Экспертиза может установить, когда и под какой учётной записью с рабочего компьютера уходили данные на внешний почтовый адрес или в облачное хранилище и в каком объёме. Содержимое сетевые журналы не показывают; совпадение с конкретным файлом подтверждает только уцелевшая копия. Копирование на флешку Windows по умолчанию не записывает; о нём судят косвенно, по подключению носителя и обращениям к файлам. Относятся ли сведения к коммерческой тайне и был ли умысел, решает суд.
Если сотрудник уволен, закройте ему вход, VPN и облачные учётные записи, а учётную запись и ящик не удаляйте; лицензию почтового сервиса не снимайте: в Microsoft 365 ящик без лицензии удаляется через 30 дней. Объект его компьютера в домене и устройство в Entra ID не удаляйте: с ними удаляется хранящаяся в каталоге копия ключа BitLocker. Ноутбук не включайте и сами на нём ничего не ищите.
Если установлен факт неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав людей, оператор уведомляет Роскомнадзор: в течение 24 часов с момента выявления — об инциденте, в течение 72 часов — о результатах внутреннего расследования. Что было в самих файлах, исследуют средствами информационно-компьютерной экспертизы.