I en hastesag løber to slags frister på samme tid: de juridiske, som advokaten kender, og de tekniske, som systemerne sætter. Logfiler overskrives, konti slettes, og telefoner nulstilles efter faste regler, uanset om der er en sag. Derfor skal advokaten vide, hvad der realistisk kan nås. Kort sagt: På 24 timer kan de vigtigste data sikres. På en uge kan de første fund dokumenteres. På en måned kan der foreligge en egentlig analyse.
De tekniske frister
Mange data har en indbygget udløbsdato. → Hvor længe gemmes data?
- Revisionslog i cloud · Udløber efter en periode, der afhænger af licens
- Fratrådtes konti · Slettes automatisk efter en periode
- Firewall- og VPN-log · Overskrives løbende
- Backup · Roterer, så ældre versioner forsvinder
- Telefoner · Nulstilles og genbruges
- Hjemmesider og opslag · Kan ændres eller fjernes når som helst
→ Firewall-, VPN- og loginlogs
De præcise perioder varierer fra system til system og fra virksomhed til virksomhed. Gæt ikke. Bed klientens IT-ansvarlige eller leverandør om at oplyse, hvor længe de relevante logs, konti og backups gemmes, og bed om svaret skriftligt. Det tager typisk kort tid at få svar, og det afgør, hvad der skal sikres først.
Spørgsmål til klientens IT
- Hvor længe gemmes revisionslog og loginlog i jeres cloudtjenester?
- Hvad sker der automatisk med en konto og en postkasse, når en medarbejder fratræder?
- Hvor mange versioner af backup gemmes, og hvor langt tilbage rækker den ældste?
- Er der udstyr, der står klar til at blive nulstillet eller givet videre?
- Hvem har administratoradgang, og kan vedkommende handle i dag?
De første 24 timer: stop tabet og sikr det vigtigste
Målet er ikke analyse. Målet er, at intet går tabt.
- Tag computere og telefoner ud af brug, men sluk ikke for noget, før det er afklaret.
- Stop automatisk sletning af konti og postkasser. → Bevarelsespligt og litigation hold
- Eksportér revisionslog og loginlog.
- Tag relevant backup ud af rotation.
- Sikr offentligt tilgængelige data som hjemmesider og opslag. → Sådan gemmer du en webside som dokumentation
- Start en forensisk sikring af de vigtigste enheder.
Hvem gør hvad?
I de første timer er det vigtigt, at ingen gør noget to gange, og at ingen gør noget, der ikke kan gøres om.
- Beslutte, hvad der skal bevares · Advokaten sammen med klienten
- Stoppe sletning og tage backup ud af rotation · Klientens IT eller leverandør, efter skriftlig instruks
- Eksportere logs · Klientens IT eller den IT-sagkyndige
- Forensisk sikring af enheder · Den IT-sagkyndige
- Sikring af offentlige data · Den IT-sagkyndige
- Notere, hvem der har gjort hvad · Alle, samlet ét sted
→ Rollefordeling i en bevissag
En skriftlig instruks til klientens IT er en god idé, også selv om den er kort. Den viser senere, at bevarelsen blev sat i gang, og hvornår.
Dokumentation, selv når det går stærkt
Under tidspres er det fristende at springe dokumentationen over og tage den bagefter. Det er sjældent en god idé, fordi detaljerne hurtigt glemmes, og fordi en senere modpart netop vil spørge til de første timer. Et minimum, der kan nås samtidig med sikringen:
- Et tidsstemplet notat over hver handling: hvad der blev gjort, af hvem, på hvilken enhed eller konto.
- Hashværdier for alle forensiske kopier og eksporterede filer, beregnet ved sikringen.
- Fotos af enheder, serienumre og skærme, før noget flyttes eller slukkes.
- Kopi af den skriftlige instruks til klientens IT og af svaret om, hvornår bevarelsen blev sat.
- Afvigelser: Hvis noget ikke kunne sikres, eller en enhed var slukket eller låst, noteres det med det samme.
Notatet behøver ikke være pænt. Det skal være samtidigt og ærligt. Det bliver grundlaget for den senere beskrivelse af kæden af ansvar. → Kæde af ansvar
Den første uge: første fund og en kort redegørelse
Når data er sikret, kan de første spørgsmål besvares.
- Er der tegn på kopiering til USB eller cloud?
- Er der sendt mails med vedhæftede filer til private adresser?
- Hvornår var der aktivitet på kontoen?
- Hvilke enheder har været forbundet?
Det rækker typisk til en kort redegørelse, der kan bruges i en sag om forbud eller påbud eller som grundlag for et brev til modparten. → Forbud og påbud: IT-beviser i hastesager
Hvis data ligger hos modparten, og der er risiko for, at de forsvinder, er det også i denne fase, en fogedretlig bevissikring typisk skal forberedes. → Fogedretlig bevissikring: IT-sagkyndiges rolle
Hvad en kort redegørelse kan og ikke kan
En redegørelse efter en uge bygger på en første, målrettet gennemgang. Den kan vise konkrete hændelser med dato og tid. Den kan normalt ikke udelukke, at der findes andre forklaringer, eller at der er mere at finde. Bed derfor om, at forbeholdene står tydeligt. Det styrker redegørelsen, at den ikke påstår mere, end der er undersøgt.
Den første måned: egentlig analyse
På en måned kan der normalt laves:
- en tidslinje på tværs af enheder og konti, → Tidslinjeanalyse
- gendannelse af slettede data, hvor det er muligt,
- gennemgang af større mængder mails og dokumenter,
- en rapport med fund, forbehold og alternative forklaringer.
Tiden afhænger af datamængden, antallet af enheder og hvor præcist spørgsmålet er stillet.
Et eksempel: Forestil dig en sag med én arbejdscomputer, én postkasse og et præcist spørgsmål om en bestemt uge. Den kan typisk analyseres hurtigere end en sag med flere medarbejdere, telefoner og cloudtjenester og et spørgsmål om “alt, hvad der er sket”. Advokaten styrer tidsforbruget mere gennem spørgsmålet end gennem fristen.
Oversigt
- 24 timer · Realistisk resultat: Data bevaret og sikret · Juridisk anvendelse: Grundlag for alt det videre
- 1 uge · Realistisk resultat: Første fund og kort redegørelse · Juridisk anvendelse: Hastesag, brev til modpart, fogedsag
- 1 måned · Realistisk resultat: Analyse og rapport · Juridisk anvendelse: Stævning, skønstema, forligsforhandling
Det, der forsinker
- Udstyr, der er geninstalleret eller givet videre
- Manglende administratoradgang til cloudtjenester
- Uklart spørgsmål, så analysen bliver for bred
- Data hos en ekstern IT-leverandør, der skal kontaktes først
- Krypterede enheder, hvor nøgle eller adgangskode ikke er tilgængelig → BitLocker og FileVault ved bevissikring
- Data i cloudtjenester uden for EU, hvor adgangen kræver ekstra afklaring → Beviser i cloud uden for EU
Typiske fejl i planlægningen
- At vente på en afklaring af den juridiske strategi, før sikringen sættes i gang. Sikringen kan sjældent vente, mens strategien sagtens kan justeres bagefter.
- At bede om en fuld rapport inden for en uge. Det giver enten en overfladisk rapport eller en forsinket.
- At lade klientens egen IT-afdeling “lige kigge først”. Det koster tid og kan ændre data.
- At glemme de tekniske frister hos modparten og hos tredjeparter, fx platforme og leverandører.
Tjekliste til advokaten
- ☐ Juridiske frister er noteret
- ☐ Tekniske frister for de relevante systemer er afklaret
- ☐ Skriftlig instruks om bevarelse er sendt til klientens IT
- ☐ Sikring er sat i gang inden for 24 timer
- ☐ Spørgsmålet til første redegørelse er formuleret
- ☐ Behov for hastesag eller fogedsag er vurderet
- ☐ Plan for analysen er lagt
→ Haster det? Sådan sikres beviserne nu · Tlf. 70 13 63 23 · Digital bevissikring for advokater hos Nielco IT
