Commencez par prendre des captures d'écran de ce que vous trouvez. Pour les données qui vous appartiennent, vous devez les cataloguer. Personnellement, je le téléchargerais pour que vous ayez une référence. Vous devez prendre des captures d'écran de vos propres données et éviter les données qui ne sont pas les vôtres. Assurez-vous d'inclure les URL. Documentez-les d'une manière qu'un avocat peut comprendre. Cela risque de devenir un problème juridique et non un problème informatique. Je dis "captures d'écran" parce que c'est sans ambiguïté et que les avocats comprennent les captures d'écran.

Contactez vos avocats internes, ainsi que vos responsables de la communication ou des médias. Vous devez mettre cette brèche sur leur radar. Les avocats devront alors se pencher sur le contrat commercial avec le contractant, probablement via l'équipe de gestion de compte si vous travaillez pour une grande entreprise ancienne. Personne dans la haute direction ne voudra en savoir plus sur l'IDS préféré de tous: Twitter. Vos équipes de communication / relations publiques devront traiter tous les messages qui en découlent. Votre équipe de direction devra peut-être être impliquée. Vous devriez obtenir des conseils de votre DSI, sauf si vous êtes le CIO, auquel cas je serais enclin à informer les gens en interne.

Contactez le responsable de la protection des données de votre entreprise. C'est peut-être l'avocat. Ils décideront si la violation doit être notifiée GDPR / ICO. Vous devez le faire rapidement car vous avez 72 heures pour prendre une décision à partir du moment où vous en êtes conscient; cela inclut le week-end (ne cherchez jamais d'incidents un vendredi…). Votre DPO vous conseillera. Si vous êtes le DPD, vous voudrez peut-être engager le conseiller juridique externe de votre entreprise pour confirmer vos décisions.

Une fois que vous aurez examiné les données, vous pourrez indiquer le nombre de personnes concernées, si tout. Vous serez également en mesure de déterminer si la violation de données affecte l'un de vos clients car vous pourriez avoir une obligation contractuelle de les informer.

Contactez la société d'hébergement. Si c'est quelque chose comme GitHub, ils peuvent être enclins à bien jouer. Vous devrez peut-être demander à vos avocats de leur écrire en tant que dirigeants de l'entreprise.

Contactez le contractant, idéalement via leur entreprise sous contrat, et via l'avocat interne. Demandez-leur de supprimer ce qui s'y trouve.

Vous pouvez maintenant commencer à évaluer l'impact matériel sur votre entreprise. Les informations d'identification, les clés et autres jetons d'authentification devront être modifiés, je suppose.

En fonction de la taille de votre entreprise, de votre appétit pour le risque et de votre taille de poche, vous voudrez peut-être envisager de faire appel à une criminalistique. type entreprise pour aller à la recherche de données similaires. Oui, je sais que c'est un peu le théâtre de la sécurité, mais si vous travaillez pour une entreprise FTSE100, alors un rapport avec un badge d'audit Big4 disant "plus de problèmes" est exactement ce dont vous avez besoin si le midden frappe le moulin à vent. (Je suis étonné de voir ce que je vois de grandes entreprises dépenser sur de tels rapports car, bien sûr, la même chose d'une personne interne est souvent considérée comme peu importante).

Je ne suis pas sûr des données qui n'est pas à vous. Si vous commencez à essayer de vous engager avec des tiers, il vous sera demandé quelles données vous avez obtenues d'eux et ils sont tenus de vous demander de confirmer que toutes les données que vous avez prises ont été supprimées. Personnellement, je serais enclin à ignorer toutes les données qui ne sont pas les miennes. Vous voudrez peut-être faire une divulgation à qui que vous pensez être le propriétaire des données, entièrement à vous.

Vous mentionnez keylog; si vous vous demandez pourquoi un individu peut avoir un enregistreur de frappe sur son propre PC, alors bien pour être généreux, il pourrait l'utiliser comme une simple sauvegarde de ce qu'il tape. Je connais des gens qui ont fait ça.

À part: Enfin, comme observation tangentielle, ce que vous avez trouvé n'est pas si rare. Les gens stockent toutes sortes de déchets; par exemple, des personnes relient leur stockage de données à domicile à Internet via FTP: nous effectuons des évaluations régulières pour les données contenant les chaînes de notre société.

Vous souhaitez généralement contacter la société d'hébergement pour la retirer et conserver toutes les données et tous les journaux sous une suspension légale.

Vous pouvez également contacter les autres entreprises concernées.

Légalement, vous devrez contacter un avocat et les forces de l'ordre de votre juridiction.

Cela devrait aller de soi, mais assurez-vous que ces informations de connexion ne fonctionnent pas sur votre système. S'ils n'ont pas été désactivés lorsqu'il a quitté votre organisation (alors qu'ils auraient dû l'être), vous voudrez vérifier vos journaux d'accès pour vous assurer qu'ils n'ont pas été utilisés depuis son départ - s'ils se trouvaient sur un site Web public où n'importe qui pourrait les trouver, vous devriez supposer que quelqu'un les a essayés.

Gardez un journal soigné de tout ce que vous trouvez, y compris des détails comme quand et comment vous le trouvez. Les forces de l'ordre voudront savoir. Vous devrez peut-être très bien témoigner devant le tribunal à ce sujet un jour - même si votre entreprise ne poursuit pas, les autres entreprises pourraient le faire, et vous aurez l'air plus professionnel si vous avez tous les détails prêts lorsqu'ils vous appellent comme témoin.

Si vous êtes un membre régulier du personnel de l'entreprise, votre escalade correcte doit passer par l'équipe d'Infosec, et revenir aux services juridiques et informatiques si votre entreprise n'est pas assez grande pour avoir une équipe Infosec dédiée. Je copierais également les ressources humaines sur n'importe quelle communication.

C'est un scénario extrêmement sérieux. Si vous ne savez pas quoi faire (et le fait que vous demandez très judicieusement des conseils sur Stack Exchange montre que ce n'est pas le cas), vous devez le transmettre aux équipes de votre entreprise qui le font.

N'essayez pas de faire quoi que ce soit en dehors de l'entreprise par vous-même.

Fournissez à vos équipes Infosec / IT / Legal les URL des informations hébergées sur ce site.

Si vous avez téléchargé des informations relatives à d'autres sociétés, supprimez-les. Ce sont des informations confidentielles dont vous ne devriez pas être en possession. Au lieu de cela, laissez vos équipes Infosec / IT / Legal contacter les autres sociétés à titre officiel.

Pour le faire retirer, vous pouvez demander à un avocat américain d'émettre un avis de retrait DMCA au fournisseur d'hébergement, affirmant que vous êtes propriétaire du contenu et que vous n'avez pas consenti à sa distribution - cela devrait obtenir une réaction immédiate si le fournisseur d'hébergement respecte les avis DMCA, auxquels l'entrepreneur peut répondre.

J'ai été dans une situation similaire. J'ai contacté mon patron et le propriétaire immédiatement (nous n'avions que 25 personnes). Le propriétaire s'est occupé de tout, mais il m'a demandé d'être disponible pour un appel téléphonique. Comme cela impliquait un entrepreneur du DOD aux États-Unis, c'était une responsabilité du DOD. On ne nous a jamais dit le résultat.

Laissez le propriétaire / directeur de l'exploitation / l'avocat de l'entreprise contacter les forces de l'ordre.

Les forces de l'ordre américaines adorent piéger les gens pour parjure. Ayez toujours les conseils d'un avocat et un avocat présents lorsque vous parlez avec les forces de l'ordre.

Laissez les avocats gérer toutes les captures d'écran.

Laissez les forces de l'ordre informer les autres entités de la fuite de leurs informations sensibles.

Ceci est un ajout à l'autre réponse du haut (actuellement). Je comprends que cela fait déjà 3 jours et que nous ne verrons pas de réponse d'OP, mais je suggère fortement à tous ceux qui verront cela leur arriver de considérer ce qui suit.

Comprendre comment les données les fuites se produisent généralement: les entrepreneurs tiers sont ciblés en premier. Je vous dirai que même l'acteur de la menace la plus faible, mais sérieuse, a la capacité de rassembler d'immenses foules de données sur votre entreprise, les sous-traitants et ses internes afin de savoir qui sont les sous-traitants. Vous ne le croyez peut-être pas, mais les logiciels RH que votre entreprise utilise pour gérer ses employés sont plus vulnérables qu'un chat sans défense coincé par 10 loups.

Souvent, ces sous-traitants ne sont pas sérieux au sujet de la sécurité et sont très plus facile à pénétrer que l'entreprise elle-même qui aurait pu renforcer les défenses. Pensez-y de cette façon - pourquoi passer par les défenses de l'entreprise principale alors que vous pouvez vous en prendre à ses sous-traitants ou à ses employés de niveau inférieur qui n'ont aucune idée de la sécurité?

Par procuration, je connais un cas où un toute la division de recherche du pays, composée d'universités, du département de la défense et d'autres, disposait de plusieurs serveurs sur lesquels ils téléchargeaient "les résultats de la recherche schémas d'&". Il y avait un professeur qui avait un vieux serveur de discussion très abusable. Ils sont entrés dans le réseau de recherche assez costaud via le serveur de discussion de ce type après avoir flipper près d'une douzaine d'ordinateurs avant de s'y rendre.

Vous pourriez avoir un cas où un entrepreneur a été piraté. Les personnes qui se retrouveraient en prison comme celle-ci et verraient leur vie ruinée sont très, très rares et souvent malades mentales. Statistiquement parlant, il n'a aucun moyen de le faire lui-même et, en revanche, cela signifie que quelqu'un d'autre a divulgué les informations pour nuire à la société principale. Ce n'est qu'un pion.

Vous avez également laissé entendre que c'était une possibilité forte avec "pourquoi ferait-il un keylog lui-même?". Personne ne fait ça. Vous avez également dit que vous avez vu des décharges de journaux et de jetons à usage unique. Selon vous, qui pourrait les rechercher lorsque vous pensez à l'entrepreneur, un pirate informatique ciblant l'entreprise par l'intermédiaire de cet entrepreneur et de l'entreprise?

Quelque chose sent mauvais ici.

En haut réponse: allez voir un avocat, mais n'allez pas de mauvaise foi.

Commencez par vous suggérer de modifier les informations d'identification de tout ce que vous savez. Il y a des pirates qui aiment ce type de données et l'utilisent pour leur propre usage, comme les cyberattaques, les rançons, etc. .

Celles-ci sont importantes. Protégez d'abord votre entreprise. Plus tard, vous pouvez engager des poursuites judiciaires contre la personne.