#инцидент #расследование
История о расследовании, подставе и необратимости наказания.

В одной организации уже использовали систему контроля над информационными потоками. Офицер ИБ получил уведомление, о том, что на АРМ Иванова на флешку была записана информация содержащая коммерческую тайну. Дальше он сделал всё согласно протоколу: зашёл в кабинет, где работал Иванов; оповестил что произошёл инцидент информационной безопасности; попросил не покидать помещение и сдать имеющиеся накопители информации; а с Иванова истребовал объяснительную о произошедшем инциденте с утечкой информации. Дальше рассказ именно офицера ИБ, в прошлом оперативного работника: «ожидаемо в объяснительной Иванов написал «это не я … ничего такого не было…» Но! чувствую не врёт …. Забрал объяснительную и стал думать дальше, сопоставляя факты и гипотезы».

Зашёл в консоль, изучил инцидент и закралась ему в голову мысль посмотреть ретроспективно. В целом, у каждой флешки есть серийный номер - посмотрел на каких АРМ встречался этот серийник в течение прошлого полугода. И обнаружил что на компьютере Иванова флешку подключали сегодня, а ещё 10 раз за последние полгода - на соседнем компьютере Петрова.

Здесь уже можно «сложить один плюс один».

Вызвал Петрова, затем «5 минут ректального криптоанализа» и получил чистосердечное признание с восстановлением картины: «Петров планировал увольнение; знал, что используется система по контролю над информационными потоками; дождался когда Иванов ушёл на обед. А у Иванова-дебилушки пароль был на листочке под клавиатурой. Петров залогинился на АРМ Иванова; воткнул флешку; списал информацию; разлогинился, думая что никто ничего не узнает».