Кейс

Выгрузка клиентской базы перед увольнением

В журнале CRM обнаружена массовая выгрузка контактов. Как проверить состав экспортированных данных и не подменить технические факты предположениями о действиях человека.

Суть спора

После увольнения менеджера компания обнаружила экспорт клиентской базы под его учётной записью. Сотрудник отрицает передачу сведений третьим лицам и указывает, что доступ к рабочему компьютеру имели коллеги.

Запись об экспорте подтверждает событие в системе, но сама по себе не устанавливает человека за компьютером, адресата передачи или дальнейшее использование информации.

Объект исследования

Журнал аудита CRM и параметры задания экспорта

Предоставленный образ рабочего компьютера

Журналы входа, VPN и управления доступом

Сохранившиеся файлы выгрузки и сведения об их происхождении

Вопросы эксперту

Была ли выгрузка фактически завершена?

Какой состав данных подтверждён сохранившимися материалами?

Есть ли согласованные по времени следы сохранения или передачи?

Какие ограничения мешают установить пользователя устройства?

Методики и инструменты

Исследование копий с фиксацией происхождения и контрольных сумм
Корреляция сессий, заданий экспорта и файловых событий
Сопоставление структуры выгрузки с данными CRM
Раздельная оценка фактов доступа, копирования и передачи

Ход исследования

Этап 1 · Сохранение материалов · Фиксируют источники журналов и образ носителя, работают с проверенной копией.

Этап 2 · Проверка экспорта · Различают запуск, завершение задания и скачивание результата.

Этап 3 · Сопоставление следов · Сравнивают время сессии и обнаруженного файла, проверяют подтверждающие записи других систем.

Этап 4 · Оценка границ · Отдельно указывают события, для которых нет достаточных материалов или однозначной атрибуции.

Результаты исследования

Подтверждённая выгрузка

В ходе исследования журнал фиксирует завершение экспорта, а на копии компьютера найден файл соответствующей структуры.

Состав сведений

В найденном файле присутствуют контакты и история обращений; иные категории данных не подтверждены.

Передача не установлена

В предоставленных материалах нет достаточных следов отправки этого файла внешнему получателю.

Атрибуция ограничена

Общий доступ к рабочему месту не позволяет отождествить учётную запись с конкретным человеком.

Выводы и практическая польза

В этом сценарии можно подтвердить выгрузку и наличие файла на исследуемом носителе. Утверждения о передаче конкуренту и личности исполнителя требуют дополнительных независимых данных.

Что даёт такое исследование

Карта подтверждённых событий помогает уточнить предмет дальнейшей проверки и отделить доказанные действия от подозрений.

Материалы для первичной оценки

Для оценки задачи подготовьте описание спорного периода, перечень доступных версий и источников, согласованные требования и вопросы к исследованию. Состав материалов, сроки и стоимость определяются после изучения конкретной ситуации.