En rapport om digitale beviser kan virke overbevisende, fordi den er teknisk. Men det tekniske sprog kan skjule huller: data, der ikke er undersøgt, alternative forklaringer, der ikke er behandlet, eller konklusioner, der går længere end dataene. Her er ti spørgsmål, du kan stille til enhver rapport, også din egen sagkyndiges.
Læs rapporten i tre gennemløb
En teknisk rapport læses bedst i flere omgange med hvert sit formål:
- Overblik: Læs indledning, opdrag og konklusion. Notér, hvilket spørgsmål rapporten svarer på, og hvad svaret er.
- Grundlag: Læs afsnittene om datakilder, sikring og metode. Notér, hvad der er undersøgt, og hvad der ikke er.
- Sammenhæng: Følg hver konklusion tilbage til de konkrete fund, den bygger på. Notér, hvor koblingen er tynd.
De ti spørgsmål nedenfor følger stort set den rækkefølge.
1. Hvilket spørgsmål besvarer rapporten?
Står spørgsmålet klart i starten? Og er det det spørgsmål, sagen handler om? En rapport kan besvare et nært beslægtet spørgsmål og alligevel ikke ramme det afgørende.
Et eksempel: Sagen handler om, hvorvidt kundedata er bragt med til en ny arbejdsgiver. Rapporten konkluderer, at der er tilsluttet et USB-drev til computeren. Det er et relevant fund, men det besvarer ikke, hvad der blev kopieret, eller hvor dataene endte.
2. Hvilke data er undersøgt, og hvilke er ikke?
Rapporten bør angive præcist, hvilke enheder, konti og perioder der er undersøgt. Lige så vigtigt: hvad der ikke er undersøgt. Er der kun set på computeren, men ikke på telefonen eller cloud?
Sammenhold listen med det, du ved om sagen. Brugte personen en privat telefon, en delt postkasse eller en cloud-tjeneste, som ikke er nævnt, er billedet ufuldstændigt.
3. Hvordan er dataene sikret?
- Forensisk kopi eller kopierede filer?
- Hvem sikrede dataene, hvornår og med hvilket værktøj?
- Er der hashværdier, og stemmer de? → Hashværdier forklaret
4. Er kæden af ansvar dokumenteret?
Kan man følge dataene fra sikringen til analysen? Huller i dokumentationen giver modparten mulighed for at sætte spørgsmålstegn ved, om dataene er ændret. → Kæde af ansvar
5. Hvilke værktøjer og metoder er brugt?
Rapporten bør nævne værktøjer og versioner. Det gør det muligt for en anden sagkyndig at efterprøve resultatet. Det er også relevant, om værktøjets resultat er kontrolleret, for eksempel med et andet værktøj eller ved manuel gennemgang. → Verifikation af værktøjer
6. Er fakta og vurderinger adskilt?
“Filen blev kopieret til et USB-drev den 3. marts kl. 14.12” er et fund. “Medarbejderen tog filerne med for at bruge dem hos konkurrenten” er en vurdering, og en meget vidtgående. Gode rapporter holder de to adskilt.
7. Hvor sikre er konklusionerne?
Søg efter ord, der angiver sikkerhed: “viser”, “tyder på”, “kan ikke udelukkes”. Er sikkerheden begrundet? En konklusion bygget på ét enkelt artefakt er svagere end en, der understøttes af flere uafhængige spor.
8. Er alternative forklaringer behandlet?
Eksempler:
- En fil vises som “åbnet”, men det kan skyldes antivirus eller en indeksering.
- Et tidsstempel kan være påvirket af tidszoner eller en forkert systemur. → Tidsstempler og tidszoner
- En sletning kan være automatisk, for eksempel en slettepolitik.
En rapport, der ikke nævner nogen alternativer, er sjældent fuldstændig.
9. Passer tidslinjen?
Prøv at tegne tidslinjen selv ud fra rapporten. Huller og spring er ofte der, hvor de svage punkter ligger. → Tidslinjeanalyse
10. Kan resultaterne efterprøves?
Er der bilag med de relevante data, log-uddrag eller skærmbilleder fra analysen? Kan en anden sagkyndig gentage undersøgelsen på samme data? Hvis rapporten kun indeholder konklusioner og ingen uddrag af de underliggende data, er det rimeligt at bede om dem. Uden dem kan konklusionerne hverken bekræftes eller anfægtes af andre end rapportens forfatter.
Ord, der ofte læses forkert
Tekniske rapporter bruger ord, der har en snævrere betydning end i almindelig tale.
- “Brugeren” · Hvad det typisk betyder: Den brugerkonto, der var logget ind · Hvad det ikke nødvendigvis betyder: Den person, der sad ved computeren
- “Åbnet” · Hvad det typisk betyder: Systemet har registreret adgang til filen · Hvad det ikke nødvendigvis betyder: At en person har læst indholdet
- “Oprettet” · Hvad det typisk betyder: Filen blev oprettet på netop dette lagermedie · Hvad det ikke nødvendigvis betyder: At dokumentet blev skrevet på det tidspunkt
- “Slettet” · Hvad det typisk betyder: Filen er fjernet fra filsystemets oversigt · Hvad det ikke nødvendigvis betyder: At den er fjernet med vilje, eller at den ikke kan gendannes
- “Kopieret” · Hvad det typisk betyder: Der er spor af en kopi eller flytning · Hvad det ikke nødvendigvis betyder: At kopien er brugt til noget
Bed om en uddybning, hvis rapporten bruger et ord, hvor forskellen kan være afgørende. → Ordliste om digital bevissikring
Tegn på en svag rapport
- Ingen beskrivelse af, hvordan dataene er sikret
- Skærmbilleder i stedet for forensiske kopier
- Konklusioner om hensigt eller skyld
- Ingen forbehold
- Kun data, der støtter den ene part
Omvendt er det et godt tegn, når rapporten selv angiver sine begrænsninger, for eksempel at bestemte data ikke var tilgængelige, eller at et fund kan have flere forklaringer.
Typiske huller i rapportens bilag
Bilagene er ofte der, hvor en rapport står eller falder, men de læses sjældent lige så grundigt som teksten. Kig efter følgende:
- Uddrag uden kontekst. Et log-uddrag på tre linjer kan vise en hændelse, men ikke hvad der skete lige før og efter. Bed om det fulde uddrag for den relevante periode.
- Tabeller fra værktøjer uden forklaring. Kolonnenavne som “Last Accessed” eller “Entry Modified” betyder noget bestemt i det enkelte værktøj. Er det ikke forklaret, er det let at drage forkerte slutninger.
- Skærmbilleder af analyseværktøjet. De viser, hvad værktøjet præsenterede, men ikke nødvendigvis de underliggende data. De er bedst som supplement.
- Manglende hashværdier for bilag. Eksporterede filer, der fremlægges som bilag, bør kunne kobles til den forensiske kopi, de stammer fra.
- Tidszone ikke angivet. Står tidspunkter i bilagene uden angivelse af tidszone, kan der være en forskel på en eller to timer i forhold til teksten.
Det er rimeligt at bede om en oversigt, der kobler hvert fund i rapporten til et bestemt bilag. → Sådan læser du en logfil
Efter læsningen: lav en arbejdsliste
Saml dine noter i en kort liste, inden du beslutter, hvad der skal ske:
- Uklarheder, der kan afklares med et opfølgende spørgsmål
- Manglende data, der kunne ændre billedet
- Konklusioner, der går længere end fundene
- Alternative forklaringer, som ikke er behandlet
Listen kan bruges direkte som grundlag for supplerende spørgsmål, en anmodning om adgang til dataene eller forberedelsen af en afhøring. → Krydsforhør af en IT-sagkyndig
Når rapporten er modpartens
Overvej at få en IT-sagkyndig til at gennemgå rapporten. En gennemgang kan munde ud i spørgsmål til skønsmanden, en anmodning om adgang til dataene eller en egen erklæring. → Partsindhentet erklæring eller skønserklæring?
Når rapporten er din egen sagkyndiges
Stil de samme spørgsmål. Det er bedre, at svaghederne findes nu end under hovedforhandlingen. En god sagkyndig vil hellere uddybe et forbehold end se det blive brugt imod rapporten senere.
→ Send en sag · Tlf. 70 13 63 23 · IT-sagkyndig og skønsmand hos Nielco IT
