Надо обязательно деактивировать аккаунты, имеющие права администратора, и которые больше не будут использоваться.

Ни в коем случае не наделяйте человека правами больше, чем ему необходимо для выполнения рабочих обязанностей.

Не стоит совсем расслаблять подчинённых, они всё же в первую очередь подчинённые, а не друзья.

Дисциплина – это хорошо. Если бы мы применили совсем чуть-чуть дисциплины в начале, то нам не пришлось бы там сильно затягивать гайки при выяснении обстоятельств утечки.

Программа по наблюдению за сотрудниками иногда тоже хорошо, но надо знать меру и не шпионить за подчинёнными, а анализировать общие отчёты о производительности и строить бизнес-процессы с оглядкой на это.