Аппаратная экспертиза нужна, когда подозрение касается самого компьютера: посторонняя плата или подменённый накопитель. Что сотрудник копировал, исследует экспертиза обстоятельств использования компьютерных средств; копирование на флешку Windows обычно не записывает, о нём судят косвенно.
Уволенному отключите вход, VPN и облачные сервисы; общие пароли смените, проверив, где они прописаны. Учётную запись, ящик, объект компьютера в домене и устройство в Entra ID не удаляйте: с двумя последними удаляется хранящаяся в каталоге копия ключа BitLocker. Лицензию почты не снимайте: в Microsoft 365 ящик без лицензии удаляется через 30 дней. Работающего блокируют по решению руководства с юристом; копии почты и журналов — в пределах локальных актов о контроле служебной почты и устройств: от этого зависит, примет ли суд доказательство.
Выключенный компьютер не включайте и ничего на нём не ищите. Включённый, если он цел, не выключайте: выньте сетевой кабель, выключите Wi-Fi, ноутбук оставьте на зарядке, специалиста позовите в тот же день. Если установлен факт неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав людей, оператор уведомляет Роскомнадзор: в течение 24 часов с момента выявления — об инциденте, в течение 72 часов — о результатах внутреннего расследования.