Plan powstaje przed podróżą
Laptop zostaje w pociągu. Pracownik pamięta ostatnią stację, ale nie wie, czy komputer był wyłączony. W takiej sytuacji liczy się wcześniejsze przygotowanie: ewidencja urządzeń, szyfrowanie dysku, bezpiecznie przechowywany klucz odzyskiwania i sposób kontaktu z IT dostępny poza laptopem.
Ustal, które dane mogą być przechowywane lokalnie, a które powinny pozostać w zarządzanej usłudze. Sprawdź kopie dokumentów i przywrócenie pracy na urządzeniu zastępczym. Sam zakup narzędzia zarządzania nie potwierdza, że konkretny laptop jest prawidłowo zarejestrowany i objęty politykami.
Zgłoszenie bez czekania na pewność
Pracownik powinien zgłosić podejrzenie utraty od razu, także gdy nadal szuka torby. Zapisz godzinę ostatniego użycia, miejsce, numer urządzenia i stan ekranu: wyłączony, zablokowany czy odblokowany. Zapytaj, czy razem z komputerem zginął telefon, klucz bezpieczeństwa lub kartka z danymi dostępowymi.
Nie obiecuj, że szyfrowanie zamyka sprawę. Jego znaczenie zależy między innymi od rzeczywistej konfiguracji i stanu urządzenia. Unikaj oceniania pracownika podczas zbierania faktów; niepełne informacje przekazane szybko są użyteczniejsze niż późne, pozornie pewne zapewnienia.
Ogranicz dalsze użycie kont
Administrator z bezpiecznego urządzenia sprawdza zarządzanie laptopem i kontami. Zależnie od sytuacji blokuje urządzenie lub dostęp, unieważnia sesje i certyfikaty VPN oraz zabezpiecza metody logowania, które również zginęły. Priorytetem są poczta, pliki firmowe i dostęp administracyjny.
Przygotuj mapę usług, ponieważ odebranie sesji w jednym systemie nie musi odwołać dostępu w innym. Dla każdego działania zanotuj wynik i ograniczenia. Nie usuwaj pośpiesznie rekordu urządzenia z systemu zarządzania: możesz stracić możliwość dalszego wydawania poleceń lub potrzebny kontekst zdarzenia.
Kasowanie zdalne ma warunki
Zdalna blokada i kasowanie zależą od platformy, konfiguracji, uprawnień oraz kontaktu urządzenia z usługą. Polecenie oczekujące nie oznacza wykonanego kasowania. Sprawdź status zadania i ostatnią komunikację; nie uznawaj danych za usunięte wyłącznie dlatego, że kliknięto przycisk.
Decyzję o kasowaniu podejmuje wskazana osoba po ocenie danych, własności sprzętu i potrzeby zachowania dowodów. Na urządzeniu prywatnym zakres działania może obejmować również dane osobiste. Nie podejmuj samodzielnej próby odzyskania sprzętu od podejrzanej osoby na podstawie wskazania lokalizacji.
Oceń informacje i ślady dostępu
Ustal, jakie dokumenty znajdowały się na dysku, które foldery synchronizowano i jakie sesje mogły pozostać otwarte. Odróżnij potwierdzone fakty od przypuszczeń. Administrator sprawdza dostępne logowania i alerty, a właściciel informacji określa konsekwencje biznesowe.
Jeśli zdarzenie może obejmować dane osobowe lub zobowiązania wobec klienta, przekaż ustalenia osobie odpowiedzialnej za ochronę danych i obsługę umów. Potrzebę zgłoszeń ocenia się dla konkretnej sytuacji. Brak alarmu w monitoringu nie jest dowodem, że nikt nie miał dostępu do danych lokalnych.
Odzyskany sprzęt też wymaga sprawdzenia
Przywróć pracownikowi dostęp na przygotowanym urządzeniu zastępczym, używając zweryfikowanych kopii i nowych metod logowania, jeśli poprzednie utracono. Nie omijaj zabezpieczeń tylko po to, aby szybciej wrócić do pracy. Zapisz, czego nie udało się odtworzyć i skąd wynika luka.
Odnaleziony laptop najpierw trafia do kontroli technicznej, a nie od razu do sieci firmowej. Ustal, czy wymagane jest ponowne przygotowanie systemu. Zakończ incydent krótkim przeglądem: czy zgłoszenie było łatwe, ewidencja poprawna, a przywrócenie dokumentów rzeczywiście działało.
Źródła: Microsoft Learn — Device actions · Microsoft Learn — Wipe devices with Microsoft Intune · NCSC — Advice for end users