متى نحتاج إلى التحقيق الجنائي الرقمي: كيف نتعامل مع جهاز حاسوب لموظف مشبوه؟

افصلوا كابل الطاقة، وأغلقوا شاشة اللابتوب ولا تضغطوا على زر التشغيل أبداً. ضعوا الجهاز في خزانة أو درج مقفل بموجب محضر استلام موقع من موظفين مفوضين، مع تدوين نوع الجهاز، وموديله، ورقمه التسلسلي، وحالة شريط الإغلاق المحكم (المشمع) بوضوح.

لفحص أجهزة العمل الداخلية، تعتبر سياسات أمن المعلومات وإقرارات الإخطار الموقعة عند التعيين أمراً جوهرياً. إذا لم يكن هناك نموذج تسليم عهدة يثبت أن الجهاز مخصص لأغراض العمل فقط، فقد يستغل الطرف الآخر عملية الفحص لرفع دعوى مضادة بدعوى انتهاك الخصوصية وحرمة الحياة الخاصة.

السنة الماضية صار عندنا موقف مشابه. أخذنا خدمة أخذ صورة جنائية وتقرير من شركة مستقلة لجهازين كمبيوتر، وطلعوا لنا فاتورة إجمالية 32.000 TL. لكن بفضل ذلك التقرير أصدرت النيابة قرار حجز على المواد الرقمية في بيت المشتبه به خلال 3 أسابيع. برأيي الفلوس اللي اندفعت تستاهل بكل تأكيد.

في إثبات النسخ يتم فحص سجلات اتصال USB. من خلال تحليل سجلات USBSTOR تحت Windows Registry وملف 'setupapi.dev.log' وبيانات 'Shellbags' يتم إثبات تقنياً وبشكل قاطع مئة بالمئة أي قرص خارجي وبأي رقم تسلسلي تم توصيله ومتى، وأي مجلدات تم استعراضها.

هل كان مفتوحاً على الكمبيوتر الذي يستخدمه الموظف حساب بريد إلكتروني شخصي أو جلسة شخصية خارج ملكية الشركة؟ وأيضاً سجل نقل الـ 40 GB الذي ذكرته من جهة السيرفر، هل هو بالضبط سجل حركة الشبكة أم سجل صلاحيات الوصول إلى ملفات السيرفر؟

تعديل: كتبت خطأً أعلاه، أرجو المعذرة.

حتى لو دفعت مبلغاً خيالياً لشركة أدلة جنائية خاصة، المحكمة لا تعتمد ذلك التقرير وحده كأساس للحكم. بمجرد أن يعترض الطرف الآخر سيتحول الملف أصلاً إلى خبير عدلي في المحكمة. إذا كانت ميزانية شركتك محدودة فقد يكون من المنطقي أكثر تسليمه مباشرة إلى النيابة ووضعه في الأمانات العدلية.

قبل ثلاث سنوات في قضية مشابهة، قام مدير شركتنا بفتح الكمبيوتر وإدخال USB فيه ونسخ لقطات شاشة. في مرحلة المحكمة، قال محامي الطرف الآخر 'تم الوصول إلى الملفات في هذه الساعة، وموكلي لم يكن في الشركة في ذلك الوقت، الأدلة تم التلاعب بها' فأبطل التقرير وخسرنا القضية. لذلك لا تلمسوه أبداً.

أنا أقول لا تدعوا قسم الـ IT يلمس الجهاز أبداً. عندنا بسبب زميل فتح الكمبيوتر عشان يفحص اللوغ انفجرت القضية في المحكمة، أنظف حل هو تسليم الشغل للي يفهم فيه.

إذا دخلنا في التفاصيل: عندما تحاول تغيير كل شيء دفعة واحدة، لا يستقر أي شيء.

مثبت بالتجربة.

أنت محق.

ملخص سريع للجدد: الإجابة تختلف كثيراً حسب القطاع، لا توجد قاعدة عامة.

هذا كل شيء، أرجو المعذرة إذا أطالت.

أنا أيضًا أوافق على هذا الرأي. كل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا.

أتمنى أن يفيدك هذا.

دعني أشرح كيف يتم التطبيق عملياً. إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي.

إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا. لو كنت مكانك، لسلك هذا المسار.

دعني أوضح الجانب التقني قليلاً وابدأ بتجربة صغيرة، لا تربط كل شيء دفعة واحدة.

لو كنت مكانك، لسلك هذا المسار.

أحسنت في فتح هذا العنوان.

شكرًا، هذا هو الجواب الذي كنت أبحث عنه... المسألة ليست الرقم، بل الأساس الذي بُني عليه.

أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار... أتمنى أن يفيدك هذا.

شكرًا جزيلًا، كان مفيدًا جدًا. ابدأ بتجربة صغيرة، لا تربط كل شيء دفعة واحدة.

انظروا أولاً إلى البيانات المتاحة لديكم عند اتخاذ القرار. اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

أخذت ملاحظة، شكرًا لك. الخطأ المرتكب من جانب ما هو التحقيق الجنائي الرقمي قابل للإصلاح عادةً، لكنه مكلف.