Metode: sådan arbejdes der med digitale beviser

Et digitalt bevis er kun så stærkt som dokumentationen af, hvordan det er sikret og undersøgt. Modparten og retten skal kunne se, hvad der er gjort, hvorfor, og med hvilket resultat. Denne side beskriver de faste principper i arbejdet hos Nielco IT. Principperne er de samme, uanset om opgaven er en partsindhentet erklæring, en skønserklæring eller rådgivning til advokaten før en sag.

1. Opgaven afgrænses først

Arbejdet begynder med spørgsmålet: Hvad skal dataene kunne vise? Svaret bestemmer, hvilke datakilder der er relevante, hvilken periode der skal sikres, og hvilke personer og konti der er omfattet. En præcis afgrænsning holder uvedkommende og private oplysninger ude af sagen og gør resultatet lettere at forsvare. → Opdraget til den IT-sagkyndige

Hvis spørgsmålet ikke kan besvares ud fra data, siges det fra start. Det er bedre end en rapport, der ser ud til at besvare noget, den ikke kan.

2. Sikring før analyse: forensisk kopi og udtræk

Data sikres, før de undersøges. Hovedreglen er, at der arbejdes på en kopi, og at originalen ikke ændres.

• Lagermedier som harddiske og USB-nøgler kopieres som forensisk kopi med skrivebeskytter, så kilden ikke ændres under kopieringen.
• Telefoner sikres med et mobiludtræk. Hvor meget der kan hentes ud, afhænger af model, styresystem og adgang, og det skal fremgå af dokumentationen.
• Cloudtjenester og mailsystemer sikres typisk via tjenestens egne eksportfunktioner eller API. Det kan ikke altid ske uden at efterlade spor i systemet, og så beskrives det.
• Flygtige data som åbne sessioner og hukommelse sikres kun, når det er relevant og muligt, og det dokumenteres, at det skete på et kørende system.

Hvor en sikring nødvendigvis påvirker kilden, for eksempel fordi en telefon skal låses op, eller en konto skal logges på, beskrives det præcist, hvad der blev gjort, og hvilke ændringer det kan have medført. → Bevissikring: det juridiske og det tekniske begreb

3. Hashværdi ved sikring og kontrol

Ved sikringen beregnes en hashværdi af det sikrede materiale. En hashværdi er et digitalt fingeraftryk: Ændres blot ét tegn i dataene, ændres værdien. Senere beregnes værdien igen. Er den uændret, er det dokumenteret, at materialet er det samme som ved sikringen.

Hashværdier bruges også til at identificere enkeltfiler, til at finde dubletter og til at aftale med modparten præcis hvilke filer der er tale om, for eksempel ved sletning efter et forlig. → Hashværdi i IT-ordbogen

4. Chain of custody: kæden af ansvar

Fra sikringen til retssalen dokumenteres det, hvem der har haft materialet, hvornår, og hvad der er sket med det. Dokumentationen omfatter blandt andet:

• hvor og hvornår materialet blev modtaget eller sikret, og af hvem
• en beskrivelse af enheden eller kontoen, herunder serienummer eller anden identifikation
• hashværdier ved sikring og ved senere kontrol
• hvor materialet opbevares, og hvem der har adgang
• hver overdragelse, for eksempel til advokaten, skønsmanden eller modpartens sagkyndige

Huller i kæden giver modparten mulighed for at så tvivl om, at det fremlagte er det samme som det sikrede. → Chain of custody i civile sager · Advokatkontorets håndtering af digitalt bevismateriale

5. Værktøjer og verifikation

Forensiske værktøjer er software, og software kan have fejl, begrænsninger og forskellige versioner med forskellig adfærd. Derfor:

• Værktøj og version noteres for hvert trin.
• Vigtige fund kontrolleres, hvor det er muligt, med et andet værktøj eller ved manuel gennemgang af de underliggende data.
• Kendte begrænsninger nævnes, for eksempel at et værktøj ikke kan læse en bestemt app-version eller et bestemt format.
• Resultater, der kun hviler på et værktøjs automatiske fortolkning, beskrives som sådan.

Målet er, at en anden sagkyndig med de samme data og den samme beskrivelse kan komme frem til det samme resultat eller pege præcist på, hvor uenigheden ligger.

6. Anerkendte standarder

Arbejdet tager udgangspunkt i anerkendte retningslinjer for håndtering af digitale beviser. To eksempler er den internationale standard ISO/IEC 27037, der beskriver identifikation, indsamling, erhvervelse og bevaring af digitale beviser, og NIST SP 800-86 fra det amerikanske standardiseringsinstitut NIST, der beskriver, hvordan forensiske teknikker kan indgå i håndtering af hændelser.

Standarderne er ikke en tjekliste, der passer til enhver sag. De udtrykker principper om integritet, dokumentation og efterprøvelighed, som tilpasses de systemer og data, sagen handler om. Hvor der afviges fra almindelig praksis, forklares det hvorfor.

7. Fakta adskilt fra vurdering

En rapport skal gøre det tydeligt, hvad der er konstateret, og hvad der er en vurdering.

• Fakta: hvad der findes i dataene, for eksempel at en fil har et bestemt tidsstempel, eller at en logpost viser et login fra en bestemt IP-adresse.
• Vurdering: hvad fakta efter den sagkyndiges opfattelse betyder, og hvor sikker konklusionen er.
• Alternative forklaringer: andre mulige forklaringer, og hvorfor de er vurderet som mere eller mindre sandsynlige.

Det er advokatens og rettens opgave at drage de juridiske konklusioner. Den IT-sagkyndige udtaler sig om det tekniske og holder sig fra at vurdere, hvem der har ret i sagen. → Sådan læser du en IT-sagkyndig rapport

8. Sprog, der kan læses i retten

Rapporter skrives, så en dommer uden IT-baggrund kan følge med. Tekniske begreber forklares første gang, de bruges, og tal og tidspunkter angives med tidszone og kilde. Bilag med rådata vedlægges, så modparten kan efterprøve resultaterne.

9. Opbevaring og afslutning

Når sagen er slut, aftales det, hvad der skal ske med materialet: tilbagelevering, fortsat opbevaring eller sletning. Sletning dokumenteres. → Sletning og tilbagelevering af data efter forlig eller dom

Se også

• Uvildighed og bindinger
• Om os
• Redaktionel politik