Det sker ofte: Computeren er geninstalleret, postkassen slettet, eller filen ændret. Så er backup det næste sted at lede. En backup kan vise, hvordan data så ud på et bestemt tidspunkt. Men backup er lavet for at kunne gendanne data, ikke for at bevise noget, og den har sine begrænsninger.
Hvad en backup kan vise
- Hvordan en fil, en mappe eller en postkasse så ud på backup-tidspunktet
- At en fil fandtes på et bestemt tidspunkt
- Ændringer mellem to backup-tidspunkter
- Filer, der senere er slettet
Hvad en backup sjældent viser
- Hvem der gjorde hvad: Backup indeholder sjældent logs over brugerhandlinger.
- Hvad der skete mellem to backup-tidspunkter: En fil, der blev oprettet og slettet samme dag, er måske aldrig kommet med.
- Systemspor: Mange backupløsninger tager kun brugerdata, ikke de systemfiler, der viser USB-brug eller åbnede filer.
- Slettede data i filsystemet: En backup af filer indeholder ikke slettede filer.
Typer af backup
- Filbackup · Udvalgte mapper og filer
- Image-backup · Hele disken eller systemet, ofte med systemfiler
- Cloud-backup af Microsoft 365 eller Google · Mails, OneDrive, SharePoint, ofte med versioner
- Telefonbackup (iCloud, Google) · Store dele af telefonens data → Bevissikring af iCloud
- Time Machine (Mac) · Versioner af filer over tid
- Snapshots på servere og NAS · Tilstand på bestemte tidspunkter
En image-backup er den mest værdifulde som bevis, fordi den ligner en kopi af hele systemet.
Backup roterer
De fleste backupløsninger sletter gamle versioner efter en fast periode. Det kan være dage, uger eller måneder. Når der er mistanke, skal den relevante backup tages ud af rotation med det samme, så den ikke overskrives. → Data, der forsvinder dag for dag
Sådan sikres en backup
- Stop rotationen for de relevante backupsæt, eller lav en kopi af dem.
- Notér, hvilke backup-tidspunkter der findes, og hvad de dækker.
- Kopiér backupen til et sikkert medie, og beregn hashværdier. → Hashværdier
- Gendan ikke oven på originalen. Gendan til et separat sted, så både backup og gendannede data bevares.
- Dokumentér backupsystemet, versionen og hvem der har gjort hvad. → Kæde af ansvar
Gendannelse som bevis
Når en fil gendannes fra backup, skal det dokumenteres, at den gendannede fil er identisk med den i backupen. Det gøres med hashværdier og en beskrivelse af gendannelsen. En IT-sagkyndig kan også gendanne til et forensisk miljø, så intet ændres.
Hvem har backupen?
Ofte er det en ekstern IT-leverandør eller en cloudtjeneste. Kontakt dem hurtigt, og bed om, at backupen bevares. Er leverandøren selv part i sagen, bør sikringen ske uvildigt.
Backup er et supplement
Backup kan redde en sag, når originalen er væk. Men det er bedre at bevare originalen. → Offboarding uden at miste beviser
Nielco IT sikrer og gendanner data fra backup i civile sager. Se Nielco IT.
