Sikring af computer og harddisk i en civil sag

En computer rummer ofte mere om et forløb end nogen anden kilde: dokumenter i flere versioner, mails, browserhistorik, tilsluttede USB-enheder, synkroniserede skymapper og spor af, hvad der er slettet. Når en tvist handler om, hvad der er sket på en bestemt maskine, er det sjældent nok at kopiere nogle filer over på en USB-nøgle. En kopi af filerne viser indholdet, men ikke sammenhængen omkring det.

Artiklen handler om advokatens beslutninger: hvornår en forensisk kopi er det rigtige valg, hvad der skal på plads, før den sagkyndige kommer, og hvad der er særligt ved bærbare computere fra fratrådte medarbejdere og ved kryptering. Den tekniske metode er beskrevet i Metode og Digital forensics i civile sager.

Filkopi eller forensisk kopi

Der er grundlæggende to måder at sikre data fra en computer på.

En filkopi er en kopi af udvalgte filer og mapper. Den er hurtig og billig, men den bærer kun selve filerne med. Oplysninger om, hvornår en fil blev åbnet, hvor den kom fra, og hvad der ellers skete på maskinen, følger ikke med. En filkopi taget af en person uden dokumentation kan desuden ændre tidsstempler på de filer, der kopieres.

En forensisk kopi er en kopi af hele lagermediet eller af en afgrænset del af det, taget med værktøjer, der ikke skriver til kilden. Kopien får en hashværdi, så det senere kan vises, at den ikke er ændret. Den indeholder også systemfiler, logs og områder, hvor slettede data kan ligge.

En forensisk kopi er typisk det rigtige valg, når:

• sagen handler om, hvad en bestemt person har gjort på maskinen, fx kopieret, sendt eller slettet filer,
• modparten kan forventes at bestride ægtheden eller fuldstændigheden af det, der fremlægges,
• der er mistanke om sletning, så det kan blive relevant at gendanne data, → Kan slettede beskeder og filer gendannes til en retssag?
• maskinen skal tilbage i drift, slettes eller udleveres, så tilstanden kun kan bevares ved at kopiere den.

Hvis sagen alene handler om indholdet af nogle bestemte dokumenter, som ingen bestrider, kan en dokumenteret filkopi være tilstrækkelig. Valget bør træffes bevidst og skrives ned, så det kan forklares senere.

Det skal advokaten sørge for

Mange problemer opstår, før den sagkyndige overhovedet er involveret. Advokaten kan forebygge de fleste med få konkrete råd og afklaringer.

Brugen stopper. Computeren bør ikke bruges, opdateres eller “ryddes op”, før den er sikret. Hver opstart, hver opdatering og hver fil, der åbnes, ændrer data på disken. Er maskinen slukket, så lad den være slukket. Er den tændt, bør der spørges til råds, før den slukkes, fordi kryptering kan gøre det sværere at få adgang bagefter.

Ingen kigger selv. En leder eller en IT-medarbejder, der bladrer i mapperne for at finde beviset, kan ændre metadata og bliver samtidig et muligt vidne om, hvad der blev set. → Kan klientens egen IT-afdeling sikre beviserne?

Automatik standses. Planlagte geninstallationer, automatisk sletning af brugerkonti og oprydningsregler i skyen bør sættes på pause for de relevante personer. → Bevarelsespligt og litigation hold

Overblik over kilder. En computer står sjældent alene. Afklar, om brugeren også har haft en anden computer, eksterne diske, en firmatelefon, mail i Microsoft 365 eller Google og skymapper som OneDrive eller Dropbox. Det, der er slettet på maskinen, kan findes et andet sted. → Sikring af mail og cloud i en tvist

Grundlaget er på plads. Hvem ejer maskinen, hvem har brugt den, og på hvilket grundlag må den undersøges? Det gælder især, når der kan ligge private data på den. → Private data på arbejdsudstyr

Kæden dokumenteres. Notér, hvem der har haft maskinen, hvornår den blev afleveret, og hvor den har været opbevaret. → Chain of custody i civile sager

Bærbar fra en fratrådt medarbejder

En af de hyppigste situationer er den bærbare computer, som en medarbejder afleverer ved fratræden, kort før det viser sig, at kunder, tilbud eller tegninger måske er taget med. I mange virksomheder er rutinen, at IT nulstiller maskinen og giver den til en ny medarbejder. Når det er sket, er sporene som regel væk.

Råd derfor klienten til at lægge maskiner fra fratrådte medarbejdere til side, når der er den mindste tvivl, og at gøre det til en fast rutine, når medarbejderen har haft adgang til forretningskritiske data.

På en sikret maskine kan en IT-sagkyndig typisk undersøge:

• hvilke USB-enheder og eksterne diske der har været tilsluttet, og hvornår,
• hvilke filer og mapper der er åbnet i en periode op til fratræden,
• om der er synkroniseret til private skytjenester eller sendt filer via webmail,
• om der er slettet større mængder data, og hvornår,
• hvilke programmer der er installeret eller afinstalleret.

Hvad der konkret kan findes, afhænger af styresystem, opsætning og hvor længe maskinen har været brugt efter fratræden. Resultatet kan ikke garanteres på forhånd, og spor viser handlinger på maskinen, ikke nødvendigvis hvem der sad ved tastaturet. → Hvem skrev beskeden? Den samlede bevisvej i ansættelsesforhold er beskrevet i Ansættelsesret og digitale beviser.

Er maskinen allerede nulstillet, er det ikke nødvendigvis enden. Mail, skymapper og logs i virksomhedens systemer kan stadig vise meget. Undersøg dem, før sporene erklæres tabt.

Kryptering

De fleste nyere computere har kryptering af disken slået til, enten som standard eller via virksomhedens politik. Det er godt for sikkerheden, men det har betydning for sikringen:

• Uden nøgle er disken ulæselig. En kopi af en krypteret disk kan tages, men den kan ikke analyseres uden adgangskode eller gendannelsesnøgle.
• Nøglen ligger ofte hos virksomheden. På firmamaskiner gemmes gendannelsesnøgler typisk centralt i virksomhedens administrationssystem. Find ud af, hvor de ligger, før maskinen slukkes eller sendes nogen steder hen.
• En tændt maskine kan være åben. Er maskinen tændt og logget ind, kan data være tilgængelige nu, men ikke efter en genstart. Det er en grund til at spørge en sagkyndig, før der trykkes på noget.
• Private maskiner kræver typisk brugerens adgangskode. Hvis brugeren er modparten, bliver det et spørgsmål om samtykke, aftale eller rettens afgørelse. → Kan modpartens telefon eller computer undersøges? og Kan modparten pålægges at udlevere en adgangskode?

Afgrænsning og privatliv

En forensisk kopi af en computer indeholder næsten altid mere, end sagen handler om. Det er normalt forsvarligt at sikre bredt og gennemgå snævert. Afgrænsningen af gennemgangen bør skrives ned før start: periode, mapper, filtyper, søgeord og personer. Det gør resultatet lettere at forsvare og beskytter både klienten og tredjemand. → Søgeord og afgrænsning: aftaler med modparten

Hvad der skal stå i bestillingen, er beskrevet i Opdraget til den IT-sagkyndige.

Når der også er en telefon

Sager med en computer har ofte også en telefon. De to sikres efter forskellige metoder, men bør planlægges samlet, så tidslinjen kan bygges på tværs. → Sikring af mobiltelefonen i en civil sag og Tidslinjer som bevis

Sådan kan Nielco IT bistå

Nielco IT kan sikre computere, bærbare og eksterne diske i civile sager, hjælpe med at vælge mellem filkopi og forensisk kopi og dokumentere sikringen, så den kan forklares for modparten og retten. Nielco IT er uvildig og arbejder for advokater i hele landet. Læs mere om IT-sagkyndig bistand for advokater, eller send en sag med en kort beskrivelse.