On soupçonne un salarié sur le départ d'emporter des données. Comment gérez-vous ça ?

Traitez ça comme une investigation conjointe avec le juridique et les RH dès la première heure, parce que les affaires internes portent des conséquences en droit du travail et en vie privée qu'une réponse purement technique peut ruiner. Préservez les preuves avant de fouiller quoi que ce soit, puis n'examinez que ce que vous êtes autorisé à examiner : accès aux fichiers et anomalies de volume, synchronisation cloud et envois vers du stockage personnel, supports amovibles, transfert de courrier et journaux d'impression. Rapportez des faits observés, jamais des conclusions sur l'intention.

Le premier appel n'est pas technique. Je préviens le juridique et les RH et je confirme ce que je suis autorisé à regarder, parce que dans certaines juridictions lire du contenu personnel sur un appareil professionnel sans base valable fait annuler toute l'investigation. Ensuite la préservation : imager le poste, préserver la boîte mail et le stockage cloud sur place avec une conservation légale, et geler la rétention des journaux pour les sources concernées avant que quoi que ce soit n'expire. Puis l'examen, discrètement, avec un accès au dossier restreint, parce que si la personne s'en aperçoit, les preuves ont tendance à s'évaporer. Je regarde le volume d'accès aux fichiers face à sa propre base de référence, les clients de synchronisation cloud et les envois vers du stockage personnel, l'insertion de supports amovibles et les événements de copie, les règles de transfert de courrier et les grosses pièces jointes sortantes, et les travaux d'impression. Mon compte rendu dit ce qui s'est passé et quand, avec les hachages et les horodatages : ce compte a copié ces fichiers vers cet appareil à cette heure. Je n'écris pas qu'elle avait l'intention de voler quoi que ce soit, parce que ça revient aux RH et au juridique, et j'ai vu un dossier s'effondrer parce qu'un analyste avait fait de l'éditorial.