Moment de sécurité
Un employé quitte l’entreprise.
Vos fichiers partent-ils aussi?
La plupart des vols de données par des employés qui partent surviennent dans les semaines précédant la lettre de démission. Voici la liste de vérification de départ qui protège vos données et votre position juridique, gratuite à suivre, sans inscription.
Obtenir une analyse judiciaire (en anglais) Voir la liste de vérification
Vous soupçonnez une exfiltration en cours en ce moment? Appelez ThreeShield : 1-403-538-5053
La liste de vérification de départ
1. Conservez d’abord, désactivez ensuite
Avant de désactiver quoi que ce soit, placez la boîte aux lettres en conservation pour litige, faites un instantané du OneDrive et exportez l’activité de l’utilisateur dans le journal d’audit. Supprimer le compte 30 jours après le départ est normal, mais découvrir au jour 45 que vous aviez besoin des journaux coûte cher. La conservation vous prend une heure; elle peut vous éviter une poursuite.
2. Examinez l’activité dans SharePoint et OneDrive des 30 à 60 derniers jours
Cherchez dans le journal d’audit les téléchargements en masse, les synchronisations massives de bibliothèques que la personne consultait rarement et les fichiers copiés des sites d’équipe vers son OneDrive personnel. Un représentant qui synchronise tout le dossier d’exportation du CRM deux semaines avant de démissionner est le scénario classique.
3. Vérifiez les partages externes créés par la personne
Les liens anonymes et les partages vers des adresses personnelles survivent au compte. Énumérez tous les liens de partage externe créés récemment par l’utilisateur, notez la destination de chacun et révoquez ceux qui n’ont aucune raison d’être pour l’entreprise. C’est le canal d’exfiltration que tout le monde oublie.
4. Cherchez les règles de transfert et les copies sur clé USB
Vérifiez s’il existe des règles de boîte de réception ou un transfert de la boîte aux lettres vers une adresse personnelle, souvent configurés des semaines à l’avance. Si la personne avait un portable de l’entreprise, examinez l’historique des périphériques USB et les grosses copies locales avant que l’appareil soit réinitialisé pour la prochaine embauche.
5. Révoquez tout, pas seulement le mot de passe
À la date de fin d’emploi : désactivez le compte, révoquez les sessions et les jetons d’actualisation, supprimez les méthodes d’AMF, révoquez les mots de passe d’application et les autorisations OAuth, et désactivez tous les liens partagés associés au compte. N’oubliez pas les outils SaaS tiers qui s’authentifient en dehors de Microsoft 365.
6. Documentez une chaîne de possession
Si quelque chose semble anormal, notez ce que vous avez trouvé, quand, qui a accédé aux preuves et comment elles ont été stockées, avant d’en parler à quiconque à l’extérieur des TI et des RH. Des preuves manipulées à la légère se font contester; un simple journal daté de qui a touché à quoi garde vos constatations utilisables dans un litige.
Sachez avant qu’ils remettent leur avis
Surveillance de SharePoint et de OneDrive
Lavawall® surveille les téléchargements en masse, les synchronisations inhabituelles et les nouveaux partages externes, avec l’attribution à l’auteur de l’action; la phase de collecte est donc signalée pendant que la personne travaille encore pour vous.
En savoir plus →Surveillance des changements de fichiers sur site
La même visibilité pour vos serveurs de fichiers : qui a lu, copié, modifié ou supprimé quoi, et quand. Votre examen de départ prend quelques minutes plutôt qu’un après-midi à fouiller les journaux.
En savoir plus →Détection d’intrusions dans M365
Les règles de transfert, les connexions suspectes et l’abus de jetons sont aussi la façon dont les employés qui partent conservent leur accès après leur dernier jour. Lavawall® émet une alerte pour tout cela.
En savoir plus →Il vous faut des constatations qui tiennent la route dans un litige?
ThreeShield, l’équipe CISSP/CISA qui conçoit Lavawall®, réalise des analyses judiciaires de l’activité des employés qui partent et livre des rapports de qualité probante, avec une chaîne de possession documentée, prêts pour votre avocat ou votre assureur.
Questions fréquentes
- Dois-je désactiver le compte immédiatement?
- Désactivez l’accès à la date de fin d’emploi, mais conservez d’abord les journaux d’audit, la boîte aux lettres et le OneDrive. Supprimer le compte trop vite peut détruire les preuves dont vous aurez besoin s’il s’avère que des fichiers sont partis avec la personne.
- Jusqu’où dois-je remonter?
- Au moins 30 jours; 60 ou 90 jours si le départ est conflictuel ou si le poste donnait accès à des données sensibles. Les personnes qui prévoient emporter des fichiers commencent habituellement à les rassembler avant de remettre leur avis.
- Quelqu’un peut-il produire un rapport utilisable dans un litige?
- Oui. ThreeShield réalise des analyses judiciaires de l’activité des employés qui partent et produit des rapports de qualité probante, avec une chaîne de possession documentée.