Zabezpečenie mojich prác proti odcudzeniu z PC

Pro tvoje účely by asi bylo nejlépe vytvořit si pomocí programu TrueCrypt (freeware) šifrovaný adresář. Je-li heslo dostatečně silné (delší, než cca 6 znaků a takové, aby se nedalo uhodnout - např. slovníkovou metodou, nebo aby to nebylo např. dívčí příjmení manželky kombinované s jménem syna), tak se k tvým datům nedostane nikdo. Pro přenášení potom používat komprimaci pomocí WinRARu, nebo 7-Zipu, rovněž s použitím dobrého hesla.
Samozřejmě, zapomeneš-li heslo, přicházíš o data, protože neexistuje metoda na uhodnutí hesla v reálném čase (pokud nehodláš počkat třeba 1000 let), ovšem, to je to, co právě potřebuješ.

obávám se, že toto je komplexnější dotaz.

Cetls vubec co chce? To cos mu poradil vubec nepotrebuje. On chce, aby k tem datum mel omezeny pristup i nekdo jiny.

Dosť pochybujem aby toto šlo nastaviť na Home Systeme, možno budeš musieť vytvoriť Server s doménou. Zamieril si do oblasti značne detailného riadenia práv user-a, na toto sú systémy pre podnikovú sféru.

Riešenie si zrejme budeš musieť zaplatit, u skutočne profesionálnej firmy.

Ďakujem za odpovede, som dosť z toho sklamaný že taká firma ako Microsoft pri vývoji OS nemyslela na ochranu údajov s možnosťou jednoduchého nastavenia užívateľských práv ku kontám používateľov. Šlo by možno o nejakú tabuľku úkonov, pri každom možnosť administrátora zaškrtnúť: POVOLIŤ/NEPOVOLIŤ.

Tak to zase nie, niečo nastaviť ide, karta zabezpečenie, nastaviť sa tam dajú reštrikcie pre usera.

Ty chceš viac.
Potrebuješ nastaviť detailne aj práva k hardwaru a to sa dá jedine úpravami v registroch. Pár školení a niečo praxe ako s tým pracovať, je potrebné mať za sebou. Pravidiel je kopa a naštudovať ich, nie je na jednorázové sadnutie si.

Ak sa to dá nastaviť, prečo tak obtiažne? Ak sa Microsoftaci snažili pri vývoji Windowsu7 o zjednodušenie práce s PC, prečo teda nedali možnosť jednoducho nastaviť ku kontám možnosti práv k hardwaru a softwaru. Dalo by sa to administrátorom nastaviť za pár sekúnd a nie kôli tomu chodiť na školenia. Ja som grafik, toto nie je moja parketa hrabať sa v registroch.

tak si najmi admina,ktory to vie, comu sa cudujes? Ty tiez, ked si grafik, nebudes riesit chladenie atomoveho reaktora alebo vypocet vyplaty zamestnancov.
Chces proste vec, ktora sa spravit da, ale vonkoncom nie so znalostami na urovni obycajneho uzivatela pc.

Windows je pre miliony absolútne nevzdelaných uživatelov, už len malinká časť možností reštrikcie ktoré umožňuje file system NTFS, spôsobuje userom neskutočné a pre nich neriešitelné problémy.
A tak ludia doma tieto veci, reštrikcie, nechcú.

Firmy ich potrebujú a žiadajú. Za ich aplikovanie sú ochotné platiť, a platia nemalé peniaze správcom sietí na plný úväzok alebo na dohodu.

Proste tak to je.

tak já to zkusím...
předem upozorním, že bych navrhoval jiné řešení, které bude dole. automaticky předpokládám omezený účet.
------
zabezpečení souboru či složky se dá podle acl/dacl signatur

stejně userovi musíš povolit minimálně právo čtení, jinak s tím nebude moci pracovat.
---
přístup k zařízením:
windows je povrchově koncipován aby umožnil přístup k čemukoliv (zvídavý človíček na sedmách zjistí, že si jeho profil může číst kdokoliv), systém nechápe zařízení, ovladače, schopnosti tak jak jsou, ale přistupuje k nim pomocí objektů- jsou to objekty. objekt hardisk jemuž je přiřazeno písmeno c a má cestu multi(0)disk(0)rdisk(0)partition(1) = 3 symbolické cesty, kde se dá zakazovat. to se dá ošoférovat pomocí winobj

------
síť se dá zakázat přeci v routeru- podle macka vybereš kdo jo a kdo ne.
-----
pokud bych já seděl za tím stolem a měl bych "nehlídaný čas" a pominu dětský postup- vyjmout disk, nahrát jinam, tak nabootovat erd a ukrást ti ten obrázek mi zabere cca. 2 minuty. tam by byl vhodný pytlíkovo truecrypt= není co krást.
----
pokud je uživatel zkušený, ukradne ti obrázek z ram- rammap a windbg, samotný bůh windows to zahrnul do přednášky.

suma sumárum- pokud má uživatel fyzický přístup k pc neuchráníš ho, pokud budeš načítat z chráněného serveru (no cache) neuchráníš ho, viz. paměť.
---
mé doporučení je web kamera a sledovat ho- smlouva bude obsahovat příslušné sledování.

Kamera problém nerieši. Možno keď vysvetlím moju požiadavku na konkrétnom príklade, tak niekoho napadne jednoduchšie riešenie. Napríklad:
V CORELi mám pomocou vektorovej grafiky vytvorené obrázky automobilov v presnej mierke. Sú kreslené z viacerých pohľadov (z boku, zo zadu, z predu, z vrchu) a je ich cez 200 typov. Keď príde zákazník že potrebuje polep auta, nemusím nič merať, stačí zadať typ auta a idem, kreslím rovno do pripravenej šablóny. Taktiež importujem do šablóny ďalšie šablóny vektorovej grafiky v krivkách(ďalšia mnou vopred pripravená grafika), ktoré môžem modifikovať(rozmer, farba, krivky, atď..)Nakoniec vznikne nový súbor xxxxx.cdr ktorý zákazníkovi pošlem mailom vo formáde PDF, alebo priamo vytlačím na A4 papier kôli odsúhlaseniu. Potom režem na plotri fólie,atď.
Zamestnanec bude môcť tak isto meniť šablóny, vytvárať nové súbory, robiť všetko čo sa týka tejto práce.
Nebude môcť dostať tieto veci z PC von na médium alebo mailom. Podotýkam aj z novo vytvoreného súboru sa dá šablóna rýchlo skopírovať ako "vrstva súboru cdr". Preto to všetko konvertujeme do pdf ak to má ísť mailom.
Zato pri prihlásení administrátora budem môcť doplniť nové šablóny do PC, kopírovať na moje nosiče alebo poslať mailom.
Možno by sa mali zabezpečiť len šablóny a vytvorené súbory. Lenže na ploter musia ísť vo formáte .cdr

"Vôbec by sa nemal pripojiť na internet ani prostredníctvom svojho mobilu."
Este ta nikto neudal za obmedzovanie ludskych prav a slobod? Dobre si precitaj ustavu SR.

"Ja som grafik, toto nie je moja parketa hrabať sa v registroch."
Spravne a tak to ma byt. Na hrabanie sa v registroch si mozes kupit sluzby roznych firiem, ktore to za teba urobia a este velmi radi.

Ak myslis, ze kupovat sluzby je zbytocnost, alebo je to neefektivne, mozes si samozrejme administrovat system sam. To ti MS dovolil vzhladom na licenciu.

Imho polepenie auta je take jednoduche, ze by to urcite zvladne kazdy sam zrejme.
Nac odbornikov, take nieco ani netreba. Kazdy sa stane odbornikom na vsetko.
Podla toho to aj vyzera. Vid Slovenska vlada.

Počuvaj KiloViktor, ak si zamestnáš 20 ľudí vo svojej firme ako ja tak im môžeš každému dovoliť sa namiesto práce hrať a surfovať po internete a na firmených PC a ešte im aj za to zaplať. Potom sa môžeme porozprávať o obmedzovaní ludských práv. Ja keď niekomu dám prácu tak bude makať a nie aby sa zabával alebo mi kradol moje KNOW HOW. Polep auta som uviedol ako príklad lebo systém je podobný. Nebudem tu predsa vyťahovať presnú náplň mojej práce ktorá je na úplne inej úrovni. Vidno že si toho ešte veľa nepreskákal. Chcel som si to proste nastaviť sám aby som si bol istý že to je tak ako chcem ja.

Chcel som si to proste nastaviť sám aby som si bol istý že to je tak ako chcem ja.

Otázka bezpečnosti dát je úzko špecializovaná téma, " samo " riešenia bez znalostí problematiky sú často riešenia budiace údiv a úsmev.....

zkusím odpovědět, že systémově neuhlídáš to "uložit jako"- to nemá systém v popisu. únikové cesty by se dali hlídat.

potřebuješ toho vyřešit hodně.
ten truecrypt řeší jen přístup k datům po fyzické krádeži disku (nebo jeho image). čili kolega to doporučil správně, ale přečetl si jen první řádek tvého dotazu.
systém: nasadit si do firmy dětské verze windows (home), které nemají žádnou rozumnou správu a zabezpečení ... ušetřil jsi na těch pc s kritickými daty 1000 korun, a teď tam chceš řešit bezpečnost? home verze jsou pro domácí prostředí, kde neuvažuješ krádeže dat ani restriktivní politiky, nemají mnoho možností navíc proti rozdělení uživatelů na users/administrators.
ostatně ani odpověď od kmochny nemá printscreeny z home verze.
omezené účty nemají právo instalovat nové ovladače ani vytvářet nová síťová připojení, instalovat soft (to nechrání před portable aplikacemi). ve windows jdou sice v registrech jednoduše zakázat konkrétní aplikace, které uživatel nespustí, ale je to nedostatečná a špatně hlídatelná ochrana. lépe to mívaly vyřešené různé systémy pro omezování děcek ve školách.
zákaz zápisu na různá média taky řešil kmochna.
přístup na síť: předpokládám že tiskárna i plotr jsou síťové, tu nemůžeš zrušit. ale pro uživatele bude potřeba vždy při startu zakázat bránu (router ven), nastaví se skriptem vždy jen administrátorovi. i tak předpokládám že síťové akce s odesíláním ven bys jako admoš řešil nejdřív odesláním na svůj pc, kde teprve bude plný přístup ven.
krádeže obsahu z ram bych se příliš neobával, zas to není úplně jednoduché, myslím že snadnější je to u bitmapové grafiky.
řek bych že je to na probrání s nějakou firmou co řeší bezpečenost - pro státní správu nebo pro školství.

Já bych to neřešil. prostě až ti to někdo ukradne a zpeněží, zažaluješ firmu která to bude vydávat za své a zpeněžíš to zase ty.

Myslim ze to co chces vpodstate urobit nejde. Akonahle tie subory moze citat, moze ich aj nejakym sposobom skopirovat (trebars si to posle cez COM port na nejaky vlastnorucne vyrobeny flashdisk ).
Ciastocna ochrana by bola dat mu len user ucet, a ten obmedzit tak silne aby nemohol nic instalovat (ani nove zariadenie) a odinstalovat USB ovladac a snad aj ASPI aby nemohol vobec pouzivat ani USB kluc ani vypalovat, ale to by asi ani nemohol tlacit atd. Proste to co chces sa prekryva s tym co nechces takze to mas blbe. Musis mu ten USB stick zakazat uplne, a ked ho chce pouzit tak jedine v tvojej pritomnosti na tvojom admin ucte. V normalnej firme sa na to urobi zmluva a prip. sa do dokumentov dava uricty poznavaci znak ktory nikto nevidi len ty vies kde je a kazdy kto pracuje z tym dokumentom dostane ten dokument s neviditelnym znakom inym. Typicky takyto znak je nejaka gramaticka chyba v nejakom slove alebo proste nieco pozmenene jedno pismeno v texte apod. Ak je to grafika tak nejake suradnice posunut o 1pixel alebo u bitmap dat tam vodotisk na LSB bit.
Potom ak zistis ze sa ten dokument dostal mimo tak vies podla poznavacieho znaku presne urcit cloveka od ktoreho to slo, a jeho zazalovat na sude.

P.S. idealne ak kontaktujes firmu ktora ti to nastavi co ide podla okolnosti pripadne doporuci postupy na serveri a routeri podla toho jakym sposobom tam riesite net a tlaciaren.

Musím reagovať.

1, všetky počítače, tlačiarne a ploter mi do firmy dodávala firma špecializujúca sa na predaj a servis hardwaru a softwaru v priebehu posledných 4 rokov. Nekupoval som ich niekde z výkladu v komerčnej predajni elektroniky. Taktiež boli dodané s nainštalovaným OS Home veria, čo mi nebolo ani vysvetlené ani doteraz som to nejako nepociťoval až keď nastal problem so zabezpečením dát.

2, dáta chcem zabezpečiť len na 1 PC na samostatnom pracovisku. Dáta budú zabezpečené len pre 1 užívateľa. Tento PC nebude pripojený na internet, nebude vo firemnej sieti, bude len komunikovať so svojou tlačiarňou a plotrom. Bude to počítač len na určitú grafickú činnosť. USB ovladač odinštalovať nemôžeme, je tam pripojená tlačiareň a ploter.
Riešenie typu " zablokovať prenos údajov " musíme riešiť tak, že zablokovať len užívateľovi. Ak si sadnem za tento PC ja a prihlásim sa ako administrátor, môžem vykonávať všetky operácie ako na nezabezpečenom PC.

3, Riešenie typu: žalovať na súde za krádež údajov....

Ten kto sa dostane k týmto grafickým šablónam podtatne zrýchli a uľahčí svoju prácu v oblasti vektorovej grafiky a a animácií. Na výslednom produkte nebude vidno že bol vytvorený pomocou týchto šablón. Len výrobca bude rád že vyrobil niečo o 70% rýchlejšie ako predtým. Nepôjde sa nikde chváliť ako a ak sa tým živí, určite tie veci ďalej nepredá. Dokázať že jeho produkty boli vyrobené takouto technológiou bude nemožné.

1. ja som mal na mysli specializovanu firmu na bezpecnost PC a nie nejakeho predajcu laika ktory vie akurat parametre z marketingoveho letaku.

2. ale mozes napr. odstranit ovladac usbstor, to je ovladac pre USB storage (diskove ulozisko). Ostatne USB zariadenia (tlaciaren a plotter) by mali normalne fungovat ptz pouzivaju iny ovladac. Dokonca tusim (neviem naisto) ze user konto vobec nedovoluje instalovat zariadenia takze ak tam strci USB stick tak by mu vobec nemal fungovat. Mozes si to skusit vytvor tam ucet s pravami user (v ovl.panely - sprava uzivatelov) a prihlas sa do toho konta a strc tam nejaky USB stick ktory si este nestrkal do toho PC pod adminom. Prip. pouzi hladanie (slovo usbstor) uz to tu raz bolo tusim diskutovane o tom a o user ucte.

Ostatne veci ktore pises (ze to nebude pripojene na internet) su OK tak potom nemusis zabezpecovat siet proste LAN pre usera uplne zakazes. Stejne tak bluetooth. Resp. ak tam bluetooth adapter vobec neni tak to je jedno ptz ak user konto nemoze instalovat nove zaraidenia tak nemusis nic zabezpecovat.

Ale stale si to moze napalit, to je dost tazko zabranit ptz moze pouzit nejaky portable program prip. ak tam je CD mechanika tak moze nabootovat iny OS, ja by som asi do takeho PC preistotu vobec nedal ziadnu mechaniku a do BIOSu by som dal heslo a nastavil natvrdo boot len z HDD a z nicoho ineho.

Stale ale nezabranis tomu aby ten PC otvoril a vybral disk a skopiroval vsetko mimo PC.

1, tá firma asi nie sú laici, inštalujú aj zložitejšie veci, napr. pokladničné a skladové systémy v hypermarketoch atď. Podľa mňa chceli ušetriť, tak inštalovali Home verziu. Asi tam zabehnem nech si to teraz rieša.

2,Odinštalovanie USB a CD mechaniky problém nerieši. Ja ako dministrátor chcem veľakrát do PC dostať práce čo som urobil doma na svojom notebooku a užívateľ ich len spracuje a aplikuje na dalšie zákazky.To sa bude dať len cez CD alebo USB. Zase Blue tooth je nainštalovaný - neviem ako ho užívateľovi zakázať.

3, PC neotvorí, dám tam bezpečnostńý šrób (niečo podobné ako na drahých AL diskoch áut - len v miniatúrnom prevedení), môžem tam hodiť aj plombu - to je asi najmenší problém.

1. Aj home verzia ma User ucet (P.S> ale davat ju do firmy je blbost z dovodu ze to nevie domenu a nema to group policies)

2. ved pisem ze pod adminom to fungovat bude. Ked si doteraz nepochopil co pisem tak sa to sam asi nenastavis a kontaktuj odbornu firmu, ale podla moznosti nie tu z bodu 1.

P.S> bluetooth mozes zakazat napr. tak ze v spravci zariadeni pravy klik - zakazat. A otestovat pod user uctom ze sa to neda povolit. Alebo ten BT modul uplne z PC vybrat.

ad 3) tak vyberie vpredu kryty na 3,5" mechaniky (za predpokladu ze je to daka ...tower bedna), posmatra v utrobach PC a pripoji si ten sata disk k svojmu ntb a skopiruje :D a bezpecnostny srob aj s plombou nic nezachrani

k verzím windows: do firemního prostředí nepatří home. jde s tím žít, ale pokud ti to dodavatel dodal jako standard místo profi verze, je to packal - a to i v případě, že nepotřebuješ pc přihlašovat do domény. nefunguje normální sdílení řízené uživatelskými právy, není běžně v nabídce karta oprávnění k položkám, není vzdálená plocha, nefungují group policy. všechno se pak musí nějak obcházet.
na ten konkrétní pc kde požaduješ vyšší zabezpečení by nějaká profi verze byla vhodnější. i když jak mi kmochna psal, jeho printscreeny jsou z home verze - ostatně tvé požadavky jsou takové, že potřebuješ podrobněji nastavovat více vlastností, což umí až aplikace třetí strany. řekl bych, že takové nastavení je nad znalosti běžného pc prodejce.

usb: pro sériový přenos dat (na plotr, tiskárnu, myš, klávesnici) zajišťuje běžný ovladač usb.
pro paměťová média (flashku, externí disk) je potřeba funkce mass storage device, kterou zajišťuje další ovladač usbstor.sys
takže buď je možné vyřadit tento ovladač (postihne to pak i správce). lepší postup je nastavení přes gpedit, anebo řídit přístup k různým objektům, viz výše.

z těch usb periferií pak vyplývá, že ten pc nutně nemusí mít dostupnou síť. to by šlo řešit buď změnou parametrů tcp/ip pod adminem (běžný user nemívá práva), nebo stopnutím služeb (workstation, server), nebo podobně jak usb - nastavením oprávnění pro zápis na síť.

krádež dat: photoshop umisťuje do dokumentů číslo licence, corel nedělá ani to. soubory nejspíš nejde označit nějakým tvým digitálním podpisem. ale jak píšeš, tebe poškodí už to že se k nim někdo dostane bezpracně a má to rychle.

Už som napísal že všetko co chceš ide.

Napr: How to Disable Write Access to USB Hard Disk and Flash Key Drives

http://www.mydigitallife.info/2008/06/26/how-to-di sable-write-access-to-usb-hard-disk-and-flash-key- drives/

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Contro l
# Create a New Key named as StorageDevicePolicies.
# Highlight StorageDevicePolicies, and then create a New DWORD (32-bit) Value named as WriteProtect.
# Double click on WriteProtect, and set its value data to 1.

No ako píšeš vyšie, vrtanie do registra nie je tvoja parketa. A myslým že to je dobre, nechaj to na profesionalov. Mám ale trochu obavu z tých profesionalov, poznajúc slovenskú realitu ...
Jednu takú firmu poznám. Vraj spravujú siete. Ufff, no je to ťažké na Slovensku fakt niekedy.

Ja by som siel na to inak.
Ako cenne su tie data, ktore si chces zabezpecit? To co pozadujes je uz ozaj highend, pomaly na urovni zabezpecenia vojenskych pc alebo pc v NBU (kde nic take nemaju, bol som tam;o)).
Vsetko sa da spravit, otazkou je cena. Tu neznamu firmu nebudeme podcenovat (aj ked davat Home verzie do firmy...ehm), dajme tomu, ze to zvladnu. Kolko ta to asi bude stat? Podla mna dost.
Druha strana je tvoj pracovnik. Predpokladam, ze sa jedna o bezneho usera. Co vie bezny user robit s pc? Maximalne klikat ako cvicena opica.
Cize jednoduche riesenie, staci zakazat pristup k externym zariadeniam, instalaciu novych, bezpecnostnu politiku na urovni file systemu by som neriesil, dam mu prava len na citanie a skopirovanie je uz znemoznene tym, ze nemoze pridat novy hw (usb kluc, disk) a ina moznost ako dostat data von z pc nie je (pc nie je nikde pripojene).
Cize vlastne je to cele jednoduche, jedine s cim som si neni isty co vsetko povoluju Home verzie, ale ak to nepojde normalne malo by to ist aspon v nudzovom rezime cez konto Administrator a navyse mam tiez ten pocit, ze Win7 uz v Home verzii nepovoluje instalaciu noveho hw (vlozenie usb kluca a jeho nacitanie) user kontam, pretoze takto sme to riesili uz u XPeciek.

Ďakujem, som už rozhodnutý. Ja na to nemám čas ani nery riešiť, mám svojej roboty až až.

Zajtra zoberiem PC kde som ho zakupil, položim im ho na stôl a poviem čo chcem.
Asi sa posnažia to urobiť ako chcem, lebo mám tam objednaný ďalší ploter za cca 3500EUR a fabernú tlačiareň pre formáty bilboardovej reklamy.
Tak nech sa chlapci snažia, ešte ich zdrbem ako mi mohli predávať Home verzie do firmy. Myslím že si s tým poradia, len to chce zase zaplatiť jedného maníka čo mi potom pri preberaní počítača otestuje či fakt tie údaje sa nedajú dostať von bez otvorenia PC.

Precitat si mozes
napr. http://windows.microsoft.com/cs-CZ/windows-vista/W hat-is-a-standard-user-account
http://windows.microsoft.com/cs-CZ/windows-vista/U ser-accounts-frequently-asked-questions

Urob si tam user ucet to je za 5 sekund a over si ktore z tvojich poziadaviek splna.
http://windows.microsoft.com/cs-CZ/windows-vista/C reate-a-user-account (sekcia o pracovnej skupine)

Zajtra zoberiem PC kde som ho zakupil, položim im ho na stôl a poviem čo chcem.

dobre rozhodnutie. z hladiska casu a efektivity najlepsie.

Asi sa posnažia to urobiť ako chcem, lebo mám tam objednaný ďalší ploter za cca 3500EUR a fabernú tlačiareň pre formáty bilboardovej reklamy.

to zavisi na ich vedomostiach, ohanat sa nejakym objednanym tovarom nema zmysel. Nemysli si o sebe ze si nejaky extra zakaznik, ked u nich raz za rok kupis jeden drahy plotter.

Tak nech sa chlapci snažia, ešte ich zdrbem ako mi mohli predávať Home verzie do firmy.

co si si objednal, to mas. Ak to splnovalo tvoju specifikaciu alebo sa to musel cele zmestit do nejakej ceny, tak nemas co koho drbat. Kopa firiem pouziva home verzie OS.

Myslím že si s tým poradia, len to chce zase zaplatiť jedného maníka čo mi potom pri preberaní počítača otestuje či fakt tie údaje sa nedajú dostať von bez otvorenia PC.

skor ci neskor sa diera, alebo sposob ako sa dostat dnu, najde. zabudni na 100% ochranu.

to fleg:

Dáta si cením asi 2 rokmi roboty a sústavne nejakými zlepšovákmi. Neviem akú cenu majú finančne ale pre mňa dosť velkú.

Keď to ešte vylepšim tak o rok, dva,... môžem sa dať dohromady so schopnými programátormi a môžeme uviesť na trh nový konkurenčný program pre tvorbu grafiky a animácií v ktorom sa bude dať robiť podstatne rýchlejšie ako pri konvenčných volne dostupných programoch. Ale veľkú šancu tomu nedávam lebo mnoho profesionálnych firiem v USA má svoje na mieru šité programy ktoré sa voľne nepredávajú.

Bezpecnosti slovenskeho NBU bych se moc neohanel index.php

Mne to hovorit nemusis, som byvaly nadejny zamestnanec oddelenia elektronickeho podpisu, takze som si nejaky nazor pocas navstev na NBU spravil pred par rokmi;o).

PS : pre hackerov pohov!

Vôbec to nedržím na PC pripojenom na internet, nie som negramotný.

Pokud nebudeš šifrovat (TrueCrypt), tak nezapomeň vypnout bootovani z CD/USB a zaheslovat BIOS nebo si tam bootne live Linux a bude to stejně v <>.

Když to tady tak pročítám, tak máš v podstatě problém lehce řešitelný. Vyhoď toho nespolehlivého zaměstnance a nahraď ho někým spolehlivým. Nebudeš muset vydávat další finance na zabezpečení a bůhvíco ještě a budeš v klidu spát. Nového grafika určitě seženeš a zaučení nebude trvat delší dobu než měsíc. Řešíš zabezpečení a oprávnění, ale jakej problém je v tom vzít na víkend HDD fyzicky domů a skopčit ho?

Pokud bude HDD zašifrovaný, tak si ho zkopčit můžeš, ale data nepřečteš a stejně ostrouháš mrkvičku (pokud teda nevlastníš kvantový počítač s implementovaným Shorovým algoritmem).

Ale sám tady prezentoval, že to nechce šifrovat kvuli přístupu k datům i od toho potencionálního zloděje.