Wykrywanie zagrożeń wewnętrznych w małych firmach

Co uznaje się za zagrożenie wewnętrzne

Zagrożenie wewnętrzne to ryzyko, że ktoś posiadający legalny dostęp wykorzysta go — celowo lub nie — by zaszkodzić organizacji. Amerykańska agencja Cybersecurity and Infrastructure Security Agency (CISA) definiuje insidera jako każdą osobę, która ma lub miała autoryzowany dostęp do zasobów organizacji lub wiedzę o nich, w tym o personelu, obiektach, informacjach, sprzęcie, sieciach i systemach. Kluczowe jest tu słowo autoryzowany. Nikt nie musi się włamywać.

Centralne rozróżnienie CISA przebiega między szkodą nieumyślną a umyślną, a dodatkowo agencja wyróżnia dwie sytuacje, które przecinają się z obiema kategoriami. Daje to cztery określenia, z którymi spotkają się Państwo w praktyce — warto je znać, ponieważ fraza „trzy rodzaje zagrożeń wewnętrznych” powtarzana jest wszędzie, choć nie odpowiada źródłu:

A teraz część, którą pomija większość artykułów na ten temat. Incydenty wewnętrzne nie są najczęstszą przyczyną naruszeń bezpieczeństwa w małych firmach, i warto podchodzić z podejrzliwością do każdego, kto twierdzi inaczej. Raport Verizon Data Breach Investigations Report za 2026 rok — oparty na ponad 31 000 rzeczywistych incydentów — wykazał, że sprawcy wewnętrzni odpowiadają za 12% naruszeń, co stanowi spadek względem 18% odnotowanych rok wcześniej. Jego panel dotyczący małych firm, obejmujący organizacje zatrudniające poniżej 1000 pracowników, przypisuje niemal wszystkie naruszenia sprawcom zewnętrznym działającym z pobudek finansowych.

Po co więc w ogóle poświęcać na to popołudnie? Ponieważ profil kosztów jest odwrócony. Badanie Cost of Insider Risks przeprowadzone w 2026 roku przez Ponemon Institute i DTEX wykazało, że opanowanie incydentu wewnętrznego zajmuje średnio 67 dni, przy koszcie rzędu 747 000 dolarów za incydent wynikający z zaniedbania, 742 000 dolarów za incydent złośliwy oraz 842 000 dolarów, gdy osoba z zewnątrz posługiwała się skradzionymi danymi uwierzytelniającymi. Zdarzenia wewnętrzne są rzadsze niż phishing, ale trwają dłużej, zanim ktokolwiek je zauważy, a to, co wynosi się z firmy, to zazwyczaj materiał, na którym faktycznie opiera się cały biznes.

Dlaczego odejścia pracowników są momentem krytycznym

Ponieważ ryzyko koncentruje się w wąskim, przewidywalnym oknie czasowym. Software Engineering Institute na Carnegie Mellon — dział CERT, który od dwóch dekad bada przypadki zagrożeń wewnętrznych — ujął to wprost w swojej analizie przypadków kradzieży własności intelektualnej: większość insiderów kradnie własność intelektualną w ciągu 30 dni od odejścia z organizacji. To ustalenie pochodzi z 2011 roku i warto zaznaczyć jego wiek — mimo to od tamtej pory pozostaje ono zasadą organizującą praktykę zarządzania ryzykiem wewnętrznym, a każdy raport telemetryczny publikowany od tamtej pory przez dostawców pokazuje skupienie aktywności wokół tego samego okna czasowego związanego z odejściem.

To pojedyncze zdanie jest operacyjnie bardziej użyteczne niż jakikolwiek płatny kanał threat intelligence, który mogłaby kupić mała firma. Oznacza to, że nie potrzeba ciągłej inwigilacji wszystkich pracowników. Trzeba wiedzieć, kiedy ktoś odchodzi, i obserwować właściwą garść sygnałów w tygodniach poprzedzających i następujących po tej dacie.

Statystyki, które warto zweryfikować przed planowaniem

Trzy liczby dominują w każdym artykule o kradzieży danych przez pracowników, a każda z nich jest cytowana w formie, która ją zawyża. Ma to praktyczne znaczenie: jeśli będą Państwo wierzyć, że połowa personelu kradnie dane, kupią Państwo niewłaściwe rozwiązanie i będą przy tym źle traktować ludzi.

• „45% pracowników zabiera dane, odchodząc z pracy”. Prawda, ale to podzbiór dla USA z badania Tessian z maja 2020 roku. Ogólny wynik w tym samym badaniu wynosił 34%, a dla Wielkiej Brytanii — 23%. To zastrzeżenie niemal zawsze znika, gdy się to cytuje.
• „72% pracowników zabiera dane firmowe”. To błędna interpretacja. 72% w raporcie Code42 z 2019 roku to odsetek liderów bezpieczeństwa informacji, którzy zgodzili się ze stwierdzeniem to nie tylko dane firmowe, to moja praca — i moje pomysły. To wynik dotyczący tego, jak ludzie postrzegają własność, a nie tego, ilu z nich faktycznie kopiuje pliki.
• „63% przyniosło dane od poprzedniego pracodawcy”. Ta liczba ma realne, możliwe do zweryfikowania źródło — Global Data Exposure Report firmy Code42 z 2019 roku, opublikowany w październiku 2019 roku. Trzeba jednak zwrócić uwagę na badaną populację, co jest tym samym potknięciem, na którym opiera się liczba 72%: respondentami było 1028 liderów bezpieczeństwa i 615 osób decyzyjnych w biznesie, a nie przekrój całego personelu. Poza tym opisuje ona ludzi przybywających z danymi, co jest innym ryzykiem niż to, które próbują Państwo wykryć przy odejściu pracownika.

Najbardziej wiarygodna liczba pochodzi od Cyberhaven Labs z 2022 roku i jest wiarygodna właśnie dlatego, że to obserwowana telemetria, a nie deklaracje ankietowanych: wśród około 1,4 miliona pracowników mających do czynienia z danymi wrażliwymi 9,4% dokonało eksfiltracji danych w ciągu sześciomiesięcznego okresu. Wpis na blogu przedstawiający tę liczbę został od tamtej pory usunięty — sam raport źródłowy przetrwał jako plik do pobrania dostępny po rejestracji — więc obecnie najłatwiej ją zweryfikować poprzez ówczesne relacje prasowe. Tak czy inaczej, warto traktować ją jako nieaktualną. Raport DTEX z 2023 roku dotyczący dochodzeń wskazuje, że odsetek odchodzących pracowników zabierających wrażliwą własność intelektualną wynosi 12%.

Warto też przyswoić sobie w tym miejscu wytyczne CISA: ocena zagrożenia powinna być oparta na zachowaniach, a nie na profilach, a te działania rzadko są spontaniczne — wynikają z przemyślanej decyzji. Nie ma żadnego wzorca demograficznego, na który warto zwracać uwagę, a szukanie go sprawi, że będą Państwo jednocześnie w błędzie i niesprawiedliwi.

Jak dane rzeczywiście opuszczają firmę

Dane opuszczają małą sieć Windows przez krótką, nieciekawą listę kanałów. Z operacyjnego punktu widzenia liczy się nie sam kanał, lecz to, czy pozostawia po sobie ślad, który można później odnaleźć — a w przypadku kilku z nich uczciwa odpowiedź brzmi: nie pozostawia.

W terminologii MITRE ATT&CK odpowiada to T1052.001 (Exfiltration over USB), T1567.002 (Exfiltration to Cloud Storage — w opisie samego MITRE wymienione są Dropbox i Google Docs) oraz T1114.003 (Email Forwarding Rule). Reguła detekcyjna MITRE dla przypadku USB brzmi: podłączenie urządzenia USB, po którym następuje dostęp do dużej liczby plików lub plików wrażliwych oraz ich gromadzenie — czyli dokładnie Event 6416 skorelowany z 4663, i dokładnie to, co konfigurują kolejne sekcje.

Zanim zaczną Państwo cokolwiek monitorować

Zanim włączą Państwo choć jedną zasadę inspekcji, należy napisać powiadomienie. To nie jest formalność zgodności do uporządkowania później — w trzech amerykańskich stanach to obowiązek ustawowy, który powstaje jeszcze przed rozpoczęciem monitoringu, a żaden z tych przepisów nie zwalnia z niego małych pracodawców. Firma zatrudniająca dziesięć osób w stanie Nowy Jork podlega dokładnie tym samym przepisom, co firma zatrudniająca dziesięć tysięcy.

Federalny poziom bazowy i pułapka

Electronic Communications Privacy Act stanowi federalne minimum. Większość pracy dla pracodawców wykonują dwa wyjątki. Wyjątek dla dostawcy usług z 18 U.S.C. § 2511(2)(a)(i) obejmuje przechwytywanie na własnej infrastrukturze, gdy jest ono niezbędnym elementem świadczenia usługi lub ochrony praw bądź własności dostawcy tej usługi. Osobno, § 2511(2)(d) ustanawia na poziomie federalnym zasadę zgody jednej strony: działanie jest zgodne z prawem gdy jedna ze stron komunikacji wyraziła uprzednią zgodę.

Praktyczna korzyść — realna, choć nie jest to tak prosta, jednodokumentowa historia, jaką czasem można usłyszeć — polega na tym, że podpisane potwierdzenie monitoringu pełni podwójną funkcję. Prawo federalne nie wymaga zgody tam, gdzie zastosowanie ma już wyjątek dla dostawcy usług, ale zgoda stanowi drugą, niezależną ścieżkę na mocy § 2511(2)(d), a posiadanie obu jest mocniejszą pozycją niż poleganie tylko na jednej z nich. Ten sam podpis jednocześnie spełnia wymóg potwierdzenia, którego oczekują Nowy Jork i Delaware.

Nie obejmuje to jednak wszystkiego, i warto wskazać trzy luki. Sam podpis nie zwalnia z obowiązku wywieszenia powiadomienia — Nowy Jork wymaga zarówno powiadomienia na ścianie, jak i jego potwierdzenia, a w Connecticut samo wywieszenie jest wymaganym powiadomieniem. Zakres wyjątku dla dostawcy usług został wypracowany przez orzecznictwo, a nie wyznaczony jasną linią, więc argument „to nasz laptop” jest mocnym punktem wyjścia, a nie rozstrzygniętą linią obrony. A jeśli nagrywają Państwo rozmowy, warto osobno sprawdzić przepisy o podsłuchu obowiązujące w danym stanie: kilka stanów wymaga zgody wszystkich stron, co jest bardziej restrykcyjne niż minimum federalne.

Jeśli mają Państwo pracowników w UE, odpowiedź się odwraca

Na gruncie GDPR podstawą prawną monitoringu w miejscu pracy, która się faktycznie sprawdza, jest prawnie uzasadniony interes na mocy Article 6(1)(f) — a nie zgoda. Opinia 2/2017 wydana przez Article 29 Working Party stwierdza, że pracownicy niemal nigdy nie są w stanie swobodnie udzielić, odmówić lub wycofać zgody oraz że zgoda jest wysoce nieprawdopodobną podstawą prawną przetwarzania danych w miejscu pracy. To dokładne przeciwieństwo podejścia amerykańskiego, gdzie podpis jest Państwa najsilniejszą linią obrony.

Prawnie uzasadniony interes wymaga udokumentowanego trzyczęściowego testu — konkretnego celu, rzeczywistej konieczności bez mniej inwazyjnej alternatywy oraz wyważenia interesów względem praw pracowników — a Article 21 daje każdemu pracownikowi prawo do sprzeciwu. Ocena skutków dla ochrony danych jest wymagana, gdy monitoring ma charakter systematyczny i może wiązać się z wysokim ryzykiem — a krajowi regulatorzy konsekwentnie tak właśnie klasyfikują ciągły monitoring pracowników. Article 88 pozwala też państwom członkowskim wprowadzać bardziej rygorystyczne przepisy krajowe, więc w szczególności Niemcy, Francja i Holandia wykraczają poza bazowy poziom ochrony przewidziany w GDPR.

Bezkosztowa konfiguracja wykrywania zagrożeń

Aby wykryć najczęstsze kanały eksfiltracji danych, można zacząć od ustawień Group Policy, które są wbudowane w Windows i nic nie kosztują. Poniżej znajduje się kolejność dająca największe pokrycie przy najmniejszym nakładzie pracy.

1. Audit Removable Storage — pojedyncze ustawienie o największej wartości

To ustawienie warto włączyć jako pierwsze, a powód jest szczegółem, który Microsoft podaje we własnej dokumentacji, a którego niemal nikt nie powtarza: Zdarzenie inspekcji zabezpieczeń jest generowane dla wszystkich obiektów i wszystkich żądanych typów dostępu, niezależnie od listy SACL obiektu.

Warto przeczytać to jeszcze raz, jeśli kiedykolwiek próbowali Państwo skonfigurować inspekcję plików. Zwykła inspekcja systemu plików jest bezczynna, dopóki nie skonfiguruje się list kontroli dostępu (SACL) w każdym folderze, na którym zależy — Microsoft wprost stwierdza, że dla domyślnych list SACL systemu plików nie są generowane żadne zdarzenia inspekcji. Audit Removable Storage pomija to wszystko. Po włączeniu tego ustawienia uzyskuje się zdarzenie 4663 dla każdego odczytu lub zapisu pliku na urządzeniu USB, na każdym komputerze, bez konieczności konfigurowania poszczególnych folderów. Wytyczne Microsoft zalecają dla niego poziom Success i Failure zarówno na stacjach roboczych, serwerach członkowskich, jak i kontrolerach domeny, podczas gdy Audit File System jest zalecane tylko „w razie potrzeby”.

2. Audit PNP Activity — żeby wiedzieć, kiedy pojawiło się urządzenie

To ustawienie znajduje się w kategorii Detailed Tracking, a nie Object Access — drobiazg, który kosztuje ludzi dziesięć minut szukania w drzewie zasad. Generuje ono Event ID 6416, „A new external device was recognized by the System”, w Windows 10 i Server 2016 lub nowszych. Ładunek zdarzenia zawiera ścieżkę instancji urządzenia, identyfikatory dostawcy oraz ClassName — warto filtrować po DiskDrive, by oddzielić nośniki od klawiatur i myszy. Microsoft ocenia wolumen zdarzeń jako zazwyczaj niski i dodaje przydatną wskazówkę dotyczącą dostrajania: raportować zdarzenie za każdym razem, gdy Subject Security ID różni się od SYSTEM. Warto zwrócić uwagę na ograniczenie — 6416 rejestruje podłączenie i włączenie urządzenia, ale nie jego odłączenie, więc nie powie, jak długo pendrive był podłączony.

3. Audit Logon — wychwytywanie logowań poza godzinami pracy

Event ID 4624 rejestruje udane logowania wraz z Logon Type: 2 dla logowania interaktywnego przy klawiaturze, 3 dla sieciowego, 10 dla RDP, 7 dla odblokowania. Microsoft wprost popiera takie zastosowanie: może zaistnieć potrzeba monitorowania użycia konta poza godzinami pracy. Sobotnie nocne logowanie typu 10 z konta, które nigdy wcześniej nie pracowało w weekend, to najtańszy, wysoce sygnałowy alert, jaki można zbudować.

4. SACL — tylko tam, gdzie to ma sens

Dla dwóch lub trzech udziałów sieciowych, które rzeczywiście przechowują najcenniejsze zasoby firmy, warto dodać SACL i włączyć Audit File System. Jedno zastrzeżenie warte poznania: zalecana przez Microsoft lista typów dostępu do monitorowania obejmuje zapisy, usunięcia i zmiany uprawnień — ale nie ReadData. Odczyt jest tym, jak wygląda kradzież, więc warto dodać go świadomie. Microsoft ostrzega też przed włączaniem tego wszędzie, i słusznie: jeśli obejmie się SACL cały serwer plików, Państwo się w tym utopią, a potem przestaną Państwo patrzeć — co jest gorsze niż niezalogowanie niczego.

5. Większy dziennik i realnie zaplanowany przegląd

Domyślny dziennik zabezpieczeń szybko się zapełnia i zaczyna nadpisywać stare wpisy, gdy tylko zaczną napływać zdarzenia 4663 — a dziennik, który już nadpisał dowody, nie jest żadną kontrolą. Najpierw trzeba zwiększyć jego rozmiar. Potem warto wstawić do kalendarza cykliczne, comiesięczne spotkanie — zdarzenia USB, logowania poza godzinami pracy, wszelkie nowe reguły przekierowywania poczty. Wykrywanie to nawyk, a nie odhaczona checklista; dziennik, którego nikt nie czyta, nigdy nikogo nie złapał.

Jeden darmowy dodatek, który warto zainstalować: Sysmon z pakietu Sysinternals firmy Microsoft, wypełnia kilka z powyższych luk. Event 3 rejestruje połączenia sieciowe powiązane z procesem — jest domyślnie wyłączony, dopóki się go nie skonfiguruje — a Event 22 rejestruje zapytania DNS, dzięki czemu widoczne staje się np. zapytanie o domenę konsumenckiej usługi udostępniania plików. Event 9 wychwytuje surowe odczyty dysku, co według Microsoft bywa wykorzystywane do omijania narzędzi inspekcji dostępu do plików. Te trzy zdarzenia warto uruchamiać rutynowo.

Sysmon potrafi też rejestrować zmiany w schowku (Event 24), i warto dobrze się zastanowić przed włączeniem tej opcji. Schowek przenosi hasła, prywatne wiadomości i cudze dane, a ich przechwytywanie jest zdecydowanie bardziej inwazyjne niż samo zalogowanie faktu przeniesienia pliku. Jeśli zdecydują się Państwo to włączyć, warto zapisać to wprost w powiadomieniu o monitoringu, zamiast ukrywać to pod ogólnym opisem — zakres ujawnienia musi odpowiadać temu, co faktycznie jest zbierane, inaczej powiadomienie nie spełnia swojej funkcji.

Czego Windows nie widzi

Windows nie widzi wnętrza zaszyfrowanego ruchu sieciowego, i to jedno ograniczenie wyznacza granicę bezkosztowej konfiguracji. Uczciwe powiedzenie tego wprost jest ważniejsze niż kolejna lista funkcji, ponieważ kontrola, co do której błędnie zakłada się, że istnieje, jest gorsza niż taka, o braku której się wie.

• Ładunki HTTPS. Każda wysyłka na pocztę internetową, synchronizacja z konsumencką chmurą i aplikacja do wiadomości jest nieprzejrzysta. Można zobaczyć, że doszło do połączenia; nie zobaczy się, co przez nie przeszło.
• Ruch wychodzący z przypisaniem do sprawcy. Rejestrowanie zdarzeń Zapory systemu Windows jest domyślnie wyłączone, a nawet po włączeniu rejestruje ono krotki połączeń — nie to, który proces ani który użytkownik był za nie odpowiedzialny.
• Który plik dokąd trafił. Windows rejestruje odczyty plików i wysyłki sieciowe niezależnie od siebie i nigdy ich ze sobą nie koreluje. Połączenie tych dwóch połówek to dokładnie to, do czego służą produkty klasy data loss prevention.
• Aparat telefonu skierowany na ekran. Żadnego śladu, żadnej kontroli, żadnego produktu. To najstarszy kanał eksfiltracji danych i wciąż nierozwiązany problem.

Dwie rzeczy, w których internet się myli

Po pierwsze, czas trwania sesji. Wiele poradników sugeruje łączenie zdarzenia logowania 4624 ze zdarzeniem wylogowania 4634, by zmierzyć, jak długo ktoś pracował. Microsoft dokumentuje takie zastosowanie, ale dodaje ostrzeżenie, które większość opracowań pomija: Zdarzenia wylogowania nie są niezawodne w 100 procentach. Na przykład komputer można wyłączyć bez prawidłowego wylogowania i zamknięcia systemu; w takim przypadku zdarzenie wylogowania nie jest generowane. Długość sesji to rozsądny trend do obserwowania; jeśli zbuduje się na jego podstawie sztywny alert, będzie się on uruchamiał u ludzi, którzy po prostu zamknęli laptopa.

Po drugie, rejestrowanie wydruków. Włączenie dziennika operacyjnego PrintService jest często przedstawiane jako sposób na uzyskanie zapisu tego, co zostało wydrukowane. Daje ono zdarzenie Event 307 wraz z zadaniem druku — ale nazwa dokumentu jest zaciemniana do dosłownego ciągu „Print Document”, dopóki nie zmieni się osobnego ustawienia. Warto włączyć dziennik, wydrukować stronę testową i sprawdzić nazwę, zanim zacznie się na niej polegać.

Krążą też dwa szeroko powielane twierdzenia dotyczące informatyki śledczej USB — zestaw identyfikatorów zdarzeń DriverFrameworks dla podłączenia i odłączenia oraz zdarzenie diagnostyczne Partition zawierające numery seryjne urządzeń — które pojawiają się w dziesiątkach wpisów na blogach, ale nigdzie nie są udokumentowane przez Microsoft, a odpowiedni dziennik jest domyślnie wyłączony. Całkiem możliwe, że działają. Nie warto budować na nich kontroli bez wcześniejszego przetestowania na własnym sprzęcie.

Kiedy dodatkowe narzędzia się opłacają

Dodatkowe narzędzia zaczynają się opłacać w momencie, gdy bezkosztowa konfiguracja przestaje odpowiadać na pytania, które faktycznie Państwo zadają — zwykle wtedy, gdy potrzebny jest wgląd w zaszyfrowane przesyłanie danych, albo gdy ręczne przeglądanie surowych dzienników zdarzeń przestaje być realistyczne. Poniżej znajduje się uczciwe porównanie w skali 10-50 komputerów.

Luka, która zmusza większość małych firm do odejścia od bezkosztowego poziomu, to nie zdolność wykrywania, lecz czytelność. Windows bez problemu zarejestruje tysiące zdarzeń 4663; zamienienie ich w informację „oto, co ta osoba robiła w ciągu ostatnich dwóch tygodni” to ręczna praca, której nikt nie jest w stanie utrzymać w dłuższej perspektywie. Właśnie to zadanie wykonuje jawne monitorowanie aktywności na firmowych komputerach — i działa to, prawnie i kulturowo, wyłącznie na fundamencie jawności opisanym wcześniej.

Niezależnie od wybranego rozwiązania, warto stosować je wobec wszystkich na tym samym poziomie, zamiast wyróżniać osobę, którą się podejrzewa. To właśnie w ukierunkowanym, tajnym monitorowaniu jednego pracownika tkwi ekspozycja prawna, a poza tym w ten sposób niszczy się zaufanie pozostałych dziewięciu współpracowników, którzy w końcu się o tym dowiedzą.

Lista kontrolna przy odejściu pracownika i pierwsza godzina

Zważywszy, że większość kradzieży własności intelektualnej ma miejsce w ciągu 30 dni od odejścia z pracy, poniższa lista kontrolna jest warta więcej niż jakiekolwiek narzędzie z poprzedniej listy. Każdy mówi „natychmiast odbierz dostęp”; niemal nikt nie spisuje, co to właściwie oznacza w praktyce.

• Wyłączyć konto, nie usuwać go. Usunięcie niszczy ślad audytowy oraz skrzynkę pocztową, która może być później potrzebna.
• Unieważnić aktywne sesje i tokeny, a nie tylko hasło. Zalogowana sesja na prywatnym telefonie przetrwa zmianę hasła.
• Sprawdzić reguły przekierowywania poczty — zarówno przekierowanie na poziomie skrzynki, jak i reguły skrzynki odbiorczej. Reguły można utworzyć tak, by nie były widoczne w Outlooku, dlatego warto sprawdzić je po stronie serwera.
• Pobrać dziennik audytu teraz, a nie później. Microsoft 365 Audit (Standard) domyślnie przechowuje zapisy przez 180 dni — ale przestarzałe narzędzie admin audit search sięga wstecz tylko o 90, a okres przechowywania różni się w zależności od licencji. Warto wyeksportować to, co potrzebne, zamiast liczyć na to, że w kolejnym kwartale wciąż tam będzie.
• Odłączyć klientów synchronizacji prywatnej chmury od komputera i sprawdzić, które foldery były synchronizowane.
• Zmienić współdzielone dane logowania — klucz Wi-Fi, współdzielone konto administratora, konta, którym nikt jeszcze nie zdążył przydzielić indywidualnych loginów. W małej firmie to zwykle najdłuższy punkt na liście.
• Odzyskać sprzęt, w tym wszelkie dyski czy klucze sprzętowe znajdujące się prywatnie u pracownika, i zapisać, co zostało zwrócone.
• Zachować urządzenie odchodzącego pracownika nietknięte przez dwa tygodnie przed jego ponownym skonfigurowaniem, jeśli odejście było w jakikolwiek sposób konfliktowe.
• Przeprowadzić rozmowę wyjściową z umową o własności intelektualnej w ręku. Dział CERT na Carnegie Mellon od dawna zaleca wykorzystanie rozmowy wyjściowej, by wspólnie z odchodzącym pracownikiem przejrzeć podpisaną przez niego umowę i poprosić o jej ponowne potwierdzenie. Zajmuje to dziesięć minut i jest to jedyny punkt na tej liście, który odnosi się do zamiaru, a nie do samej okazji.

Jeśli podejrzewają Państwo, że dzieje się to właśnie teraz

Najpierw zabezpieczyć, potem zbadać, na końcu działać — dokładnie w tej kolejności, ponieważ naturalny odruch odwraca wszystkie trzy kroki.

1. Nie wyłączać komputera. Wyłączenie zasilania powoduje utratę wszystkiego, co znajduje się w pamięci, i może wywołać czyszczenie danych przy zamykaniu systemu. Zamiast tego trzeba odizolować go od sieci i zostawić włączony.
2. Nie przeglądać na nim niczego. Każdy otwarty folder nadpisuje znaczniki czasu dostępu — te same metadane, na których później trzeba by polegać. Jeśli sprawa może trafić przed kogokolwiek, warto najpierw zlecić wykonanie obrazu dysku.
3. Zebrać dzienniki, zanim zostaną nadpisane. Od razu wyeksportować dziennik zabezpieczeń z urządzenia oraz odpowiednie wyniki z audit search w Microsoft 365.
4. Nigdy nie otwierać ich prywatnych kont. Zapisane dane logowania w firmowej przeglądarce nie dają do tego uprawnienia, a ich użycie to moment, w którym silna pozycja pracodawcy się załamuje.
5. Skontaktować się z prawnikiem, zanim ktokolwiek zostanie skonfrontowany. Rozmowa oparta na niekompletnych dowodach ostrzega jedyną osobę, która wciąż może coś usunąć — a jeśli się Państwo mylą, oskarżyli Państwo pracownika o przestępstwo.

Nic z tego nie wymaga zespołu ds. bezpieczeństwa. Wymaga za to podjęcia, zanim cokolwiek się wydarzy, decyzji, że nudna wersja zostanie zrobiona porządnie: powiadomienie podpisane pierwszego dnia, trzy włączone zasady inspekcji, lista kontrolna uruchamiana za każdym razem, gdy ktoś odchodzi, i godzina w miesiącu rzeczywiście poświęcona na przeglądanie. Tak właśnie wygląda wykrywanie zagrożeń wewnętrznych w firmie tej wielkości, i jest to całkowicie w zasięgu ręki.

Często zadawane pytania