Belső fenyegetések felderítése kisvállalkozások számára

Mi számít belső fenyegetésnek

A belső fenyegetés annak a kockázata, hogy valaki, aki jogszerű hozzáféréssel rendelkezik, ezt a hozzáférést — szándékosan vagy sem — a szervezet kárára használja fel. Az amerikai Cybersecurity and Infrastructure Security Agency a bennfentest a következőképpen határozza meg: bármely személy, aki jogosult hozzáféréssel rendelkezik vagy rendelkezett a szervezet erőforrásaihoz, illetve ismeretekkel bír vagy bírt azokról — ideértve a személyzetet, a létesítményeket, az információkat, a berendezéseket, a hálózatokat és a rendszereket is. Ebben a mondatban a döntő szó a jogosult. Senkinek sem kell betörnie.

A CISA elsődleges megkülönböztetése a nem szándékos és a szándékos károkozás között húzódik, emellett külön kiemel két olyan helyzetet, amely mindkettőt átfedi. Ez összesen négy kategóriát ad, amelyekkel a gyakorlatban találkozni fog — érdemes ismerni ezeket, mert a „bennfentes fenyegetések három típusa” kifejezés mindenhol felbukkan, miközben nem felel meg a forrásnak:

Most jön az a rész, amelyet a témával foglalkozó cikkek többsége kihagy. A bennfentes incidensek nem a leggyakoribb módja annak, hogy egy kisvállalkozást feltörjenek, és gyanakodjon mindenkire, aki mást állít. A Verizon 2026-os Data Breach Investigations Report jelentése — amely több mint 31 000 valós incidensre épül — az esetek 12%-ában talált belső szereplőt, ami visszaesés a tavalyi 18%-hoz képest. A kisvállalkozásokra vonatkozó panelje, amely az 1000 fő alatti szervezeteket vizsgálja, gyakorlatilag valamennyi incidenst pénzügyi motivációjú külső szereplőknek tulajdonít.

Akkor miért érdemes egyáltalán egy délutánt szánni erre? Mert a költségprofil megfordul. A 2026-os Ponemon Institute és DTEX Cost of Insider Risks tanulmánya szerint a bennfentes incidensek elhárítása átlagosan 67 napot vesz igénybe, ez nagyjából $747,000 gondatlanságból eredő incidensenként, $742,000 rosszindulatú incidensenként, és $842,000 azokban az esetekben, ahol egy külső fél ellopott hitelesítő adatokkal élt vissza. A bennfentes események ritkábbak, mint az adathalászat, de tovább tartanak, mire bárki észreveszi őket, és ami kikerül, az rendszerint az az anyag, amelyre a vállalkozás ténylegesen épül.

Miért a távozás a legkritikusabb időszak

Azért, mert a kockázat egy szűk, jól kiszámítható időablakban összpontosul. A Carnegie Mellon Software Engineering Institute — a CERT részleg, amely két évtizede vizsgálja a bennfentes eseteket — a szellemitulajdon-lopási esetek elemzésében egyértelműen fogalmazott: a bennfentesek többsége a szervezet elhagyásától számított 30 napon belül lopja el a szellemi tulajdont. Ez a megállapítás 2011-ből származik, és érdemes jelezni, hogy mennyire régi; mégis azóta is a bennfentes-kockázati gyakorlat szervezőelveként állja meg a helyét, és minden azóta megjelent gyártói telemetriajelentés ugyanazon távozási időablak köré csoportosítja az aktivitást.

Ez az egyetlen mondat gyakorlati szempontból hasznosabb, mint bármelyik megvásárolható fenyegetés-hírcsatorna, amelyet egy kisvállalkozás megengedhetne magának. Ez azt jelenti, hogy nincs szükség mindenki folyamatos megfigyelésére. Csupán azt kell tudnia, hogy mikor távozik valaki, és a megfelelő néhány jelzésre kell figyelnie az adott dátum körüli hetekben.

Ellenőrizze a statisztikákat, mielőtt ezekre alapozná a terveit

Három szám uralja az alkalmazotti adatlopásról szóló szinte minden cikket, és mindegyiket olyan formában idézik, amely eltúlozza a valóságot. Ennek gyakorlati jelentősége is van: ha azt hiszi, hogy a személyzet fele adatot lop, rossz eszközt fog vásárolni, és eközben méltánytalanul fog bánni az emberekkel.

• „Az alkalmazottak 45%-a visz magával adatot távozáskor.” Ez valós adat, de egy 2020 májusi Tessian-felmérés amerikai részmintájára vonatkozik. Ugyanabban a tanulmányban az összesített arány 34% volt, az egyesült királysági érték pedig 23%. Ezt a pontosítást szinte minden idézéskor elhagyják.
• „Az alkalmazottak 72%-a visz el vállalati adatot.” Ez félreértelmezés. A Code42 2019-es jelentésében a 72% azoknak az információbiztonsági vezetőknek az arányát jelöli, akik egyetértettek a következő attitűdállítással: ez nem csupán vállalati adat, hanem az én munkám — és az én ötleteim. Ez tehát arról szól, hogyan érzékelik az emberek a tulajdonjogot, nem pedig arról, hányan másolnak ténylegesen fájlokat.
• „A dolgozók 63%-a hozott magával adatot az előző munkáltatójától.” Ennek valódi, visszakereshető forrása van — a Code42 2019-es Global Data Exposure Report jelentése, amelyet 2019 októberében tettek közzé. Ügyeljen azonban a mintára, ugyanaz a csapda, amin a 72% is elbukik: a válaszadók 1028 biztonsági vezető és 615 üzleti döntéshozó voltak, nem pedig a személyzet keresztmetszete. Emellett ez az adat olyan emberekről szól, akik adattal érkeznek, ami egy másfajta kockázat, mint amelyet Ön a kilépő oldalon próbál felderíteni.

A leginkább megalapozott szám a Cyberhaven Labs 2022-es adata, és pontosan azért megalapozott, mert megfigyelt telemetriai adatról van szó, nem önbevallásról: nagyjából 1,4 millió, érzékeny adatokkal dolgozó alkalmazott körében 9,4% szivárogtatott ki adatot egy hat hónapos időszak alatt. Az ezt a számot közlő blogbejegyzést azóta eltávolították — a mögöttes jelentés regisztrációhoz kötött letöltésként még elérhető —, így ma leginkább a kortárs sajtóhíradásokon keresztül ellenőrizhető. Mindkét esetben tekintse elavultnak. A DTEX 2023-as vizsgálati jelentése szerint a távozó alkalmazottak 12%-a visz magával érzékeny szellemi tulajdont.

Érdemes itt is szem előtt tartani a CISA útmutatását: a fenyegetésértékelésnek viselkedésen, nem pedig profilokon kell alapulnia, és ezek a cselekmények ritkán spontánok — tudatos döntést követnek. Nincs olyan demográfiai minta, amelyet figyelni kellene, és ha mégis ezt teszi, azzal egyszerre lesz téves és igazságtalan is.

Hogyan szivárog ki valójában az adat

Egy kis Windows-hálózatból az adatok egy rövid, unalmas listányi csatornán keresztül szivároghatnak ki. Gyakorlati szempontból nem maga a csatorna számít, hanem az, hogy hagy-e maga után utólag megtalálható nyomot — és ezek közül soknál az őszinte válasz az, hogy nem.

MITRE ATT&CK-terminológiával ezek a következőknek felelnek meg: T1052.001 (Exfiltration over USB), T1567.002 (Exfiltration to Cloud Storage — a MITRE saját leírása kifejezetten a Dropboxot és a Google Docsot nevesíti) és T1114.003 (Email Forwarding Rule). A MITRE USB-esetre vonatkozó felderítési elemzése szerint egy USB-eszköz csatlakoztatását nagy mennyiségű vagy érzékeny fájlokhoz való hozzáférés és azok előkészítése követi — ez pontosan a 6416-os esemény 4663-assal való összekapcsolása, és pontosan az, amit a következő szakaszok felépítenek.

Mielőtt bármit is megfigyelne

Mielőtt egyetlen auditházirendet is engedélyezne, írja meg az értesítést. Ez nem egy megfelelőségi lábjegyzet, amit majd később rendbe tehet — három amerikai államban ez törvényi kötelezettség, amely már a megfigyelés megkezdése előtt fennáll, és e törvények egyike sem mentesíti a kisvállalkozásokat. Egy tízfős New York-i cégre pontosan ugyanúgy vonatkozik, mint egy tízezer fősre.

A szövetségi alapszint, és a csapda

Az Electronic Communications Privacy Act jelenti a szövetségi alapszintet. Két kivétel végzi a munka nagy részét a munkáltatók számára. A 18 U.S.C. § 2511(2)(a)(i) szerinti szolgáltatói kivétel a saját eszközökön történő lehallgatásra vonatkozik, amennyiben az a szolgáltatás szükségszerű velejárója, vagy az adott szolgáltatás nyújtójának jogai vagy tulajdona védelmének szükségszerű velejárója. Ettől külön a § 2511(2)(d) egyoldalú hozzájárulási elvet vezet be a szövetségi jogba: jogszerű, ha a kommunikáció valamelyik fele előzetesen hozzájárulását adta.

A gyakorlati előny — amely valós, még ha nem is az az egyetlen tiszta dokumentumra épülő történet, amelyet néha hallani lehet —, hogy egy aláírt megfigyelési elismervény kettős szerepet tölt be. A szövetségi jog nem követeli meg a hozzájárulást ott, ahol a szolgáltatói kivétel már úgyis alkalmazandó, de a hozzájárulás a § 2511(2)(d) szerinti második, önálló útvonal, és a kettő együtt szilárdabb pozíciót ad, mint bármelyikre külön-külön hagyatkozni. Ugyanaz az aláírás egyidejűleg teljesíti a New York és Delaware által megkövetelt elismerést is.

Ez azonban nem fed le mindent, és érdemes megnevezni három hiányosságot. Önmagában egy aláírás nem teljesíti a kifüggesztési kötelezettséget — New York megköveteli a falon lévő értesítést az elismerés mellett is, Connecticutban pedig a kifüggesztés maga minősül a szükséges értesítésnek. A szolgáltatói kivétel hatóköre bírói gyakorlat által alakított, nem pedig egyértelmű határvonal, tehát a „mi tulajdonunk a laptop” érv erős kiindulópont, de nem lezárt védekezés. És ha hívásokat rögzít, ellenőrizze külön az adott állam lehallgatási törvényét is: több állam megköveteli, hogy minden fél hozzájáruljon, ami szigorúbb, mint a szövetségi alapszint.

Ha az Ön munkatársai között vannak EU-s alkalmazottak, a válasz megfordul

A GDPR alapján a munkahelyi megfigyelés gyakorlatban alkalmazott jogalapja az Article 6(1)(f) szerinti jogos érdek — nem a hozzájárulás. Az Article 29 Working Party Opinion 2/2017 véleménye szerint a munkavállalók szinte soha nincsenek abban a helyzetben, hogy szabadon megadják, megtagadják vagy visszavonják a hozzájárulásukat, és a hozzájárulás rendkívül valószínűtlen, hogy jogalapként szolgálhat a munkahelyi adatkezeléshez. Ez pontosan az ellentéte az amerikai álláspontnak, ahol egy aláírás jelenti a legerősebb védelmet.

A jogos érdekre hivatkozás egy dokumentált, három részből álló tesztet igényel — konkrét cél, valódi szükségesség kevésbé beavatkozó alternatíva hiányában, valamint a munkavállalói jogokkal szembeni érdekmérlegelés —, és az Article 21 minden munkavállalónak biztosítja a tiltakozáshoz való jogot. Adatvédelmi hatásvizsgálat szükséges ott, ahol a megfigyelés szisztematikus és valószínűsíthetően magas kockázatú — a nemzeti hatóságok pedig következetesen ilyennek tekintik a folyamatos alkalmazotti megfigyelést. Az Article 88 emellett lehetővé teszi a tagállamok számára szigorúbb nemzeti szabályok bevezetését, így különösen Németország, Franciaország és Hollandia megy túl a GDPR alapszintjén.

A nulla költségű felderítési beállítás

A leggyakoribb kiszivárogtatási csatornák felderítéséhez olyan Group Policy-beállításokkal kezdhet, amelyek a Windows részét képezik, és semmibe sem kerülnek. Az alábbi sorrend adja a legtöbb lefedettséget a legkevesebb munkával.

1. Audit Removable Storage — az egyetlen legnagyobb értékű beállítás

Ezt érdemes elsőként engedélyezni, és az ok egy olyan részlet, amelyet a Microsoft a saját dokumentációjában kimond, mégis szinte senki nem ismétel meg: Egy biztonsági auditesemény minden objektumra és minden kért hozzáférési típusra létrejön, függetlenül az objektum SACL-jétől.

Olvassa el ezt még egyszer, ha valaha is próbált már fájlauditálást beállítani. A hagyományos fájlrendszer-auditálás addig hatástalan, amíg minden fontos mappán be nem állítja a rendszerszintű hozzáférés-vezérlési listákat (SACL) — a Microsoft egyértelműen kimondja, hogy az alapértelmezett fájlrendszer-SACL-ekhez nem generálódik auditesemény. Az Audit Removable Storage mindezt megkerüli. Kapcsolja be, és minden gépen, mappánkénti beállítás nélkül, 4663-as eseményt kap minden USB-eszközről olvasott vagy arra írt fájlhoz. A Microsoft útmutatása szerint ezt Success és Failure szinten is érdemes beállítani munkaállomásokon, tagszervereken és tartományvezérlőkön egyaránt, míg az Audit File System csak „ha szükséges” besorolást kap.

2. Audit PNP Activity — tudja meg, mikor jelent meg egy eszköz

Ez a Detailed Tracking alá tartozik, nem az Object Access alá — egy apróság, ami sokaknak tíz percnyi keresgélést jelent a házirend-fastruktúrában. A 6416-os eseményazonosítót hozza létre, „A new external device was recognized by the System” néven, Windows 10 és Server 2016 vagy újabb rendszereken. A hasznos adat tartalmazza az eszközpéldány elérési útját, a gyártói azonosítókat és egy ClassName mezőt — szűrjön DiskDrive értékre, hogy elkülönítse a tárolóeszközöket a billentyűzetektől és egerektől. A Microsoft ennek mennyiségét jellemzően alacsonynak minősíti, és egy hasznos finomhangolási tippet is ad: jelezzen minden esetben, amikor a Subject Security ID nem SYSTEM. Vegye figyelembe a korlátot — a 6416-os esemény a csatlakoztatást és az engedélyezést rögzíti, az eltávolítást nem, tehát nem fogja megmondani, meddig volt bedugva egy adathordozó.

3. Audit Logon — fogja el a munkaidőn kívüli mintázatot

A 4624-es eseményazonosító a sikeres bejelentkezéseket rögzíti egy Logon Type mezővel: 2 az interaktív, billentyűzet melletti bejelentkezéshez, 3 a hálózatihoz, 10 az RDP-hez, 7 a feloldáshoz. A Microsoft kifejezetten javasolja ezt a felhasználási esetet: szükség lehet arra, hogy figyelje egy fiók munkaidőn kívüli használatát. Egy szombat esti, 10-es típusú bejelentkezés egy olyan fiókról, amely még sosem dolgozott hétvégén, a valaha épített legolcsóbb, mégis magas jelzőértékű riasztás.

4. SACL-ek, de csak ott, ahol megérik

A két-három megosztott mappán, amelyek ténylegesen a legértékesebb vállalati adatokat tartalmazzák, adjon hozzá egy SACL-t, és engedélyezze az Audit File System funkciót. Van egy figyelmeztetés, amit érdemes tudni: a Microsoft által ajánlott, megfigyelendő hozzáférési típusok listája kiterjed az írásra, törlésre és a jogosultságváltozásokra — de nem a ReadData-ra. A gyakorlatban a lopás olvasási hozzáférésként jelentkezik, ezért ezt tudatosan vegye fel. A Microsoft óva int a mindenre kiterjedő engedélyezéstől is, és igaza van: ha egy teljes fájlszervert SACL-lel lát el, el fog veszni az adatáradatban, és leáll a figyeléssel — ami rosszabb, mintha egyáltalán nem naplózna.

5. Növelje a napló méretét, majd valóban ütemezze be a felülvizsgálatot

Az alapértelmezett Biztonsági napló gyorsan felülíródik, amint a 4663-as események elkezdenek beáramlani, egy olyan napló pedig, amely már felülírta a bizonyítékokat, nem tekinthető kontrollnak. Először növelje a méretét. Ezután ütemezzen be egy ismétlődő havi időpontot a naptárba — USB-események, munkaidőn kívüli bejelentkezések, bármilyen új postafiók-továbbítási szabály. A felderítés szokás kérdése, nem egy pipálandó tétel; az olyan naplózás, amit senki nem olvas el, még soha senkit nem kapott el.

Egy ingyenes kiegészítő, amelynek telepítése megéri: a Sysmon, amely a Microsoft Sysinternals csomagjából származik, több fenti hiányosságot is befoltoz. A 3-as esemény egy folyamathoz kötött hálózati kapcsolatokat naplóz — alapból ki van kapcsolva, konfigurálni kell —, a 22-es esemény pedig a DNS-lekérdezéseket naplózza, így egy fogyasztói fájlmegosztó domainre irányuló lekérdezés is láthatóvá válik. A 9-es esemény a nyers lemezolvasásokat fogja el, amelyeket a Microsoft megjegyzése szerint arra használnak, hogy elkerüljék a fájlhozzáférés-auditáló eszközöket. Ez a három az, amelyet érdemes rutinszerűen futtatni.

A Sysmon a vágólap-változásokat is naplózni tudja (24-es esemény), és alaposan gondolja át, mielőtt ezt bekapcsolná. A vágólapon jelszavak, személyes üzenetek és mások adatai is átfutnak, és ezek rögzítése kategorikusan tolakodóbb dolog, mint annak naplózása, hogy egy fájl elmozdult. Ha mégis engedélyezi, mondja ki ezt kifejezetten a megfigyelési értesítésben, ahelyett hogy egy általános leírás alá rejtené — a tájékoztatásnak meg kell felelnie annak, amit ténylegesen gyűjt, különben az értesítés nem tölti be a funkcióját.

Amit a Windows nem lát

A Windows nem lát bele a titkosított forgalomba, és ez az egyetlen korlátozás jelöli ki az ingyenes beállítás határait. Az őszinteség ebben fontosabb, mint még egy funkciólista, mert az a védelmi intézkedés, amelyről tévesen azt hiszi, hogy megvan, rosszabb, mint az, amiről tudja, hogy hiányzik.

• HTTPS-payloadok. Minden webmail-feltöltés, fogyasztói felhő-szinkronizáció és üzenetküldő alkalmazás átláthatatlan. Azt esetleg látja, hogy létrejött egy kapcsolat; azt nem fogja látni, mi ment át rajta.
• Hálózati kimenő forgalom hozzárendeléssel. A Windows Firewall naplózása alapértelmezés szerint ki van kapcsolva, és még bekapcsolva is csak kapcsolati adatpárokat rögzít — nem azt, hogy melyik folyamat vagy melyik felhasználó áll mögötte.
• Melyik fájl hová került. A Windows egymástól függetlenül naplózza a fájlolvasásokat és a hálózati küldéseket, és sosem korrelálja őket. Pontosan e két fél összekapcsolására valók az adatszivárgás-megelőzési (DLP) termékek.
• Egy képernyőre irányított telefonkamera. Nincs nyom, nincs kontroll, nincs termék. Ez a legrégebbi kiszivárogtatási csatorna, és még mindig megoldatlan.

Két dolog, amit az internet tévesen tud

Először is a munkamenet-időtartam. Sok útmutató azt javasolja, hogy a 4624-es bejelentkezési eseményt párosítsa a 4634-es kijelentkezési eseménnyel, hogy megmérje, meddig dolgozott valaki. A Microsoft dokumentálja ezt a felhasználási esetet, de csatol hozzá egy figyelmeztetést, amelyet a legtöbb írás elhagy: A kijelentkezési események nem 100 százalékban megbízhatóak. Előfordulhat például, hogy a számítógépet szabályos kijelentkezés és leállítás nélkül kapcsolják ki; ebben az esetben nem jön létre kijelentkezési esemény. A munkamenet hosszát érdemes trendként figyelni; ha erre kemény riasztást épít, az olyan embereknél is jelezni fog, akik egyszerűen csak lecsukták a laptopjukat.

Másodszor a nyomtatásnaplózás. A PrintService operatív napló engedélyezését gyakran úgy állítják be, mintha az rögzítené, mit nyomtattak ki. A 307-es eseményt adja meg a nyomtatási feladattal együtt — de a dokumentum neve a szó szerinti „Print Document” karakterláncra van elfedve, amíg egy külön beállítást meg nem változtat. Kapcsolja be a naplót, nyomtasson ki egy tesztoldalt, és ellenőrizze a nevet, mielőtt megbízna benne.

Van továbbá két széles körben terjesztett USB-forenzikai állítás — egy sor DriverFrameworks eseményazonosító a csatlakoztatáshoz és eltávolításhoz, valamint egy eszközsorozatszámokat hordozó Partition diagnosztikai esemény —, amelyek tucatnyi blogbejegyzésben felbukkannak, de a Microsoft sehol nem dokumentálja őket, és az érintett napló alapértelmezés szerint le van tiltva. Lehet, hogy valóban működnek. Ne építsen rájuk kontrollt anélkül, hogy előbb a saját hardverén ki ne próbálná.

Amikor egy eszköz megéri az árát

Egy eszköz ott éri meg az árát, ahol az ingyenes beállítás már nem válaszolja meg azokat a kérdéseket, amelyeket ténylegesen felteszünk — jellemzően akkor, amikor a titkosított feltöltésekbe való betekintésre van szükség, vagy amikor a nyers eseménynaplók kézi átnézése már nem reális. Íme egy őszinte összehasonlítás a 10–50 PC-s méretben.

Az a hiányosság, amely a legtöbb kisvállalkozást kimozdítja az ingyenes szintről, nem a felderítési képesség, hanem az áttekinthetőség. A Windows boldogan rögzít több ezer 4663-as eseményt; ezeket „íme, mit csinált ez a személy az elmúlt két hétben” formává alakítani olyan kézi munka, amit senki sem tart fenn hosszú távon. Ezt a feladatot látja el a céges gépeken végzett, bejelentett tevékenységfigyelés — és ez jogilag és kulturálisan is csak a korábban ismertetett tájékoztatási alapon működik.

Bármit is választ, alkalmazza mindenkire azonos szinten, ahelyett hogy a gyanúsított személyt egyedül emelné ki. A célzott, titkos megfigyelés egyetlen alkalmazottnál az, ahol a jogi kockázat rejlik, és egyben ez az, ahogyan tönkreteszi annak a kilenc kollégának a bizalmát is, akik később tudomást szereznek róla.

A távozási ellenőrzőlista és az első óra

Mivel a legtöbb szellemitulajdon-lopás a távozástól számított 30 napon belül történik, az alábbi ellenőrzőlista többet ér, mint bármelyik eszköz az előző listáról. Mindenki azt mondja, hogy „azonnal vonja vissza a hozzáférést”; szinte senki nem írja le, hogy ez a gyakorlatban mit is jelent.

• Tiltsa le a fiókot, ne törölje. A törlés tönkreteszi az auditnyomot és bármelyik postafiókot, amelyre később szüksége lehet.
• Vonja vissza az aktív munkameneteket és tokeneket, ne csak a jelszót. Egy személyes telefonon bejelentkezett munkamenet túléli a jelszóváltoztatást.
• Ellenőrizze a postafiók-továbbítási szabályokat — mind a postafiók szintű továbbítást, mind a beérkezettüzenetek-szabályokat. A szabályok úgy is létrehozhatók, hogy ne jelenjenek meg az Outlookban, ezért szerveroldalon is ellenőrizze.
• Töltse le az auditnaplót most, ne később. A Microsoft 365 Audit (Standard) alapértelmezés szerint 180 napig őrzi meg a rekordokat — de az elavult admin audit search funkció csak 90 napra tekint vissza, és a megőrzési idő licenctípusonként eltérő. Exportálja, amire szüksége van, ahelyett hogy bízna abban, hogy a következő negyedévben is elérhető lesz.
• Válassza le a személyes felhő-szinkronizációs klienseket a gépről, és ellenőrizze, mely mappák voltak szinkronizálva.
• Cserélje le a megosztott hitelesítő adatokat — a Wi-Fi-kulcsot, a megosztott adminisztrátori belépést, azokat a fiókokat, amelyekhez még senki nem jutott hozzá, hogy egyéni bejelentkezést adjon. Egy kisvállalkozásnál ez rendszerint a lista leghosszabb része.
• Szerezze vissza a hardvert, beleértve minden személyesen tartott meghajtót vagy dongle-t is, és rögzítse, mi érkezett vissza.
• Tartsa érintetlenül a távozó eszközét két hétig, mielőtt újratelepítené, ha a távozás bármennyire is feszült volt.
• A kilépő interjút a szellemitulajdon-megállapodással a kezében tartsa meg. A Carnegie Mellon CERT részlege régóta azt ajánlja, hogy a kilépő interjú keretében vezessék végig a távozót az általa aláírt megállapodáson, és ismertessék el vele azt újra. Ez tíz percbe kerül, és ez az egyetlen tétel a listán, amely a szándékkal foglalkozik, nem csak a lehetőséggel.

Ha úgy gondolja, hogy ez éppen most történik

Először őrizze meg, másodszor vizsgálja ki, harmadszor cselekedjen — pontosan ebben a sorrendben, mert az ösztönös reakció mindhárom lépést fordítva végzi el.

1. Ne kapcsolja ki a gépet. A kikapcsolás elveszíti a memóriában tárolt összes adatot, és leállításkor törlési folyamatokat indíthat el. Ehelyett válassza le a hálózatról, és hagyja bekapcsolva.
2. Ne böngésszen rajta. Minden megnyitott mappa felülírja a hozzáférési időbélyegeket — pontosan azt a metaadatot, amelyre később támaszkodna. Ha az ügy esetleg valaki elé kerülhet, előbb készíttessen egy lemezképet.
3. Mentse ki a naplókat, mielőtt felülíródnának. Azonnal exportálja a Biztonsági naplót a végpontról, valamint a releváns Microsoft 365 auditkeresést.
4. Soha ne nyissa meg a személyes fiókjaikat. A céges böngészőben elmentett hitelesítő adatok nem adnak Önnek felhatalmazást, és ezek használata az a pont, ahol a munkáltató erős jogi pozíciója összeomlik.
5. Mielőtt bárkivel szembesülne, hívjon jogi tanácsadót. Egy hiányos bizonyítékok alapján lefolytatott beszélgetés épp azt az egyetlen személyt figyelmezteti, aki még el tudja törölni a nyomokat — és ha téved, egy alkalmazottat vádolt meg bűncselekménnyel.

Mindehhez nincs szükség biztonsági csapatra. Csupán arra van szükség, hogy még mielőtt bármi történne, eldöntse: rendesen elvégzi az unalmas verziót — az első napon aláírt értesítést, a három bekapcsolt auditházirendet, egy ellenőrzőlistát, amely minden távozáskor lefut, és egy havi órát, amelyet tényleges átnézéssel tölt. Ekkora vállalkozás esetében így néz ki a belső fenyegetések felderítése, és ez teljes mértékben elérhető közelségben van.

Gyakran ismételt kérdések