsmålene om: en telefon, en mailserver, et IT-projekt, en sikkerhedshændelse?
2. Spørg til konkret erfaring. Hvilke lignende opgaver har den sagkyndige løst, og hvilke data og systemer indgik?
3. Se på metode frem for titler. Bed om en beskrivelse af, hvordan data sikres og dokumenteres, og gerne om et anonymiseret eksempel på en erklæring. → Skabelon: indholdet i en IT-erklæring
4. Spørg til certificeringer, hvor de er relevante. Er sagen en forensisk undersøgelse af en computer eller telefon, er en forensisk certificering relevant at spørge til. Er sagen et IT-projekt, er det andre kvalifikationer, der tæller.
5. Tjek uvildigheden. Kvalifikationer hjælper ikke, hvis den sagkyndige er bundet til en part eller et system.

Modpartens sagkyndige

Det samme gælder modpartens sagkyndige. En lang liste af certificeringer er ikke et argument i sig selv, og manglende certificeringer er heller ikke. Det, der kan angribes, er metoden, grundlaget og konklusionerne i den konkrete erklæring. → Modpartens IT-sagkyndige og Second opinion på en IT-erklæring

Bistand fra Nielco IT

Nielco IT er John Nielsen, én IT-sagkyndig med retssagserfaring og mere end 30 års erfaring med IT-sikkerhed, herunder fra finanssektoren, offentlige myndigheder og kritisk infrastruktur. Nielco IT sælger ikke produkter og har ingen leverandørpartnerskaber. Spørgsmål om uddannelse, erfaring og metode besvares gerne, før en opgave aftales, så advokaten kan vurdere, om fagområdet passer til sagen.

→ IT-sagkyndig for advokater · Send en sag