Há suspeita de que um funcionário que está saindo levou dados com ele. Como você conduz isso?

Trate como uma investigação conjunta com o jurídico e o RH desde a primeira hora, porque casos internos carregam consequências trabalhistas e de privacidade que uma resposta puramente técnica consegue arruinar. Preserve a evidência antes de cutucar qualquer coisa, e depois revise só o que você está autorizado a revisar: acesso a arquivos e anomalias de volume, sincronização em nuvem e uploads para armazenamento pessoal, mídia removível, encaminhamento de e-mail e logs de impressão. Reporte fatos observados, nunca conclusões sobre intenção.

A primeira ligação não é técnica. Eu aviso o jurídico e o RH e confirmo o que eu estou autorizado a olhar, porque em algumas jurisdições ler conteúdo pessoal em um dispositivo corporativo sem a base correta faz a investigação inteira ser descartada. Depois preservação: imagem do endpoint, preservar a caixa de correio e o armazenamento em nuvem no lugar com retenção legal, e congelar a retenção de log das fontes relevantes antes de qualquer coisa expirar. Depois a revisão, discretamente, com acesso ao caso restrito, porque se a pessoa perceber, a evidência tende a evaporar. Eu olho volume de acesso a arquivos contra a baseline dela mesma, clientes de sincronização em nuvem e uploads para armazenamento pessoal, inserção de mídia removível e eventos de cópia, regras de encaminhamento de e-mail e anexos grandes de saída, e trabalhos de impressão. O meu relatório diz o que aconteceu e quando, com hashes e horários: esta conta copiou estes arquivos para este dispositivo neste horário. Eu não escrevo que ela pretendia roubar algo, porque isso é do RH e do jurídico, e eu já vi um caso desabar quando um analista opinou.