Impedire copia file da NAS su PC

[Engram]

Buongiorno a tutti,
ho un NAS Synology DS1813+ con 8 dischi, utilizzato come fileserver per il mio ufficio.
I file contenuti possono essere utilizzati da tutti gli operatori connessi alla rete, si tratta prevalentemente di modelli 3D e immagini, pertanto possono essere aperti in software appositi come 3ds MAx e Photoshop.
Vorrei proteggere i file da furto da parte di operatori, trattandosi di modelli 3d sviluppati internamente e di grande valore commerciale.
Il furto può avvenire tramite copia su dispositivi USB o tramite spedizione web (cloud, Wetransfer, Drive etc).

Per prevenire il furto, sarebbe necessaario settare il NAS facend in modo che:
- Sia impedita la COPIA dei file sui PC e su dispositivi USB attaccati alle postazioni.
- Sia impedito il trasferimento dei file da NAS ad uno spazio WEB

In questo modo dovrebbe essere impossibile fare uscire i file da NAS - a meno che qualcuno carichi i file nel softwar ededicato, li ri-salvi sul proprio PC e da li li trasferisca. Pe quest'ultima opzione dovrò prevedere una soluzione che prescinde dal settaggio opportuno del NAS.
PS - trattandosi di un tema importante sono valuto volentieri consulenze professionali, qualora qualcuno fosse in grado di fornirle.

anticiptamente grazie,
Paolo

• UPS: APC 1500va
• NAS:Synology DS1813+
• CLI: Intel i9, WIN10pro

[dMajo]

Da un punto di vista fisico non puoi agire sul NAS per impedire il furto. Qualsiasi client che abbia anche il privilegio di sola-lettura dei file può poi copiarli e fare ciò che vuole in locale. Questo non è controllabile dal NAS stesso.

Per fare ciò che desideri dovresti:

• I client (PC di rete) degli operatori dovrebbero poi far parte di un dominio windows, dove con le GPO, centralmente, potresti disabilitare tutte le porte USB e masterizzatori dei vari PC (vengono quindi esclusi PC/NB personali)
• Consentire l'accesso al NAS agli operatore esclusivamente via SMB (condivisione file di rete) così eviti che dal NAS, attraverso DSM/Telnet/SSH i file possano essere inviati altrove. Ovviamente anche il NAS sarebbe un membro del dominio sul quale ogni operatore avrebbe il proprio account.
• Sempre attraverso le GPO puoi abilitare l'auditing a vari livelli degli utenti (o gruppo di essi) interessati in modo da loggare l'accesso ai file e device vari dei PC e di rete.
• Infine sulla rete dovresti poi usare dei firewall (possibilmente con SSO su Active Directory) dove bloccare, a seconda dell'utente connesso al PC, l'accesso ai vari siti di file-sharing (wetransfer, dropbox, drive, ....)

[Engram]

Grazie per la risposta esaustiva,
è un po' di lavoro ma proverò a seguire le sue indicazioni.

Un saluto,
Paolo