Ledelsen skal beslutte tre ting om logning: hvilke spørgsmål virksomheden skal kunne besvare efter en hændelse, hvor længe logfilerne gemmes, og hvem der må se dem. Svarene afgør, hvad IT-leverandøren skal opsætte, men selve opsætningen og overvågningen ligger hos driften. CISO’en oversætter ledelsens beslutninger til krav, som leverandøren kan arbejde efter, og følger op på, at de er opfyldt. Træffer ingen beslutningerne, gemmer leverandøren det, standardindstillingerne gemmer, og det er sjældent nok, når noget er sket.
Hvad logning er, og hvorfor ledelsen skal tage stilling
En log er systemernes notesbog. Den registrerer, hvem der loggede ind hvornår, hvilke rettigheder der blev ændret, hvilke filer der blev hentet, og hvilke advarsler sikkerhedsværktøjerne gav. Når der sker en hændelse, er loggen ofte den eneste kilde til, hvad der faktisk foregik.
Ledelsen skal tage stilling, fordi logning er et valg mellem hensyn, som teknikken ikke kan afveje. Længere opbevaring giver bedre mulighed for at finde frem til et angreb, der har stået på i måneder, men koster lagerplads og indebærer, at flere oplysninger om medarbejdere og kunder bliver gemt. Bred adgang til logfilerne gør det lettere at undersøge en sag, men øger risikoen for misbrug.
Hvad skal kunne genskabes efter en hændelse
Den bedste måde at fastlægge logningen på er at starte med spørgsmålene. Efter en hændelse vil ledelsen typisk have svar på disse.
- Hvordan kom angriberen ind, og hvornår?
- Hvilke konti blev brugt, og hvad gjorde de?
- Hvilke oplysninger blev set, hentet eller ændret?
- Hvornår blev noget opdaget, og hvad blev der gjort?
For virksomheder under NIS2-loven gælder desuden § 13, nr. 4, hvorefter den endelige rapport om en væsentlig hændelse blandt andet skal angive, hvad der sandsynligvis udløste den, enten som trusselstype eller som den bagvedliggende årsag. Uden logfiler er det svært at give et underbygget svar. Det samme gælder, når forsikringsselskabet spørger, hvad der skete. Forsikringens spørgsmål er beskrevet under cyberforsikring og sikkerhedsarbejdet.
Ud fra spørgsmålene kan CISO’en sammen med leverandøren pege på, hvilke systemer der skal logges. Det er typisk login og ændringer af rettigheder, administratorkonti, adgang til de systemer og data, der er klassificeret som fortrolige, mail og sikkerhedsværktøjer. Hvilke systemer det drejer sig om, kræver et overblik, som beskrevet under forvaltning af aktiver.
Hvor længe logfilerne gemmes
Der findes ingen fast periode, der passer til alle. Styrelsen for Samfundssikkerhed skriver i sin vejledning til NIS2-foranstaltningerne, at logfiler bør opbevares i en på forhånd fastsat periode, som afhænger af virksomhedens forretningsområde og risikobillede.
Beslutningen bør tage højde for tre forhold. Hvor lang tid kan der gå, før et angreb opdages? Hvilke krav stiller kunder, forsikring eller branchen? Og hvilke personoplysninger indeholder logfilerne? Logs om medarbejdernes aktivitet er oplysninger om personer, og den, der rådgiver virksomheden om persondata, bør høres, før perioden fastsættes.
En mulig løsning er at skelne. Logfiler fra sikkerhedsværktøjer og administratorkonti gemmes længere, mens detaljerede logs fra almindelig brug gemmes kortere. Beslutningen skrives ind i retningslinjen for logning med en begrundelse, så den kan forklares senere.
Hvem må se logfilerne
Logfiler kan vise meget om den enkelte medarbejders arbejdsdag. Derfor bør ledelsen beslutte, hvem der må se dem, og til hvilket formål. En enkel ordning kan se sådan ud.
- IT-leverandøren har adgang til logfilerne for at drive og overvåge systemerne og undersøge tekniske fejl.
- Undersøgelse af en sikkerhedshændelse sker efter beslutning fra den, der leder hændelseshåndteringen.
- Opslag om en bestemt medarbejder kræver en særskilt beslutning i direktionen, så logfilerne ikke bliver et redskab til almindelig kontrol.
- Al adgang til logfilerne registreres i sig selv.
Medarbejderne bør vide, at der logges, og hvad logfilerne bruges til. Det kan stå i de regler, de i forvejen får udleveret.
Beskyttelse af logfilerne
En angriber, der får fat i en administratorkonto, vil ofte forsøge at slette sine spor. Vejledningen fra Styrelsen for Samfundssikkerhed nævner, at logdata skal sikres mod manipulation og beskyttes mod uautoriseret adgang. For ledelsen betyder det, at der bør spørges, om logfilerne opbevares et sted, hvor den samme administratorkonto ikke kan slette dem. Hvordan det løses, er leverandørens opgave. At det er løst, skal CISO’en kunne bekræfte. Krav af den slags hører hjemme i aftalen, som beskrevet i sikkerhedskrav til jeres IT-leverandør.
Det skal I lade være med
- At overlade logningen til standardindstillingerne. De er sjældent valgt ud fra jeres behov.
- At gemme alt for evigt. Det koster, og det gemmer flere personoplysninger end nødvendigt.
- At give alle med IT-adgang lov til at søge i logfilerne. Adgangen skal være begrundet.
- At bruge logfilerne til at holde øje med enkeltpersoner uden en beslutning. Det skader tilliden.
- At finde ud af, hvad der mangler, under en hændelse. Afprøv i stedet, om spørgsmålene kan besvares.
Det skal I kræve af den eksterne
En ekstern CISO skal kunne omsætte jeres spørgsmål til krav, som leverandøren kan opfylde, og skal kunne kontrollere resultatet uden selv at drive overvågningen. Anbefalinger af overvågningstjenester bør komme fra en rådgiver uden økonomisk interesse i, hvilken der vælges.
- ☐ En liste over de spørgsmål, logningen skal kunne besvare.
- ☐ Et forslag til opbevaringsperioder med begrundelse.
- ☐ Regler for, hvem der må se logfilerne og til hvad.
- ☐ Bekræftelse fra leverandøren af, at logfilerne er beskyttet mod sletning.
- ☐ En årlig prøve, hvor et tænkt hændelsesforløb følges i logfilerne.
- ☐ En kort status til ledelsen, når retningslinjen ændres.
Sådan kommer I videre
Bed IT-leverandøren om en oversigt over den nuværende logning og de perioder, logfilerne gemmes i. Lad CISO’en holde den op mod spørgsmålene ovenfor, og beslut opbevaring og adgang på et direktionsmøde. Logningens plads i det samlede beredskab står under beredskab og hændelser set fra ledelsen, og hvem der ejer processen mellem hændelserne, er beskrevet i hændelseshåndtering.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 13, nr. 4, om indholdet af den endelige rapport om en væsentlig hændelse.
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025: afsnittet om logning og monitorering, herunder opbevaringsperiode og beskyttelse af logdata.
Senest gennemgået: november 2026.
Næste skridt
Læs også: De første timer efter en sikkerhedshændelse · Dataklassifikation
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
