...

Kæde af ansvar (chain of custody)

Et bevis er kun så stærkt som dokumentationen af, hvordan det er håndteret. Kæden af ansvar, på engelsk chain of custody, er en løbende registrering af, hvem der har haft beviset, hvornår og hvad der er gjort med det, fra det blev fundet til det fremlægges.

Hvorfor er det vigtigt?

Kan modparten pege på et hul i kæden, for eksempel en uge hvor ingen ved, hvem der havde en telefon, kan de påstå, at beviset er ændret. Selv hvis det ikke er sket, kan tvivlen svække beviset.

Hvad registreres?

For hver enhed eller hvert datasæt:

• Hvad · Bærbar computer, mærke, model, serienummer
• Hvor · Fundet på kontor 2.14, i medarbejderens skuffe
• Hvornår · Dato og klokkeslæt for hvert skridt
• Hvem · Navn på hver person, der har haft eller håndteret enheden
• Tilstand · Tændt eller slukket, skader, forsegling
• Handling · Forensisk kopi taget, hashværdi beregnet
• Opbevaring · Aflåst skab, adgang kun for navngivne personer

Kæden starter før den IT-sagkyndige kommer

Kæden begynder, når en enhed eller konto bliver relevant, ikke først når en sagkyndig tager over. Derfor kan virksomheden selv gøre meget:

• Skriv ned, hvem der tog en enhed, hvornår og hvor den blev lagt.
• Hold enheden aflåst, og begræns hvem der har adgang.
• Lad være med at bruge eller undersøge den.

→ De første 24 timer

Kæden i den digitale verden

For data i skyen, for eksempel Microsoft 365, er der ingen fysisk enhed. Her består kæden af systemernes egne logfiler over, hvem der har eksporteret hvad, og af hashværdier for de eksporterede filer. → Hashværdier

Sådan går det typisk galt

• En kollega "lige kigger" på medarbejderens computer for at finde beviser.
• En telefon bliver givet tilbage til medarbejderen og senere afleveret igen.
• En computer bliver sendt til geninstallation, før nogen har tænkt over beviser.
• Ingen kan sige, hvor en USB-nøgle har ligget i de første dage.

Ingen af disse fejl gør beviset ubrugeligt, men de giver modparten noget at tage fat i.