Vos données sont volées 😳 Suivez chaque téléchargement de fichier (méthode cachée)

Rédigez la politique avant de regarder quoi que ce soit

La surveillance sans politique écrite est la façon dont un administrateur se retrouve confronté à un litige au lieu de le résoudre. Gardez la politique sur une seule page : les machines de l'entreprise, les données de l'entreprise, ce qui est enregistré, qui peut lire les journaux et combien de temps ils sont conservés.

Informez le personnel – lors d'une réunion et par écrit – avant le début de la journalisation, et non après le premier incident, et conservez la politique signée avec les fichiers journaux. Si un journal est remis en question, la politique est votre réponse.

Activer le suivi des fichiers de points de terminaison

Le point de terminaison est la seule couche qui voit le fichier lui-même. Les plates-formes de gestion des points de terminaison de la classe DLP peuvent enregistrer les opérations sur les fichiers : quel fichier, téléchargé par quel utilisateur, à quelle heure, vers quelle destination. Ce record représente la différence entre « 2 Go ont quitté ce PC » et « la liste de prix a quitté ce PC ».

Confirmez qu'un agent est installé et génère des rapports sur chaque PC que vous avez l'intention de couvrir : un PC sans agent est invisible pour toute cette couche. Activez le traçage des fichiers ou l'audit de l'activité des fichiers pour les téléchargements, les dossiers de synchronisation dans le cloud et les supports amovibles.

Envoyez les enregistrements à la console centrale ou à un dossier de journaux protégé, pas seulement au PC lui-même : les journaux qui se trouvent sur la machine en cours d'examen peuvent être supprimés de cette machine.

Activer le journal du pare-feu Windows

Chaque PC Windows dispose déjà d'un journal de connexion en attente d'activation. Le journal du pare-feu ne nommera pas les fichiers, mais il prouvera à quelles adresses extérieures un PC a parlé, sur quels ports et à quel moment — la preuve corroborante pour tout le reste.

Dans le pare-feu Windows Defender avec sécurité avancée, ouvrez les propriétés du profil et définissez la journalisation pour enregistrer les connexions réussies. Ou définissez-le à partir d'une invite de commande élevée :

netsh advfirewall set allprofiles logging logallowedconnections enable

The log lands here — raise its size limit so a busy week does not overwrite the evidence:

%systemroot%\system32\LogFiles\Firewall\pfirewall.log

Définissez une alerte qui compte vraiment

Enregistrer tout et alerter sur rien est un classeur, pas un système de surveillance. Une bonne alerte vaut cinquante alertes ignorées.

Alerte en cas de téléchargements volumineux vers des destinations ne figurant pas sur votre liste approuvée : commencez généreusement et réduisez le volume à mesure que vous apprenez les habitudes normales de votre bureau. Attendez-vous à de fausses alarmes : les sauvegardes dans le cloud, les téléchargements de vidéosurveillance et les appels vidéo repoussent tous les données réelles, alors apprenez les signatures normales avant de traiter toute alerte comme un cas.

Fermez chaque alerte avec une raison écrite sur une seule ligne. Une alerte sans résultat enregistré n'apprend rien à personne.

Évaluez comme un auditeur, pas comme un espion

L'objectif de ce système est que les données cessent de dériver, et non que vous construisiez un dossier sur vos collègues. Gardez la routine ennuyeuse, régulière et documentée.

Comparez les couches avant de conclure quoi que ce soit : l'enregistrement du fichier de point de terminaison, la destination du pare-feu et le nom DNS doivent tous raconter la même histoire. Une ligne de journal est une question, jamais un verdict : parlez à l'utilisateur, recherchez une raison professionnelle et notez ce que vous avez trouvé.

Revérifiez la politique tous les quelques mois : nouveaux outils, nouveaux services cloud, nouveau personnel – la liste de surveillance doit correspondre au bureau que vous avez réellement.