IT-rikostutkinta · Yritykset

Miten yritys voi suorittaa rikosteknisen tutkimuksen työntekijöiden mahdollisesti suorittamista liiketoimintatietojen manipuloinneista?

ERP-, CRM-, kirjanpito- tai erikoisjärjestelmien tietojen muutokset voivat olla virheitä, oikeutettuja korjauksia, automatisoituja prosesseja tai tahallisia manipulointeja.

Pyydä sitoumukseton tarjous

Miksi tämä kysymys on tärkeä yritykselle

Sisäiset tutkimukset voivat aiheuttaa merkittäviä taloudellisia, henkilöstöön liittyviä ja oikeudellisia seurauksia. Juuri tästä syystä on ensin selvitettävä, mikä konkreettinen tekninen seikka on tarkoitus todistaa tai kumota. Mahdollisimman suuri tietomäärä ei ole laadun merkki; ratkaisevaa on asianmukainen, rajattu ja jäljiteltävä tutkimus.

Tekninen tutkimuslähestymistapa

Tutkimme muutosprotokollia, käyttäjä- ja istuntokontekstia, tietokanta- ja sovelluslokit sekä niihin liittyvät järjestelmätapahtumat.

Missä todistusraja kulkee

Käyttäjänimi muutospäiväkirjassa ei sinänsä riitä todisteeksi siitä, kuka luonnollinen henkilö on toiminut tai mikä on ollut hänen aikomuksensa.

Miksi LanCologne?

Sisäiset tutkimukset ovat erityisen arkaluonteisia, koska niissä voi olla samanaikaisesti kyse yrityksen taloudellisista eduista, työntekijöiden henkilökohtaisista oikeuksista, tietosuojasta, työpaikalla käytävästä yhteispäätöksenteosta sekä mahdollisista myöhemmistä oikeudenkäynneistä.

LanCologne ei siksi aloita mahdollisimman kattavalla IT-järjestelmän tutkinnalla. Lähtökohtana on selkeästi muotoiltu tekninen todistekysymys. Siitä johdetaan tarvittavat tietolähteet, ajanjaksot ja tutkintavaiheet. Tekninen pääsy ja oikeudellinen sallittavuus erotetaan toisistaan tarkoituksellisesti.

Tutkimus jätetään avoimeksi. Epäilyä ei vahvisteta pelkästään sen vuoksi, että se kuulostaa uskottavalta. Syyllisyyttä tukevat, syyttömyyttä tukevat ja ristiriitaiset todisteet tarkastellaan samojen ammatillisten kriteerien mukaisesti. Jos on olemassa useita mahdollisia teknisiä selityksiä, ne mainitaan ja niitä verrataan toisiinsa mahdollisuuksien mukaan.

Automatisoituja raportteja, EDR-hälytyksiä, DLP-osumia tai rikosteknisten ohjelmistojen tuloksia ei hyväksytä todisteiksi tarkastamatta. Keskeiset väittämät todennetaan mahdollisuuksien mukaan primaaritietojen perusteella ja niitä verrataan riippumattomiin todisteisiin.

Myöhempää asiantuntijatarkastelua varten dokumentoimme paitsi tuloksen myös sen johtopäätökset. Selkeästi kirjoitettu pääosa on suunnattu johdolle ja lakiosastolle; teknisen liitteen avulla pätevä ulkopuolinen rikostekninen asiantuntija voi seurata keskeisiä havaintoja.

Toimintatapamme

1Määritellään tutkimuksen syy ja konkreettinen todistuskysymys.

2Selvitetään etukäteen toimivalta, oikeusperusta ja tarvittaessa osallistumisoikeudet.

3Rajoita henkilöiden, järjestelmien, tilien, ajan ja tietojen laajuus välttämättömään.

4Säilyttää haihtuvat tai menettämisen vaarassa olevat tiedot varhaisessa vaiheessa.

5Luottamuksellisuus ja ”tarve tietää” -periaate on otettava huomioon sekä organisatorisesti että teknisesti.

6Erottaa alkuperäiset tiedot tai työkopioiden asianmukaiset varmuuskopiot toisistaan.

7Dokumentoidaan jäljitettävästi eheys, alkuperä ja turvaamisajankohta.

8Tuotehälytysten ja työkalujen tulostusten oikeellisuus on tarkistettava primaaritietojen perusteella.

9Tili-, laite-, istunto- ja henkilötiedot eivät ole sama asia.

10Tutkitaan syyllisyyttä tukevia, syyllisyyttä lieventäviä ja vaihtoehtoisia selityksiä tasapuolisesti.

11Erotetaan tekniset havainnot oikeudellisista johtopäätöksistä.

12Laaditaan pääraportti ymmärrettävästi ja tekninen liite toistettavissa olevalla tavalla.

Ei ennakkoarviointia – edes silloin, kun epäily on sisäisesti jo vahvistunut

Yritys voi jo organisaation tai lainsäädännön perusteella pitää tilannetta selväksi epäilytapauksena. Tekninen tutkimus jättää kuitenkin lopputuloksen avoimeksi. Dokumentoimme myös havainnot, jotka ovat ristiriidassa epäilyn kanssa, ja mainitsemme nimenomaisesti, jos väitettyä tekoa ei voida todistaa saatujen tietojen perusteella.

Tekninen arvio ja oikeudellinen arvio pysyvät erillään

IT-rikostutkinta voi esimerkiksi todeta, että tietty tili on vienyt tiedoston, että laite oli yhteydessä verkkoon tiettynä ajankohtana tai että viesti on teknisesti lähetetty. Tästä ei kuitenkaan automaattisesti seuraa, kuka luonnollinen henkilö on toiminut, oliko toiminta sallittua tai mitä työ-, siviili- tai rikosoikeudellisia seuraamuksia siitä aiheutuu.

LanCologne tarjoaa riippumatonta teknistä tukea lakiasiainosastolle ja johdolle

LanCologne:tä ei pyydetä vahvistamaan toivottua tulosta teknisesti. Meidän tehtävämme on vastata konkreettiseen todistusaineistoon liittyvään kysymykseen objektiivisesti käytettävissä olevien digitaalisten jälkien perusteella. Tutkimuksen on oltava jäljitettävissä myös silloin, kun vastapuoli, tuomioistuin tai toinen pätevä IT-rikostutkija tarkastaa sen myöhemmin kriittisesti.

Oikeudellinen kehys

Lisäksi sovelletaan GDPR:n periaatteita, erityisesti 5 artiklan mukaisia laillisuuden, käyttötarkoituksen rajoittamisen ja tietojen minimoinnin periaatteita sekä 6 artiklan mukaista vaatimusta vankasta oikeusperustasta. Erityisten henkilötietoryhmien osalta on lisäksi noudatettava GDPR:n 9 artiklaa ja tarvittaessa BDSG:n 26 §:n 3 momenttia.

Teknisten laitteiden osalta, jotka on tarkoitettu työntekijöiden käyttäytymisen tai suorituskyvyn seurantaan, BetrVG:n 87 §:n 1 momentin 6 kohdassa säädetään työpaikkaneuvoston myötäpäätösoikeudesta, ellei asiasta ole säädetty laissa tai työehtosopimuksessa. MDM-, EDR-, DLP-, lokitallennus- ja vastaavien järjestelmien osalta on siksi tarkasteltava kunkin järjestelmän konkreettista toteutusta.

Ilmoitusten osalta, jotka tehdään ilmoittajien suojelusta annetun lain nojalla, erityisesti § 8 HinSchG on merkityksellinen. Luottamuksellisuusvelvoite suojaa paitsi ilmoittajan henkilöllisyyttä myös henkilöitä, jotka ovat ilmoituksen kohteena, sekä muita ilmoituksessa mainittuja henkilöitä. HinSchG:n 9 § sisältää lakisääteisiä poikkeuksia salassapitovelvollisuudesta. HinSchG:n 36 § kieltää kostotoimenpiteet ja sisältää siinä mainituin edellytyksin todistustaakan säännön.

Liikesalaisuuksien osalta sisäisessä tutkinnassa ilmoitusta ei saa automaattisesti käsitellä salaisuuden paljastamisena. Lain 5 § sisältää poikkeuksia 4 §:n kieltoihin, muun muassa tietyin edellytyksin laittomien tekojen tai ammatillisen tai muun väärinkäytöksen paljastamiseksi sekä työntekijöiden edustajille tehtävien välttämättömien ilmoitusten osalta.

Jos myöhemmin käynnistyy siviilioikeudenkäynti, ZPO:ssa tunnustetaan muun muassa silmämääräisen todistuksen käyttö; ZPO:n 371 §:n 1 momentti sääntelee nimenomaisesti tapausta, jossa todisteena on sähköinen asiakirja. Asiantuntijatodistukseen sovelletaan ZPO:n 402 §:ää ja sitä seuraavia pykäliä. Rikosoikeudenkäynnissä tuomioistuin määrittää todisteiden keräämisen laajuuden rikosprosessilain (StPO) mukaisesti; erityisesti rikosprosessilain 244 § säätelee tutkintaperiaatetta ja todistepyyntöjä. Nämä menettelylliset säännökset eivät kuitenkaan tee yksityisesti tilatusta tietoteknisestä rikosteknologisesta raportista automaattisesti oikeudellista asiantuntijalausuntoa.

LanCologne tarjoaa teknistä asiantuntijapalvelua, ei oikeudellista neuvontaa. Tutkintatoimenpiteen konkreettinen sallittavuus, työlainsäädännölliset seuraukset, oikeudenkäyntistrategia ja rikosoikeudellinen arviointi kuuluvat toimivaltaisten oikeudellisten neuvonantajien, viranomaisten ja tuomioistuinten toimivaltaan.

Usein kysyttyjä kysymyksiä

Miten yritys voi suorittaa rikosteknisen tutkimuksen työntekijöiden mahdollisesti suorittamista liiketoimintatietojen manipuloinneista?

Miten tällainen tekninen tutkimus käytännössä toteutetaan?

Tutkimme muutosprotokollia, käyttäjä- ja istuntokontekstia, tietokanta- ja sovelluslokit sekä niihin liittyvät järjestelmätapahtumat.

Antaako tutkimus aina yksiselitteisen tuloksen, joka on joko osapuolen vahingoksi tai eduksi?

Käyttäjänimi muutospäiväkirjassa ei sinänsä riitä todisteeksi siitä, kuka luonnollinen henkilö on toiminut tai mikä on ollut hänen aikomuksensa.

Onko tälle lainsäädännöllistä perustaa?

Työntekijöiden tietojen osalta BDSG:n 26 § on keskeinen lainsäädännöllinen viitekohta. BDSG:n 26 §:n 1 momentti sallii työntekijöiden henkilötietojen käsittelyn työsuhteen tarkoituksiin siinä mainituin edellytyksin. Rikosten paljastamiseksi säännöksessä edellytetään erityisesti dokumentoitavia tosiseikkoja, käsittelyn välttämättömyyttä ja oikeasuhteisuutta; työntekijän suojeltava etu ei saa olla painavampi. BDSG:n 26 §:n 6 momentti ei vaikuta etujärjestöjen osallistumisoikeuksiin.
Lisäksi sovelletaan GDPR:n periaatteita, erityisesti 5 artiklan mukaisia laillisuuden, käyttötarkoituksen rajoittamisen ja tietojen minimoinnin periaatteita sekä 6 artiklan mukaista vaatimusta vankasta oikeusperustasta. Erityisten henkilötietoryhmien osalta on lisäksi noudatettava GDPR:n 9 artiklaa ja tarvittaessa BDSG:n 26 §:n 3 momenttia.
Teknisten laitteiden osalta, jotka on tarkoitettu työntekijöiden käyttäytymisen tai suorituskyvyn seurantaan, BetrVG:n 87 §:n 1 momentin 6 kohdassa säädetään työpaikkaneuvoston myötäpäätösoikeudesta, ellei asiasta ole säädetty laissa tai työehtosopimuksessa. MDM-, EDR-, DLP-, lokitallennus- ja vastaavien järjestelmien osalta on siksi tarkasteltava kunkin järjestelmän konkreettista toteutusta.
Ilmoitusten osalta, jotka tehdään ilmoittajien suojelusta annetun lain nojalla, erityisesti § 8 HinSchG on merkityksellinen. Luottamuksellisuusvelvoite suojaa paitsi ilmoittajan henkilöllisyyttä myös henkilöitä, jotka ovat ilmoituksen kohteena, sekä muita ilmoituksessa mainittuja henkilöitä. HinSchG:n 9 § sisältää lakisääteisiä poikkeuksia salassapitovelvollisuudesta. HinSchG:n 36 § kieltää kostotoimenpiteet ja sisältää siinä mainituin edellytyksin todistustaakan säännön.
Liikesalaisuuksien osalta sisäisessä tutkinnassa ilmoitusta ei saa automaattisesti käsitellä salaisuuden paljastamisena. Lain 5 § sisältää poikkeuksia 4 §:n kieltoihin, muun muassa tietyin edellytyksin laittomien tekojen tai ammatillisen tai muun väärinkäytöksen paljastamiseksi sekä työntekijöiden edustajille tehtävien välttämättömien ilmoitusten osalta.
Jos myöhemmin käynnistyy siviilioikeudenkäynti, ZPO:ssa tunnustetaan muun muassa silmämääräisen todistuksen käyttö; ZPO:n 371 §:n 1 momentti sääntelee nimenomaisesti tapausta, jossa todisteena on sähköinen asiakirja. Asiantuntijatodistukseen sovelletaan ZPO:n 402 §:ää ja sitä seuraavia pykäliä. Rikosoikeudenkäynnissä tuomioistuin määrittää todisteiden keräämisen laajuuden rikosprosessilain (StPO) mukaisesti; erityisesti rikosprosessilain 244 § säätelee tutkintaperiaatetta ja todistepyyntöjä. Nämä menettelylliset säännökset eivät kuitenkaan tee yksityisesti tilatusta tietoteknisestä rikosteknologisesta raportista automaattisesti oikeudellista asiantuntijalausuntoa.
LanCologne tarjoaa teknistä asiantuntijapalvelua, ei oikeudellista neuvontaa. Tutkintatoimenpiteen konkreettinen sallittavuus, työlainsäädännölliset seuraukset, oikeudenkäyntistrategia ja rikosoikeudellinen arviointi kuuluvat toimivaltaisten oikeudellisten neuvonantajien, viranomaisten ja tuomioistuinten toimivaltaan.