Når modparten møder op med en IT-sagkyndig vurdering, er det vigtigste ikke at finde fejl i teksten. Det vigtigste er at få adgang til de data, vurderingen bygger på, og at reagere, mens der stadig er tid til spørgsmål, supplerende skøn eller egen erklæring. Uden dataene kan konklusionerne kun angribes på papiret. Med dataene kan de efterprøves.
Hvordan du læser selve rapporten, er beskrevet i en særskilt artikel. → Sådan læser du en IT-sagkyndig rapport Her handler det om strategien.
Hvilken type sagkyndig er det?
Strategien afhænger af, hvordan modpartens sagkyndige er kommet ind i sagen.
- Partsindhentet erklæring · Hvilken vægt kan den få, og skal den imødegås med et skøn?
- Skønsmand udmeldt af retten · Hvordan stilles supplerende spørgsmål, og hvornår?
- Sagkyndigt vidne · Hvordan forberedes afhøringen?
→ Partsindhentet erklæring eller skønserklæring?
De første spørgsmål til vurderingen
Inden du tager stilling til strategien, er det nyttigt at få overblik over, hvad vurderingen faktisk hviler på. Stil disse spørgsmål til teksten, og noter, hvor svaret mangler:
- Hvem har stillet spørgsmålene til den sagkyndige, og er de gengivet ordret?
- Hvilke enheder, konti og perioder er undersøgt, og hvem har udvalgt dem?
- Er dataene sikret af den sagkyndige selv, eller har modparten leveret dem?
- Hvornår er der sikret i forhold til de begivenheder, sagen handler om?
- Er konklusionerne formuleret som fakta, som sandsynligheder eller som mulige forklaringer?
- Er der alternative forklaringer, som den sagkyndige har overvejet og afvist?
Mangler svarene, er det i sig selv en oplysning, og det kan være et argument for at bede om mere.
Få adgang til dataene
En vurdering kan ikke efterprøves uden dataene. Bed om:
- den forensiske kopi eller de udtræk, analysen bygger på,
- hashværdier fra sikringen, så du kan kontrollere, at du får samme data, → Hashværdier forklaret
- dokumentation for kæden af ansvar,
- liste over værktøjer, versioner og søgeord,
- eventuelle rådata bag tabeller og tidslinjer i rapporten.
Afviser modparten, kan det være relevant at overveje edition eller at foreslå, at en uvildig sagkyndig får adgang under fortrolighed. → Editionsbegæring set fra IT-siden
Gode og dårlige formuleringer
En vag anmodning giver et vagt svar. Sammenlign:
- “Vi beder om materialet bag rapporten” · “Vi beder om den forensiske kopi af den bærbare computer nævnt i rapportens afsnit om sikring, med hashværdi og sikringslog”
- “Vi beder om dokumentation” · “Vi beder om navn og version på de værktøjer, der er brugt til analysen, og den fulde liste over søgeord”
- “Vi beder om tidslinjen” · “Vi beder om rådata bag tidslinjen, herunder kilde for hvert tidsstempel og hvilken tidszone der er anvendt”
Den præcise anmodning er lettere at efterkomme og sværere at afvise som for bred.
Hvad ligger uden for undersøgelsen?
Modpartens sagkyndige har typisk fået et spørgsmål og et datasæt fra modparten. Det præger resultatet, også når den sagkyndige arbejder ordentligt. Kig efter:
- Datakilder, der ikke er med. Er der kun set på computeren, mens telefonen, cloudkontoen eller backup er udeladt?
- Perioder, der ikke er med. Er undersøgelsen afgrænset, så relevante dage falder udenfor?
- Spørgsmål, der ikke er stillet. Er der spurgt til det, der taler for din klient?
Det er ofte her, din klients forklaring kan få støtte. Dine egne datakilder kan dække netop det, modpartens sagkyndige ikke har set. → Datakilder
Hvad dataene kan og ikke kan vise
Mange uenigheder om IT-sagkyndige vurderinger handler ikke om selve fundene, men om hvad de bliver brugt til at konkludere. Det er nyttigt at skelne:
- En handling på en konto er ikke det samme som en handling af en bestemt person. Et login viser, at kontoen blev brugt, ikke nødvendigvis hvem der sad ved tastaturet.
- Et tidsstempel skal tolkes. Filsystemer, mailservere og cloudtjenester registrerer tid forskelligt, og tidszoner kan forskyde en hændelse flere timer. → Tidslinjeanalyse
- Fravær af spor er ikke bevis for fravær af handling. Logfiler kan være overskrevet, og data kan ligge et sted, der ikke er undersøgt.
- Et værktøjs output er ikke en konklusion. Værktøjer kan tolke data forkert, og resultatet bør kunne genskabes. → Verifikation af værktøjer
Spørg derfor altid: Hvad viser fundet direkte, og hvad er en slutning ud fra fundet?
Overvej din egen sagkyndige tidligt
En egen IT-sagkyndig kan bruges på tre niveauer:
- Rådgiver i baggrunden: gennemgår modpartens vurdering og foreslår spørgsmål.
- Efterprøvning: gentager analysen på samme data og ser, om resultatet holder.
- Egen undersøgelse: sikrer og analyserer din klients egne data.
Jo tidligere den sagkyndige kommer ind, jo flere muligheder er der. Data hos din egen klient kan forsvinde, og frister for spørgsmål og skøn kan løbe. → Bevarelsespligt og litigation hold
Tidsforbrug og rækkefølge
Niveauerne kræver forskelligt tidsforbrug. En gennemgang af rapporten alene kan ofte klares hurtigt. En efterprøvning kræver, at dataene er modtaget, kontrolleret mod hashværdierne og indlæst, før selve analysen kan begynde. En egen undersøgelse kræver sikring først. Den naturlige rækkefølge er derfor:
- Sikr egne data med det samme, uanset strategi.
- Lad en sagkyndig læse vurderingen og pege på huller.
- Anmod om data på baggrund af de konkrete huller.
- Beslut, om der skal efterprøves eller undersøges selvstændigt.
Afklar omfang og pris før hvert trin. → Omkostninger ved IT-sagkyndig bistand
Reager på det rigtige tidspunkt
- Vurderingen fremlægges · Bed om data og dokumentation
- Før skønstemaet fastlægges · Foreslå egne spørgsmål og afgrænsning → Syn og skøn i IT-sager
- Efter skønserklæringen · Supplerende spørgsmål eller anmodning om nyt skøn
- Før hovedforhandlingen · Forbered afhøring → Krydsforhør af en IT-sagkyndig
Hold styr på fristerne i en samlet oversigt, så det tekniske arbejde ikke bliver presset ind i de sidste dage. → Tidsfrister og hastesager
Typiske svagheder i strategien, ikke kun i rapporten
- Man angriber konklusionen uden at have set dataene.
- Man venter med egen sagkyndig, til fristerne er ved at løbe ud.
- Man accepterer modpartens afgrænsning af datasættet.
- Man overser, at egne data kunne have afkræftet vurderingen, men nu er slettet.
- Man angriber den sagkyndiges person frem for metoden. Kritik af metode og grundlag er som regel stærkere end kritik af kvalifikationer.
- Man stiller supplerende spørgsmål, der blot beder den sagkyndige gentage sin konklusion, i stedet for spørgsmål, der tester grundlaget.
Tjekliste
- ☐ Typen af sagkyndig er afklaret
- ☐ Vurderingens grundlag og spørgsmål er gennemgået
- ☐ Data, hashværdier og dokumentation er anmodet om
- ☐ Afgrænsningen er sammenholdt med sagens datakilder
- ☐ Fund og slutninger er holdt adskilt
- ☐ Egne data er sikret
- ☐ Egen sagkyndig er inddraget, og niveauet er valgt
- ☐ Frister for spørgsmål og skøn er noteret
→ Send en sag · Tlf. 70 13 63 23 · IT-sagkyndig og skønsmand hos Nielco IT
