Quan un empleat amb accessos crítics marxa: com preservar les evidències digitals
Molts conflictes amb extreballadors es perden per una raó simple: quan l'empresa vol revisar què ha passat, les evidències ja no existeixen. Els equips s'han formatat per tornar-los a assignar i els registres del núvol han caducat.
El mateix dia de la sortida
- Retira tots els accessos: correu, VPN, aplicacions al núvol, comptes d'administrador i contrasenyes compartides.
- Recull mòbils, tauletes i portàtils i no els formatis ni els tornis a assignar.
- Guarda'ls precintats i documenta qui els té i des de quan (cadena de custòdia).
Els primers dies
- Exporta els registres d'auditoria del núvol (per exemple, Microsoft 365): es conserven durant un temps limitat.
- Comprova si s'han esborrat fitxers, correus o carpetes compartides: alguns només es poden recuperar durant un termini curt.
- Revisa la consola de l'antivirus i dels sistemes de gestió de dispositius.
Què pot demostrar un peritatge
- Si un dispositiu s'ha restablert de fàbrica i quan.
- Quants fitxers s'han esborrat d'un ordinador i quins programes s'han desinstal·lat.
- Quins continguts del núvol s'han eliminat, quan i des de quina adreça IP.
Com més aviat s'actua, més evidències es conserven. Un perit pot fer l'adquisició forense dels equips abans de qualsevol altra manipulació.