Wielu pracowników z uwagi na wygodę używa służbowego sprzętu do prywatnych celów: od bankowości, przez zakupy, aż po rozrywkę. Nie każda firma widzi w tym problem, ale czy takie działanie zapewnia prywatność? Szczególnie w sytuacji, kiedy praca zdalna zatarła granicę między biurem a naszą sypialnią lub salonem.
Porozmawialiśmy ze specjalistą ds. cyberbezpieczeństwa, który śledzi poczynania swoich pracowników i ma dla nas kilka wskazówek, na co uważać i do czego tak naprawdę ma dostęp firmowy informatyk.
— W przypadku pracy zdalnej szanse na pełną inwigilację przez sprzęt służbowy nie są zerowe. Dostęp do kamerki i mikrofonu zależy od polityki firmy. Jeśli nie jest to zapisane czarno na białym w regulaminie, dla mnie to czerwona flaga i proponowałbym zastanowić się nad przyszłością w takiej firmie. Oczywiście, jeśli pracownik dowie się o tym, a nie wyraził wcześniej zgody, jest to świetny materiał na sprawę sądową — wyjaśnia rozmówca.
Kasper pracuje w międzynarodowej korporacji zatrudniającej ok. 20 tys. pracowników. Sam dział IT to ponad 1000 osób, z czego 70 to specjaliści zapewniający bezpieczeństwo organizacji.
— Absolutne minimum, jakie musisz wiedzieć jako szeregowy pracownik: wszystko, co robisz, jest wiadome. Pytanie tylko, czy komuś chce się tam zaglądać. Jeżeli firmę stać na przerabianie logów, może widzieć absolutnie wszystko w określonym przedziale czasu. W mojej firmie widzimy bardzo dużo ruchu sieciowego. Z kolei my, jako eksperci od bezpieczeństwa, mamy niepisaną zasadę: don’t ask, don’t tell. Nie ma alertu, nie ma grzebania — odpowiada.
Zdaniem rozmówcy, ekspansja zagranicznych korporacji w Polsce nie pociągnęła za sobą zmian w krajowych przepisach. Szczególnie jeśli chodzi o prywatność milionów osób pracujących zdalnie.
— Jest to dziedzina uregulowana częściowo, jednak w dużej mierze uzależniona od interpretacji istniejących przepisów. W zakładzie pracy pracodawca nie może rejestrować tego, co dzieje się w łazience. Natomiast w przypadku pracy zdalnej wszystko zależy od regulaminu i dokumentów, które pracodawca przygotuje — tłumaczy.
Dalszy ciąg artykułu pod materiałem wideo Porno i „koparki” kryptowalut
— Pamiętam taką sytuację, kiedy pracownik podłączył zewnętrzny dysk wypełniony pornografią do urządzenia służbowego. Czy nas interesuje, że takie treści ogląda w godzinach pracy? Nie. Z punktu widzenia działu IT interesujące są pliki, w których może być zaszyte złośliwe oprogramowanie, narażające całą firmę na niebezpieczeństwo — zaczyna.
— Inny przypadek: pracownik próbował ustawić koparkę kryptowalut na służbowym sprzęcie. Wykryliśmy to, zrobiliśmy dochodzenie i sprawa trafiła do działu prawnego — śmieje się Kasper.
Nasz rozmówca zauważa, że takie zachowania należą jednak do marginesu. Najczęściej pracownicy odwiedzają sklepy internetowe lub oglądają seriale w godzinach pracy.
— Słyszałem o kimś, kto stracił pracę, bo system wykazał, że pracuje w godzinach całkowicie odstających od regulaminu, choć zadania wykonywał. Menedżer widzi wszystko: ruch myszki, czas interakcji. Nawet jeśli pracownik ma program, który rusza kursorem za niego; algorytm to wyłapie, jeśli tylko zechce — mówi.
— Jestem zwolennikiem poglądu, że ludzie powinni mieć pełną swobodę, ale muszą liczyć się z tym, że sprzęt firmowy, nawet po godzinach pracy, podlega automatycznej agregacji. To nie ma znaczenia, czy jest 12.00 w biurze, czy 22.00 w sypialni — dodaje.
„Bezpieczeństwo będzie zabijać wygodę pracowników”
— Era user friendly w korporacjach właśnie dobiega końca — zauważa Kasper. Dawniej korzystanie z urządzeń i programów firmowych miało być proste, szybkie i intuicyjne. Dziś sytuacja geopolityczna nadała nowy ton: wygrywa paranoja, a firmy robią wiele, aby uchronić się przed atakami z zewnątrz.
Według naszego rozmówcy wojna w Ukrainie zmieniła reguły gry, a systematyczne ataki płynące z Rosji wymusiły zaostrzenie procedur. — Przewiduję, że będzie coraz ostrzej. Kwestie bezpieczeństwa będą zabijać wygodę pracowników — zauważa.
Mężczyzna pracujący przy laptopieThitiwat.Day / Shutterstock
— Phishing działa, bo cały czas ewoluuje. Teraz atakujący najpierw buduje zaufanie. Podam przykład. Dostajesz maila na służbowy adres, który wygląda, jakbyś sam go do siebie wysłał. Atakujący pisze: „Mam dostęp do twojej kamery. Nagrałem twoje sesje masturbacyjne. Płać 2 tysiące dolarów w danej kryptowalucie”. Człowiek natychmiastowo wpada w panikę i wykonuje polecenia — dodaje.
Pracownikom nie pomagają również rosnąca presja i stałe podnoszenie wymagań. Zdaniem eksperta, bezpieczeństwo nie może iść w parze z szybkim wykonywaniem zadań.
— KPI, wskaźniki efektywności — to zmusza ludzi do działania automatycznego. Jeśli musisz odpowiedzieć na 100 maili w godzinę, nie sprawdzisz, czy faktura od podwykonawcy ma zmieniony jeden numer konta. To wtedy najczęściej znikają pieniądze — mówi.
Kolejne zagrożenie rozmówca dostrzega w rozwoju i popularyzacji narzędzi LLM (ang. Large Language Models).
— Ludzie wrzucają tam dokumenty z wrażliwymi danymi, żeby poprawić literówki. Nawet doświadczeni menedżerowie nie rozumieją, że te dane lądują w centrach danych w USA czy Niemczech. Nad tym nie ma już kontroli — konstatuje.
Tikrow działa jak Uber, ale dla pracowników fizycznych. „Wchodzę, robię i znikam”Co dzieje się z naszymi danymi?
— Istnieją pozycje w firmach, które są pod ciągłym nadzorem ze względu na istotę ich działania. Chodzi o wykonanie konkretnej pracy w określonym czasie. Mam tutaj na myśli między innymi service desk — słyszymy.
O tym, jak wykorzystywane są nasze dane czerpane ze służbowego sprzętu, decyduje sam pracodawca. Pytamy rozmówcę, czy w przeszłości zdarzyła się sytuacja, w której został poproszony o szczegółową analizę działań pracownika.
— Dwa razy odmówiłem, kiedy ktoś z innego działu przyszedł i chciał wglądu w dane użytkownika X. Czułem, że to prywatna wojna, szukanie haka, żeby kogoś zwolnić. Poprosiłem o uargumentowanie prośby mailem i dołączenie świadków. Nagle temat umarł. Nikt nie chciał zostawić śladu na papierze — tłumaczy Kasper.
— Ludzie nie mają świadomości, że są obserwowani, choć podpisali dokumenty. Ale prawda jest taka: rozwój technologii wyprzedził naszą świadomość społeczną i sytuację prawną. Nie kontrolują tego ani podmioty państwowe, ani międzynarodowe. Żyjemy na cyfrowym Dzikim Zachodzie — podsumowuje.