Рассмотрим вариант, как мы можем это все реализовать. Что нам нужно?
- Программа, работающая в скрытом режиме, без уведомлений, не содержащая кода, определяемого как вирус, легкая и не мешающая работе самого пользователя.
- Сетевое хранилище из расчета максимум 1 Гб на каждого пользователя на три дня.
- Сервер, не выполняющий важных ролей в сети с разгруженным сетевым интерфейсом.
- Полученные данные должны легко обрабатываться и анализироваться.
От записи видео сразу отказываемся, т.к.:
- во-первых: слишком большой объем данных — 9-часовой рабочий день сотрудника выходил в самом ужатом формате порядка 2 Гб;
- во-вторых: большая нагрузка — даже самый незаметный рекордер доставит пользователю видимый дискомфорт;
- в-третьих: неудобство в анализе полученной информации — перемотка многочасового видео, монтаж, когда нужен отчет по сотруднику, много вопросов «А как?» и т.д.
- в-четвертых: не все такие программы могут взаимодействовать с терминальными сеансами или вернуть себе работоспособность после выхода из блокировки\сна.
Таким образом, мы приходим к единственному варианту — делать скриншоты. Программ для этих целей огромное количество, но все они имеют кучу недостатков, а именно:
- Часто определяются как вирусы, многие даже не всегда удается добавить в список исключенных процессов антивируса.
- Недостаточный или лишний функционал.
- Излишнее взаимодействие с рабочей областью пользователя («Ой, а что это у меня мышка так дергается и экран каждую минуту мигает?»).
- Нормальные программы идут только в комплекте с комплексным решением, репорт-центрами и за большие деньги.
Несколько месяцев я пробовал самые разные программы, включая платные с триал-периодами. И каждый раз, в ходе обкатки, сталкивался с кучей проблем, описанных выше. Даже ходил на презентацию одного из раскрученных продуктов, который чуть ли не замеряет, сколько кофе сотрудник выпил в течение дня. Все не то, все слишком громоздкое или слишком кривое. Нужно было простое решение, легкое и эффективное. И тогда я начал смотреть не в сторону готовых решений, а в сторону универсальных скриптов.
Для начала — на каждом компьютере под управлением Windows есть командная строка. Есть домен, есть групповые политики и log-on скрипты. Все, что мне остается — запустить из командной строки цикл, который будет делать скриншоты экрана и записывать их в локальную папку. А на сервере я создам задание планировщику с повтором каждый час, по которому все накопленные скриншоты будут с компов забираться и складироваться в нужную папку, которую и будет просматривать наш безопасник. Проблема в том, что у командной строки нет функционала «сделать скриншот». Зато такой функционал есть у nircmd и даже больше.
Плюсом идет бесплатность, легкость, отсутствие вирусного кода и гибкость.
Итак, начнем. Первым делом, нам нужно будет запускать nircmd так, чтобы конечный пользователь об этом не подозревал. Тут нам поможет vbs:
CreateObject("Wscript.Shell").Run """" & WScript.Arguments(0) & """", 0, False
Назовем его admin.vbs и добавим в наш log-on скрипт:
cmdow @ /HID
ECHO off
REM ----- PREPARE INJECTION ---------------------------------------------------------------
MKDIR C:\WINDOWS\Security\DomainMKDIR C:\WINDOWS\Security\Domain\Log
IF EXIST "C:\WINDOWS\Security\Domain\start.bat" (
DEL C:\WINDOWS\Security\Domain\start.bat
DEL C:\WINDOWS\Security\Domain\finish.bat
REM ----- INJECT --------------------------------------------------------------------------
copy "\\SYSVOL\Domain\scripts\monitor\inject\start.bat" "C:\WINDOWS\security\Domain\"
copy "\\SYSVOL\Domain\scripts\monitor\inject\finish.bat" "C:\WINDOWS\security\Domain\"
)
copy "\\SYSVOL\Domain\scripts\monitor\inject" "C:\WINDOWS\security\Domain\"
ping 127.0.0.1 -n 1 -w 1000 > nul
REM ----- LOG MONITOR ---------------------------------------------------------------------
IF "%1"=="/login" (goto LOG-IN)
IF "%1"=="/logout" (goto LOG-OUT)
:LOG-IN
wscript.exe "C:\WINDOWS\security\Domain\admin.vbs" "C:\WINDOWS\security\Domain\start.bat"
(ECHO %DATE% %TIME% --- %COMPUTERNAME%: %USERNAME%: LOGGED IN. Processing start.bat )>>"\\DomainController\LOG\nir_journal.txt"
goto EOF
:LOG-OUT
REM wscript.exe "C:\WINDOWS\security\Domain\admin.vbs" "C:\WINDOWS\security\Domain\finish.bat"
(ECHO %DATE% %TIME% --- %COMPUTERNAME%: %USERNAME%: LOGGED OUT. Processing finish.bat )>>"\\DomainController\LOG\nir_journal.txt"
goto EOF
Сперва мы удаляем старые версии наших батников, потом закачиваем новые. А также закачиваем сам nircmd.exe и admin.vbs. Отлично, и start.bat, и finish.bat теперь будут запущенны незаметно для пользователя. Наполняем start.bat следующим содержанием:
echo off
REM 43200 = 60*24*30 = 1 month.
c:\windows\Security\Domain\nircmd.exe loop 43200 60000 savescreenshot "c:\windows\Security\Domain\Log\scr~$currdate.MM_dd_yyyy$-~$currtime.HH_mm_ss$.jpg"
И на этом с пользователями мы закончили. Теперь на каждом компьютере, где нужно, будет висеть процесс nircmd (если exe переименовать — имя процесса также изменится) который, как правило, вообще ни у кого интереса не вызывает. Процесс будет делать скриншот каждую минуту в течение месяца и сохранять его в c:\windows\Security\Domain\Log\. Если пользователь месяц не будет выходить из системы — частный случай, можно его просто вечером выкинуть для профилактики, сославшись на обновления или зайти под ним и запустить log-on скрипт еще раз. Единственное, о чем нам стоит заранее позаботиться — это разрешить пользователю писать в папку:
cacls "\\%PC%\C$\windows\Security" /G %USER%:F
Нужно прогнать под админом для всех ПК\Юзеров в группе мониторинга. Но можно и не заморачиваться, есть ведь папки Users\Public, куда у них есть право записи по умолчанию.
Как показала практика, nircmd работает корректно только если был запущен самим пользователем (PSExec не поможет, будет писать черный экран), а также вполне себе работает в терминале, там только нужно разделить папки log по именам пользователей.
Теперь настроим наш сервер. Пишем один батник, который будет заниматься и забором, и чисткой, и восстановлением каталогов хранилища.
@echo off
setlocal ENABLEDELAYEDEXPANSION
cd /d e:IF "%1"=="/repair" (goto REPAIR)
IF "%1"=="/scan" (goto SCANCOPY)
IF "%1"=="/archive" (goto ARCHIVE)
:SCANCOPY
REM ------------- Собираем скриншоты
for /F "tokens=*" %%A in (e:\auto\loop.txt) do (
if %%A EQU @END_OF_LOOP (
exit /b
) else (
e:\auto\scancopy.bat /%%A
)
)
goto :EOF
:ARCHIVE
REM ------------- Чистим мусор
attrib -H -S /S e:\roam\Thumbs.db
del /F /S /Q e:\roam\Thumbs.db
attrib -H -S /S e:\roam\_desktop.ini
del /F /S /Q e:\roam\_desktop.ini
REM ------------- Удаляем все, что старше -5 дней
forfiles -p e:\roam -m *.* -s -d -5 -c "cmd /c del /q @path"
:REPAIR
REM ------------- Удаляем все пустые папки
goto start
:fn1
for /d %%i in ("%~1\*") do (call :fn1 "%%i" & rd /q "%%i")
exit /b
:start
call :fn1 "e:\roam"
:REPAIR_P2
REM ------------- Создадим папки для наших ПК
for /F "tokens=*" %%A in (e:\auto\loop.txt) do (
if %%A EQU @END_OF_LOOP (
exit /b
) else (
MKDIR e:\roam\%%A\
)
)
Содержимое scancopy.bat:
@ECHO off
set DEST=%1
IF not EXIST "\%DEST%\ADMIN$" ( goto :EOF )
IF not EXIST "\%DEST%\ADMIN$\Security\Domain\Log" (
(ECHO WARNING --- %DATE% %TIME% --- %COMPUTERNAME%: Log folder not found! )>>"\\DomainController\LOG\nir_journal.txt"
goto :EOF )
>nul 2>nul dir /a-d "\%DEST%\ADMIN$\Security\Domain\Log\*" && (GOTO TRANSFER) || ( (ECHO WARNING --- %DATE% %TIME% --- %COMPUTERNAME%: Zero files in source folder! )>>"\\DomainController\LOG\nir_journal.txt" )
:TRANSFER
IF NOT EXIST e:\roam%DEST%\%DATE%\ ( MKDIR e:\roam%DEST%\%DATE%\ )
robocopy \%DEST%\ADMIN$\Security\Domain\Log e:\roam%DEST%\%DATE%\ /MOV /R:0)
(ECHO SERVICE --- %DATE% %TIME% --- %DEST%: Files transfer success. )>>"\\DomainController\LOG\nir_journal.txt"
Loop.txt — просто список компов или IP-адресов, разделенных новой строкой. В конце списка — @END_OF_LOOP — как маркер конца списка.
Создадим три задания в планировщике, которые будут запускать service /scan каждый час, service /repair каждый день и service /archive каждый день. Все, наша система мониторинга готова. Даем безопаснику ссылки на каждую папку в хранилище (подписанные пофамильно), объясняем принцип работы и пусть сидит играется.
Теперь можно и что-нибудь полезное пойти сделать.
Кратко, структура:
- Log-on скрипт запускает nircmd;
- nircmd делает скриншоты каждую минуту и сохраняет локально;
- Сервер раз в час прогоняет robocopy по списку ПК\IP и забирает скриншоты у пользователей;
- У безопасника ссылки на папки в хранилище и он знает, что загрузка идет раз в час, а также что файлы старше 5 дней удаляются.
Решение работает в моей конторе уже полгода, никаких проблем не возникало, пользователи о ней знать не знают (но догадываются), безопасник и руководство довольны. Нугрузка nircmd на проц на самом допотопном ПК в конторе составляет 1-2%.
Комментарии (109)
dMetrius
08.09.2015 11:44Это не блог компании Samsung?
Помню ещё их INCOPS III (бывш. PCMan) от Samsung SDS.
В отладчике весело с ним было ;)
Там и анти-отладка была и хуки на системные вызовы — всё по-взрослому!
Suvitruf
08.09.2015 12:04+12пользователи о ней знать не знают
А это не противозаконно?sim-dev
08.09.2015 12:24-3Если это будет оформлено законом, станет ли оно более этичным от этого? Полно законов о сборе информации — хоть кто-то благодарен за это?
Это риторические вопросы — законно или нет. Все, что интересует работодателя, так или иначе будет сделано. А кто не одобряет — рынок труда большой, может пойти, пройтись по рынку.Suvitruf
08.09.2015 12:28+5А кто не одобряет — рынок труда большой, может пойти, пройтись по рынку.
Так в данном случае сотрудникам даже выбора не предоставили.
vedenin1980
08.09.2015 12:34+4Это риторические вопросы — законно или нет.
Нет, это практический вопрос, если это незаконно, то работодатель может попасть на очень приличные деньги, трудовая инспекция и суды за куда меньшие нарушения могут вкатить астрономические штрафы.sim-dev
08.09.2015 13:27-3Всякая теория лишь тогда чего-либо стоит, когда подтверждается практикой. «Могут» многие, хотят не все.
olku
08.09.2015 16:48+3До первого уволившегося. :))) Заодно денег с конторы срубит
sim-dev
08.09.2015 19:48-1У вас есть опыт? В Москве с 15 миллионами работников, возможно, не так, как у нас. Но могу вам сказать со 100% гарантией, что человек, который начнет судиться с администрацией своего предприятия уже обречен в нашем городе быть безработным. А если выиграет суд, то есть примерно 30-50% вероятности, что во всех хороших местах области ему не видать работы. Вот эти факты проверены временем.
Лично я вам не советую попадать в ситуацию, когда вам придется отстаивать свои законные интересы в суде.
oYASo
09.09.2015 11:53+5Пфффф… знаете как классно удовлетворяются коллективные иски к руководству коммерческих предприятий? На раз, потом еще в местных новостях покажут, как посадили какого-нибудь бандюгана.
Нарушаются статьи 137, 138, 247 УК РФ. Спасти от этих статей может простая подпись сотрудника, что он осведомлен и со всем согласен. В противном случае коллективным иском можно обанкротить всю компанию, а руководство отправить на довольно приличный срок думать о своем поведении.
k3NGuru
08.09.2015 12:43А какое содержимое finish.bat?
Также скрипт работает только с 1 монитором. У меня например их 2 (расширенный режим), но скрины пишутся только с главного монитора
chelaxe
08.09.2015 12:58+1В одной организации тоже скриншоты nircmd делали и SARG`ом со SQUID`а логи собирали, а потом и вовсе заплатили за SearchInform WorktimeMonitor. По мне странный подход к решению надуманных проблем, а в ключе WorktimeMonitor еще и дорогой и честно сказать жутко глючный. Но донести до начальства не получилось. А WorktimeMonitor полился антивирусниками и ломал работу Internet Explorer`а с настройками для всяких закупок и т.д.
Delphinum
08.09.2015 13:03+9Ставится задача: безопасник хочет видеть, чем занимался каждый сотрудник в течение дня
слишком большой объем данных — 9-тичасовой рабочий день сотрудника выходил в самом ужатом формате порядка 2 Гб
А вы не попробывали объяснить заместителю директора по безопасности, что для анализа такого объема данных у него не хватит времени и на деле вся эта работа будет всего лишь неудачной попыткой стать богом?
На моем прошлом месте работы такая же ситуация. Начальство затребовало у руководителя отдела (коим был уже не я, а мой коллега) найти и установить всем программу мониторинга, которая будет не только скрины делать, но и запоминать время открытия тех или иных окон. По ожиданиям, эти данные должны были попадать на стол начальника в напечатанном виде, а он должен был их быстренько анализировать и наказывать «бездельников». На деле все вылилось в следующее:
- Начальство успешно забыло о целях и получает отчеты только когда (раз в несколько месяцев) вспоминает об этой системе
- Данные, которые собирается система, нисколько не объективны, так как начальство само решает, правильно ли поступил сотрудник, сидя на avito/youtube/vk или не правильно. На деле часто случается так, что сотрудник сидит на avito — потому, что плагинует переехать поближе к работе; на youtube — потому, что занимается самообразованием; а на vk — потому, что некоторые партнеры размещают там довольно интересный и даже полезный материал
На практике подобный подход означает полную некомпетентность начальства в вопросах менеджмента. Если бы все было так просто, всем сотрудникам компании внедрялся бы в мозг чип, который считывал мысли носителя и анализируя их, сообщал начальству о его продуктивности. К счастью все не так просто, и для эффективного менеджмента нужно уметь думать головой, а не переть напролом.
dyadyaSerezha
08.09.2015 13:59+1А вы не попробывали объяснить заместителю директора по безопасности, что для анализа такого объема данных у него не хватит времени и на деле вся эта работа будет всего лишь неудачной попыткой стать богом?
Если вы хотите быть уволенным в течение трех дней, то это отличное решение!
На практике подобный подход означает полную некомпетентность начальства в вопросах менеджмента.
Что бы это ни значило, у сотрудника только два варианта: «понять и простить» или уйти в другую контору.Delphinum
08.09.2015 14:14+5Если вы хотите быть уволенным в течение трех дней, то это отличное решение!
Я очень часто объяснял моим начальникам различные технические и организационные вопросы, при этом никогда не сталкивался с угрозой увольнения, а скорее наоборот, за это меня больше ценили и уважали. Как бывший начальник могу сказать, что руководство ценит сотрудников, которые не боятся выразить свое мнение и скорректировать направление движения отдела/компании в лучшую сторону. Если вы боитесь, что начальство вас уволит, то либо это проблема в вас, либо в начальстве. В первом случае надо перестать бояться, а во втором менять место работы.
Что бы это ни значило, у сотрудника только два варианта: «понять и простить» или уйти в другую контору.
В первую очередь лучше поговорить с начальством и понять их мотивы, а уже потом принимать решение.dyadyaSerezha
08.09.2015 22:24-1При чем тут технические и организационные вопросы, если речь о том, чтобы сказать в лицо начальнику о его «неудачной попытке стать богом»? Ещё раз, тут можно только делать ставки, через сколько вас уволят. Все остальные ваши аргументы иррелевантны, так как они совсем о другом.
webkumo
08.09.2015 16:31+7Заявление такому начальнику на стол и общая рассылка по ящикам всех сотрудников. Извините, НО в IT секторе хватает вакансий, чтобы не держаться за откровенно неприятную работу.
Botkin
08.09.2015 21:47+1Как-то, помнится, просили ввести модерацию всей исходящей почты. Зарулить на безопасника, чтоб он решал что отправить, а что нет.
При этом по почте решались очень оперативные вопросы, поэтому пришлось объяснять, что человеку фултайм придется сидеть и модерировать без перекуров. Или нанимать «специально обученного человека» на полную ставку.
Ответ, конечно, был «Ну и что? Нормально», но после этого про указание как-то забыли.
MacIn
09.09.2015 16:48+2что для анализа такого объема данных у него не хватит времени
И не надо. Эта ерунда делается не для того, чтобы за всеми 24/7 следить, а для того, чтобы смотреть за одним, подозрительно непродуктивным, например.
На деле часто случается так, что сотрудник сидит на avito — потому, что плагинует переехать поближе к работе; на youtube — потому, что занимается самообразованием;
И что, за это платят?
Sinucs
08.09.2015 13:19+2На моей прошлой работе я заметил в диспетчере задач странную службу и процесс, который маскировался под системный. Гуление вывело меня на софт Staff Cop. Так я узнал, что за мной следит руководство (при этом я ничего не подписывал и сотрудники в компании не знали о слежке). Позже, когда весь парк ПК достался в админство мне — я посмотрел в живую какие отчёты генерит программка. Круто. Комбайн шикарный конечно. Там и кейлогер, и скриншоты и даже статистика по времени открытых вкладок и многое другое + генерация отчётов по пользователям. Но руководство за 2 года у меня не разу не попросило отчётов о сотрудниках. Спрашивается, нафига тратили такие деньги на лицензию, ведь парк ПК был большой.
whiplash
08.09.2015 13:20+1Круто
Вроде еще Staffcop был, с подобным функционалом.
А про проблемы с законом выше все сказали.
MasMaX
08.09.2015 15:10+7Надо предложить такое решение гуглу или другой крупной компании. А то там юзеры могут полдня без дела ходить.
scarab
08.09.2015 15:24-5Ну вот, заминусовали человека, а за что? За то, что реализовал интересное техническое решение и поделился им?
Касательно законности слежки — закон защищает тайну личности и конфиденциальность переписки. Но компьютеры организации принадлежат работодателю, поэтому он имеет полное право устанавливать на них любое ПО, в том числе и для мониторинга действий работников.
Практически во всех приличных местах работник подписывает бумажку о том, что ему запрещается использовать рабочее место в личных целях. НЕ МОЖЕТ быть на рабочем месте ни тайны личности, ни личной переписки, ни чего-то подобного.
Вот если работник притащил свой личный ноутбук, а ему туда засунули подобного «шпиона» — то да, это уже нарушение. Но здесь шла речь о компьютерах организации.
Коллеги, давайте уже отделять мух от котлет. А если завтра на хабре (пардон, «железные» темы — на гиктаймсе) опубликуют интересные технические нюансы атомной бомбы — тоже минусовать будем?
Оставьте моральные-этические-политические нюансы для соответствующих мест, здесь обсуждаются технические вопросы, а не религиозные предубеждения.
Drag13
08.09.2015 15:34+3Когда мир в котором создаются атомные бомбы будет изолирован от мира в котором живу я — вот тогда я буду обсуждать сугубо технические детали хоть бомб, хоть чего угодно. А до тех я буду высказывать свое личное отношение к подобным вещам где и как я хочу.
vedenin1980
08.09.2015 15:42+1Касательно законности слежки — закон защищает тайну личности и конфиденциальность переписки. Но компьютеры организации принадлежат работодателю, поэтому он имеет полное право устанавливать на них любое ПО, в том числе и для мониторинга действий работников.
Вы юрист или специально занимались этим вопросом чтобы так утверждать? Вообще-то, за такую негласную слежку можно получить ответственность вплоть до уголовной (и отмазки это мои компьютеры не прокатят).
ЦитатаОграничения конституционных прав возможны, но только в определенных целях и на основании федерального закона, каковым, несомненно, является и Трудовой кодекс. Цель защиты прав и законных интересов собственников является конституционно значимой, но работодателю следует помнить, что защищать свои права можно только законными способами.
Нередко работодатели осуществляют за работниками негласное наблюдение. Однако слежку с помощью специальных средств, в том числе и скрытую, могут осуществлять только специальные службы. Работодателю категорически запрещено на основании Конституции РФ и ТК РФ устанавливать какие-либо негласные способы наблюдения за персоналом. Поэтому если наблюдение ведется, то оно должно быть обусловлено другими целями, в противном случае наблюдение вообще вестись не может.
Если рабочие места работников попадают в зону наблюдения, то эта процедура должна быть четко прописана в правилах внутреннего распорядка фирмы, с которыми работники в обязательном порядке должны быть ознакомлены.
И самое главное — формы контроля обязательно должны соответствовать целям, для чего этот контроль устанавливается. Просто так, «на всякий случай», или «из любопытства» следить за работниками нельзя.
Также важно обратить внимание на характер информации, которую работодатель собирается отслеживать. ТК РФ позволяет собирать персональные данные работника только в целях сохранения имущества и контроля количества и качества выполненной работы.
Получается, что необходимо четкое разграничение, что считать рабочей информацией, а что личной. Найти эту границу чрезвычайно сложно, а иногда и невозможно. Для ограничения какого-либо аспекта неприкосновенности частной жизни нужно разрешение федерального закона и веское обоснование, причем ограничение может касаться только какого-либо одного аспекта тайны и только до определенной степени. Никакого тотального контроля! Например, возьмем тайну телефонных переговоров, она, как минимум, включает в себя такие аспекты, как кто, куда, кому, в какое время звонил, не говоря уж о самом содержании переговоров. Ограничение права на тайну переписки, телефонных переговоров, телеграфных и иных сообщений на основании Конституции допускается только на основании судебного решения. Все, что касается пользования личным мобильным, находится под защитой Конституции РФ и уголовного закона. Но если сотруднику предоставляется в пользование служебный мобильный телефон, работодатель может быть заинтересован в установлении правил его пользования, установить либо лимит оплаты, либо ограничить междугородние звонки. Всё это должно быть зафиксировано в правилах, с которыми работника надо ознакомить под расписку. Для соблюдения выполнения этих правил работодатель вправе получить от оператора связи в первом случае только сведения о стоимости всех звонков, а во втором случае – список вызовов. И только в исключительных случаях возможна запись переговоров, например, в call-центрах, и никакого прослушивания!
Также необходимо соблюдать ограничения по обработке полученной с помощью записи информации, в том числе защитить ее от простого любопытства. У любого работника, который обнаружил, что за ним следят, есть право обратиться в суд и прокуратуру. Ведь за нарушение неприкосновенности частной жизни, негласное чтение переписки и прослушивание телефонов предусмотрена не только компенсация морального ущерба, но и уголовная ответственность.
Анна Гвоздицких,
юрист Центра социально-трудовых прав
Ссылкаscarab
08.09.2015 16:49+3Не юрист, но да, специально занимался. Так как 10 лет отработал в банковской и околобанковской сферах, достаточно тесно общался со службой информационной (и не только) безопасности и данные вопросы тоже поднимались, в том числе с привлечением юристов.
Если очень вкратце — юридическая подоплёка здесь такова, что компьютер выдаётся работнику работодателем как инструмент для совершения определённых действий, и работодатель имеет право рабочий процесс контролировать. Нет принципиальной разницы, что это за инструмент — станок для токаря, фура для дальнобойщика или компьютер для бухгалтера.
Соответственно, если токарь начнёт у себя на станке в рабочее время гнать «левак» (да даже и не в рабочее) — очевидно, что он получит соответствующий втык. Или если водитель, вместо того, чтобы следовать по маршруту, решить завернуть за парой халтур в соседний городок — кстати, сейчас очень многие служебные автомобили оснащаются датчиками геопозиционирования и никого это не смущает.
Так почему возникают вопросы, когда начинается контроль за использованием рабочего компьютера?
Касательно приведённой цитаты — мнение распространённое, но, увы, в корне ошибочное. Скажем, касательно «частной жизни» — есть определение Конституционного Суда, где сказано: «Право на неприкосновенность частной жизни (статья 23, часть 1, Конституции Российской Федерации) означает предоставленную человеку и гарантированную государством возможность контролировать информацию о самом себе, препятствовать разглашению сведений личного, интимного характера. В понятие „частная жизнь“ включается та область жизнедеятельности человека, которая относится к отдельному лицу, касается только его и не подлежит контролю со стороны общества и государства, если она носит непротивоправный характер.»
А всё, что происходит на рабочем месте — касается не только работника, но и, как минимум, работодателя. Вот когда работник выйдет за пределы офиса — с этого момента начнётся его частная жизнь и никого не касается, куда он пойдёт — в театр или по бабам.
Это же касается и попыток прикрутить сюда 137-ю статью УК РФ — она тоже касается «личной или семейной тайны».
Что касается того, «прокатит» или «не прокатит» — судебные решения были и в ту, и в другую сторону, поэтому однозначно утверждать нельзя.
Безусловно, лучше, если в документах работодателя явно сказано, что компьютер может использоваться только для исполнения должностных обязанностей, и что работодатель может применять для этого технические средства (а право контролировать исполнение у работодателя есть согласно ст. 22 ТК РФ), но в каждой конкретной ситуации решит конкретный суд (и то, это может быть потом оспорено в судах высшей инстанции).Delphinum
08.09.2015 16:54+4Так почему возникают вопросы, когда начинается контроль за использованием рабочего компьютера?
Мне кажется все дело в том, что контроль за рабочем компьютером не увеличит продуктивность работы сотрудника, а только озлобит его.
Представим ситуацию: работодатель нанимает на работу программиста, выдает ему компьютер и обязует писать по 8 часов в день программы. При этом за спиной у программиста стоит видеокамера, которая чудесным образом фиксирует все его действия, и если программист хоть на минуту отвлечется от своих обязанностей, сообщает об этом начальнику. По идее все верно, человек был нанят для работы, он должен эту работу выполнять, а не заниматься личными делами. На практике такой программист либо уволится с этой работы в первый же день, либо его уволит начальство за «безделье». Так какой прок от этого подхода?scarab
08.09.2015 17:15+3Для случая программистов и IT вообще — Вы абсолютно правы.
Я в своё время, будучи начальником разных IT в разных местах, исповедовал ровно ту же идеологию — требовал от людей результат. А чем они занимались в остальное время и вообще присутствовали ли в офисе — дело десятое.
И люди при необходимости вкалывали и сутками, потому что понимали, что если надо — значит, надо. А потом отсыпались, а их в это время прикрывали другие.
Но этот подход применим не везде. Более того, изначально ТК РФ подразумевает, что работодатель «покупает» именно время сотрудника, а не результат. Он просто «заточен» под эту парадигму: хотя там и предусмотрены варианты типа «сдельной оплаты труда», но по дефолту — оплачиваются часы. И очень многие работодатели именно на это и ориентируются.
Хорошо это, или плохо — можно рассуждать долго. Важен факт — есть спрос на подобные решения, значит он так или иначе родит предложение.
crocogolying
08.09.2015 17:09+3Как мне кажется, моя личная и семейная жизнь не заканчивается, в тот момент, когда я переступаю порог офиса.
Моя личная жизнь начинается и принадлежит мне начиная с момента моего рождения, и не факт, что после моей смерти она заканчивается.
Вот я веду личную переписку, и этим я нарушаю, всего лишь, правила трудового распорядка (за что могу понести наказания в рамках своего трудового договора).
А вот если «безопасник» с помощью специального софта читает мою личную переписку, распечатывает ее и несет еще кому либо, для оценки моей деятельности, то он что нарушает «безопасник»?scarab
08.09.2015 17:20+5Если Вы не уведомлены о том, что может вестись такой контроль — то безопасник нарушает ст. 138 УК РФ.
Это вообще серьёзная ловушка для работодателя, потому что, по логике, вроде бы и надо иметь представление, о чём там люди переписываются по работе — но в то же время, а ну как в ящике сотрудника найдётся личное письмо? Это уже нарушение тайны переписки.
Чтобы исключить такие вещи, в приличных конторах под роспись даются правила трудового распорядка, где явно сказано, что работодатель может контролировать переписку. И тут уже о нарушении тайны речи быть не может: если Вы отправляете письмо, зная, что оно может быть прочитано «безопасником» — значит, Вы с этим соглашаетесь.
То же самое касается и стандартной фразы при звонках во всякие колл-центры — «бла-бла-бла, в целях контроля качества разговор может быть записан» — всё, в этом месте тайна перестаёт существовать, а у Вас есть выбор — дождаться ответа или повесить трубку.crocogolying
08.09.2015 17:31+1Опять же мне кажется, что все не так просто:
Чтобы исключить такие вещи, в приличных конторах под роспись даются правила трудового распорядка, где явно сказано, что работодатель может контролировать переписку...
Тут вопрос имеют ли законную силу такие правила трудового распорядка.
Ведь если мелким шрифтом подписать, что безопасник имеет права на личный досмотр и обыск, то это совсем не дает безопаснику право меня обыскать и досмотреть. За это можно очень крупно ретивому безопаснику пострадать.scarab
08.09.2015 17:41+1Я понял идею, но ключевое слово здесь — «тайна».
Если я напишу на заборе «Таня йа тибя люблю», это не даст мне права привлечь прохожих и владельца забора к ответственности, потому как данная переписка не будет являться тайной.
Если Вы подписались под тем, что Вы в курсе, что Ваше сообщение может быть прочитано третьим лицом — такая переписка уже не будет являться конфиденциальной и, соответственно, не попадает под защиту закона. Вы же знали о том, что почту могут читать? Знали. Значит, она не являлась тайной.
Я специально привёл аналогию со звонками в колл-центры — там действует тот же самый принцип: если Вы до начала разговора знали о том, что разговор может быть записан и прослушан, но трубку не положили — значит, согласились на эти условия. На этом оно и базируется.
crocogolying
08.09.2015 17:13+5Так почему возникают вопросы, когда начинается контроль за использованием рабочего компьютера?
Может быть потому, что датчик геопозиционирования не может записывать телефонные разговоры водителя и отслеживать текстовую переписку, которая ведется в кабине, а может лишь отследить данный работодателем маршрут?
michael_vostrikov
08.09.2015 16:49+3А вы сами то как думаете?
Президент вызывает к себе в кабинет. Ставится задача: президент хочет взорвать пару городов в другой стране. Желательно, полностью.
Что нам нужно?
1. Бомбардировщик, работающий в скрытом режиме.
2. Грузовой отсек из расчета максимум 1 бомба на каждый город.
3. Пилот, не занятый в других полетах.
4. Полученный взрыв должен быть хорошо заметен и нанести много повреждений.
Таким образом, мы приходим к единственному варианту — атомная бомба.
…
Технические детали реализации.
…
Даем президенту код от красной кнопки, объясняем принцип работы, и пусть сидит играется.
Решение работает хорошо, города разрушены до основания, жители мира о человеке, отдавшем приказ, знать не знают (но догадываются). Президент доволен.
Если серьезно, я не знаю, стал ли бы я в какой-либо ситуации делать такую программу по требованию начальства. Но писать об этом я бы точно не стал.
DanXai
08.09.2015 15:32+3А у пользователей есть права на убийство процесса?
saboteur_kiev
08.09.2015 16:43+1Тут же указано, что для создания скриншота nircmd должен быть запущен от имени пользователя. А пользователь свои процессы конечно может убивать.
saboteur_kiev
08.09.2015 15:39+7А что, если безопасник, который таким образом теперь имеет доступ ко ВСЕМ документам, злоупотребит положением?
Имеет ли право безопасник, который даже не является системным администратором, а в лучшем случае продвинутым пользователем, оценивать надежность внедренных решений? Сможет ли он, не зная как работает эта система (не он же ее внедрял), быть уверенным, что доступ к данным не получит кто-то третий?
Имеет ли права доступа безопасник к конфиденциальной информации, типа как размер зарплаты, договора с клиентами, личная переписка хай-менеджмента?Delphinum
08.09.2015 16:45+1Как я уже писал выше:
На практике подобный подход означает полную некомпетентность начальства в вопросах менеджмента.
Начальники считают, что если они будут сидеть за спиной у работника, работник будет работать лучше.
eaa
08.09.2015 17:03+1Как показывает практика, люди умственного труда работают не только сидя на стуле и глядя в монитор, ибо мозг у них всегда с собой.
Гуляя в выходные в лесу, можно думать, как решить задачу на работе. И наоборот, сидя на стуле и тупо глядя в монитор, потому что «он и тебя посчитал», можно ничего не придумать.
Как вообще учитывать продуктивность и рабочее время программиста? Как учитывать, что он работает не на работе и якобы не работает, если не тычет кнопки?
saboteur_kiev
08.09.2015 17:04+5Я в IT сфере давно, и честно говоря, за некоторыми работниками я бы посидел за спиной ;)
Но в данной статье меня больше технический вопрос волнует.
Например папки никак не защищены от поддельных скриншотов. Достаточно пользователю узнать куда кладутся скриншоты, и он сможет туда положить поддельные, на которых он герой-ударник, или поправить неудобные. С такой задачей справится буквально любой новичок, умеющий запускать паинт и жать prnt-scr.
Во многих конторах, служба безопасности обычно не имеет доступа к работе с заказчиком, и работает исключительно по периметру помещения. Например в аутсорсе такое везде. И такой безопасник не подписывает никаких контрактов с заказчиком, и по договору и закону не имеет права на доступ к тем же исходникам и документам заказчика. В данном же техническом решении, именно безопасник, причем возможно не глава службы безопасности, а рядовой безопасник, имеет доступ вообще ко всей информации.
Не очень ясно, почему вместо стандартной службы расписания, памяти постоянно должен висеть nircmd процесс, который вдобавок можно взять и прибить. При залогиненном локально пользователе можно разными способами делать скриншоты, без запуска процесса от имени пользователя. Да и в крайнем случае можно поставить отдельный сервис типа крона, запущенный от пользователя, но это уже будет служба, которую просто через таск менеджер уже не прибьешь.
scarab
08.09.2015 17:05+1СБ чаще всего и имеет доступ ко ВСЕМ документам.
Более того, отмечу — в банках обычно служба безопасности подчиняется НАПРЯМУЮ акционерам — т.е. даже в обход Председателя Правления, не говоря уже об остальном начальстве.
Ну а мне много раз задавали аналогичный вопрос, но только касаемо IT — мол, а как же так, системный администратор может залезть к любому в «Мои документы», это что ж такое.
И отчасти они правы, потому что сисадмин — это не обязательно бородатый чувак с 30 лет стажа, которому, кроме нового дебаггера под полуосью, ничего и не надо; это может быть и вчерашний студент, и хрен его знает, чего у него там в голове.
Так что IT-грамотность — она, в общем, ничего не решает тут…numberfive
09.09.2015 13:49не встречал банки, где СБ подчиняется акционерам.
можно пару примеров?scarab
09.09.2015 14:53-1Эмм. Ну сами ж понимаете, что такие вещи я публиковать не могу :)
numberfive
09.09.2015 15:16+2если честно, то нет, не понимаю.
да и не могу понять как операционно управлять СБ, которая находится в подчинении у акционеров и занимается всякой фигней, как в посте. ну и более того, раз уж в комменте было указано, что это обычное дело, что СБ подчиняется акционерам, значит таких примеров больше одного и о втором-то можно рассказать, за давностью лет.
у меня на собеседовании как-то был человек, который на простейшие вопросы (вроде какого рода процессами он занимался) отвечал «это коммерческая тайна». это ведь была не профессиональная деформация, этика или лояльность работодателю, это обыкновенная человеческая глупость.scarab
09.09.2015 15:30Вопрос не в операционном управлении. Понятно, что СБ решает тактические задачи типа проверки потенциального заёмщика в связке с прочими службами.
Но СБ также является органом, который контролирует в том числе и работу руководства банка, включая правление. И если председатель правления вдруг решит своей властью выдать кредит явно тёмной лошадке — то именно СБ должна заподозрить неладное и доложить об этом акционерам.
Там до смешного местами доходило. Знаю случай, когда в одной организации было аж 3 независимых контура видеонаблюдения: «официальный», выведенный на посты охраны; скрытый по всем помещениям, выведенный на специальный пост в СБ, и «совсем скрытый», выведенный на акционеров, о котором не знала даже СБ.
Мне почему и смешно сейчас читать этот тред, наблюдая, как идеалисты-моралисты минусуют всех подряд. Скриншоты с монитора, это ж ужас-ужас прям. :)vedenin1980
09.09.2015 15:41+1Скриншоты с монитора, это ж ужас-ужас прям
Если ты о них знаешь — нет, не ужас. Если ты работаешь ни разу ни в банке, а в фирме рога и копыта, у которой великих финансовых тайн не было и нет, и когда ты решишь пять минут в свой законный обеденный перерыв почитать личную почту, а твой начальник из пустого любопытства без всякого согласия и предупреждения будет читать её вместе с тобой — это неприятно, некрасиво и незаконно, настолько же некрасиво как устанавливать видеокамеру в женской раздевалке/душе компании. И идеализм-морализм тут не причем.scarab
09.09.2015 15:51И спорить не буду. Неприятно и некрасиво. Работа СБ вообще всегда неприятна, и очень часто некрасива. Как известно, любая безопасность обратно пропорциональна удобству.
Я просто к тому, что это реалии жизни. Что и писал топикстартер в комментариях — что сотрудники СБ по большей части выходцы из «органов», что «по звонку» сливаются персональные данные любых людей, что на рынке практически открыто лежат базы данных налоговой, пенсионного фонда и так далее.
Что основной причиной, почему в организациях внедряется Asterisk (это такая бесплатная IP-АТС, если вдруг Ваша область деятельности лежит в стороне) — это лёгкость организации прослушки, а не гибкость настроек, например.
Что у всех провайдеров установлен комплекс СОРМ и де-факто вполне реально, что скучающий или за определённую копеечку сотрудник органов может нажать кнопочку и писать вообще весь Ваш или мой трафик. Что и HTTPS далеко не всегда спасает.
И да, в 20 лет мне казалось, что с такими вещами нужно бороться, отстаивать права, вплоть до увольнения. Подрос, пообтесался, понял, что так — везде, что другого глобуса пока никто не предоставил. И я скорее постараюсь сделать мир лучше в той области, в которой я это умею, чем буду воевать с ветряными мельницами, уподобляясь персонажу Сервантеса.vedenin1980
09.09.2015 16:22+1Что у всех провайдеров установлен комплекс СОРМ и де-факто вполне реально, что скучающий или за определённую копеечку сотрудник органов может нажать кнопочку и писать вообще весь Ваш или мой трафик. Что и HTTPS далеко не всегда спасает.
Ну, во-первых, HTTPS довольно часто спасает. Во-вторых, мне не очень волнует абстрактный сотрудник органов с абстрактным шансом выбрать именно меня для чтения моей почты/поиска, так как я его никогда не увижу и у него минимальный шанс как-то повлиять на мою жизнь. А вот вполне реальный коллега админ/безопасник/начальник, который по случайности или умыслу может разтрезвонить на всю фирму всю мою личную жизнь это куда печальнее и неприятнее (даже при том что каких-то особых секретов у меня нет).scarab
09.09.2015 16:55во-первых, HTTPS довольно часто спасает.
Если контора к этому не приложила усилий — то да, наверное.
А так, в энтерпрайз-инфраструктуре с доменом, политиками и всем прочим, очень распространена практика, когда выпускается свой подменный сертификат и политиками прописывается в качестве доверенного в браузерах.
Отследить подмену, конечно, можно. Но большинство людей на это внимания не обращает.
Так что личную почту лучше читать со своего личного планшета или там телефона. Спокойнее оно. Ибо всё, что может быть технически реализовано, рано или поздно будет реализовано.
numberfive
10.09.2015 10:46для того, чтобы иметь возможность контролировать правление не нужно подчиняться акционерам.
а легенды про акционеров актуальны там, где собственников 1-2 и они очень хотят участвовать в жизни компании, устраивают дом-2.
это точно не норма для индустрии, таких банков доля процента в третьей сотне.
AIFrame
08.09.2015 16:43На самом деле, подобное взаимодействие службы безопасности организаций и системного администратора — это только верхушка айсберга. Безопасники зачастую решают вопросы не только режимные или СВН, бывает и с «крышеванием» ведут переговоры, и жучки-прослушку под столы прячут, и по связям в МВД детализации личных телефонов сотрудников выбивают, и стукачей себе в отделах вербуют. Естественно, единственные лица, кто будет в курсе происходящего — это руководители, поставившие ему такую задачу.
Сидит учредитель, утверждает зарплату и видит, что один из сотрудников, будучи холостым и с з\п около 30000 в месяц, внезапно, берет ипотеку, а месяц назад купил новую машину. Возникает вопрос: «А не выиграл ли этот сотрудник крупную сумму в лотерею». Безопасник начинает проверять и, действительно, выясняется, что сотрудник выиграл. И продолжает выигрывать, работая налево в рабочие часы компании, используя рабочий инвентарь компании, рабочие связи компании и при этом не принося никакой пользы этой самой компании. Задумается ли руководитель, узнав такое, о морально-этических принципах собранной информации? Будет ли его волновать, что логи скайпа, собранные с рабочего ПК принадлежат сотруднику и он не давал согласие на их чтение третьими лицами? Будет ли его волновать, что если бы прослушку под тумбочкой нашли, возникли бы неприятные вопросы? Будет ли его волновать, что это уголовная ответственность и все такое?
Думаю нет. Он просто вызовет сотрудника, предложит ему уйти по собственному и разойтись миром.
Так оно и происходит.
А по части социальных сетей и личных переписок на рабочем месте, как уже сказали выше — это ПК для работы, который был выдан сотруднику для осуществления его деятельности. Компьютер в любой момент может быть забран у него и заменен на другой. Доступ в любой момент может быть заблокирован по распоряжению свыше. Я уже молчу о том, что у любого администратора есть доступ к любым документам внутри сети и об этом все прекрасно знают, в том числе и безопасники. Никто не заставляет на рабочем месте оставлять компрометирующую себя информацию.
При увольнении никто никогда не скажет: «Мы следили за вами всю последнюю неделю и прекрасно видели, как вы ничего не делаете». Нет, просто вызывают на короткий разговор, где ставят перед выбором — или по собственному, или по статье. Какими путями такое решение было принято — никто, как правило, не объясняет. Особенно, когда инициатива исходит от службы безопасности.
Shoohurt
08.09.2015 16:50+5Понятно, что когда речь идет о деньгах и развитии фирмы, эмоциям и даже этике места нет. Но тут ведь вопрос не к безопасникам, с ними и так все понятно, и даже не к руководителю, он преследует свои цели так, как ему позволяют способности, знания и совесть. Вопрос к Вам: Вы конкретно, как непосредственный участник этой истории, считаете ли, что слежку можно оправдывать бизнес-задачами?
Delphinum
08.09.2015 16:55+1Понятно, что когда речь идет о деньгах и развитии фирмы, эмоциям и даже этике места нет
Надеюсь мне не придется с вами работать.vedenin1980
08.09.2015 17:00+2Надеюсь мне не придется с вами работать
Зачем сразу переходить на личности, Shoohurt говорил ведь не о себе? Вряд ли кто-то будет отрицать что среди власть имущих (хоть среди политиков, хоть среди топ.менеджмента) часто попадаются люди, которые легко пойдут по головам если это им будет выгодно.Delphinum
08.09.2015 17:02Shoohurt говорил ведь не о себе?
Понятно, что когда речь идет о деньгах и развитии фирмы, эмоциям и даже этике места нет
Как же не о себе, если Shoohurt понимает эту позицию. Я, на пример, не понимаю и никогда не пойму такого подхода к ведению бизнеса, а так же не понимаю людей, которые этот подход понимают.
Вряд ли кто-то будет отрицать
Для этого понимать этих людей не обязательно.
Shoohurt
08.09.2015 17:03+3Вы меня неправильно поняли: это не мое личное мнение, а реальное положение дел в практически любом крупном бизнесе, в том числе, судя по всему, и в описываемой в посте компании.
saboteur_kiev
08.09.2015 17:10+3Понятно, что когда речь идет о деньгах и развитии фирмы, эмоциям и даже этике места нет
Надеюсь мне не придется с вами работать.
Вообще-то в любом бизнесе, эмоции и этика — это просто еще один инструмент, которым НУЖНО пользоваться и который следует учитывать, а не просто чувствовать и поддаваться. Иначе ваш бизнес будет жить недолго.
Рабство — прекрасный способ сделать все дешево, но в условиях повышения общей информативности, рабство слишком невыгодно (на текущий момент слишком дорого кормить и держать охрану, чтобы люди соглашались работать в рабских условиях), гораздо дешевле сделать фиктивную демократию, и люди будут сами себя кое-как кормить, а охранять их уже не нужно, достаточно небольшой охраны для себя.
Так что бизнес не стал более этичным, он стал выглядеть более этичным, потому что так сейчас эффективнее.
А что будет после всеобщей робофикации — зло или бобро никто не знает.
AIFrame
08.09.2015 17:44-4Вопрос к Вам: Вы конкретно, как непосредственный участник этой истории, считаете ли, что слежку можно оправдывать бизнес-задачами?
Мне было интересно ее решать.
Тут уже приводили аналогию с атомными бомбами, так вот — вина за уничтожение городов лежит не на том, кто бомбу изобрел, не на том, кто ее сбросил, а на том, кто отдал приказ ее сбросить.
Как говорится, моя хата с краю. Хотите видеть, чем занимался сотрудник весь день — пожалуйста. Будете вы это использовать, как вы это будете использовать и будет ли об этом кто-то знать? -я не буду брать на себя ответственность за решение этих вопросов. Уведомлять сотрудников о работе такой программы должен не я, а те, кому это надо.
Если мне скажут — возьми ПК пользователя, установи его у меня в кабинете и зайди под его учеткой, только ему ни слова — без проблем, я это сделаю. Могу даже открыть ту программу, переписка в которой их будет интересовать, но сам при этом потом присутствовать не буду — мне это не интересно.
Думаю, свою позицию в этом этическом вопросе уже достаточно обозначил.crocogolying
08.09.2015 18:08+3Вот примерно так читаются ваши слова:
Как говорится, моя хата с краю. Хотите знать, как убить человека — пожалуйста. Будете вы это использовать, как вы это будете использовать и будет ли об этом кто-то знать? -я не буду брать на себя ответственность за решение этих вопросов. Уведомлять человека о разработке плана его убийства должен не я, а те, кому это надо.
Если мне скажут — купи нож подходящий для убийства, принеси его ко мне в кабинет и наточи, только ему ни слова — без проблем, я это сделаю. Могу даже сделать так, чтобы на ноже его отпечатки были, чтобы самоубийство инициировать), но сам при устранении присутствовать не буду — мне это не интересно.
Думаю, свою позицию в этом этическом вопросе уже достаточно обозначил.scarab
08.09.2015 19:28Т.е. закрываем все тиры, стрелковые клубы и прочее?
Ведь там обучают владению оружием, из которого можно убивать человека.
Заодно закроем все клубы единоборств, потому что там учат, как бить человеков руками и ногами, почему бы нет.vedenin1980
08.09.2015 19:45+1Не путайте пресное с соленым, никто официально и открыто не учит киллеров и убийц проводя уроки «как лучше избавиться от трупа», «как подкинуть паленое оружие соседу», «выход из полицейского оцепления» и т.д. Владение оружием и единоборствами ничуть не отличается от обучения программированию, это лишь инструмент, а вот явное пособничество к совершению преступления всегда наказывается, попробуйте открыто обучать террористов или киллеров, закроют очень быстро, причем закроют в тюрьме.
scarab
08.09.2015 20:11+1А где Вы в данном случае увидели преступление? Вообще говоря, называть то или иное действие преступлением имеет право только суд.
Если в конторе топикстартера был пункт в трудовом распорядке о том, что руководство может осуществлять технический контроль за работой сотрудников — вся затея получает абсолютно легитимный характер. Какая разница — стоит начальник за спиной лично или контролирует происходящее на мониторе?
Если такового пункта не было… ну, руководство конторы имеет шанс огрести проблем на свою задницу. Обратите внимание, только руководство, ибо в действиях топикстартера непосредственно состава преступления не было — он просто разработал ещё один инструмент из десятков аналогичных, открыто продающихся на рынке.vedenin1980
08.09.2015 20:34+1ибо в действиях топикстартера непосредственно состава преступления не было — он просто разработал ещё один инструмент из десятков аналогичных, открыто продающихся на рынке.
Он не только разрабатывал, но и устанавливал, обслуживал и прекрасно знал что за работниками установлено наблюдение. Поэтому тут легко могут подвести под статью 137 УК РФ Нарушение неприкосновенности частной жизни с использованием своего служебного положения (штраф в размере от ста тысяч до трехсот тысяч рублей, либо арестом на срок от четырех до шести месяцев) и статью 138. Нарушение тайны переписки, телефонных переговоров, почтовых, телеграфных или иных сообщений ицом с использованием своего служебного положения или специальных технических средств (тот же наказание). Ну или за соучастие в нарушении УК РФ.
Если в конторе топикстартера был пункт в трудовом распорядке о том, что руководство может осуществлять технический контроль за работой сотрудников — вся затея получает абсолютно легитимный характер.
Во-первых, не всегда, сильно зависит от ситуации, суда и прочего. Во-вторых, по-хорошему тогда каждому работнику нужно под подпись давать что руководство может читать рабочую почту, подключаться к рабочему столу, делать снимки экрана, скрытое видеонаблюдение и т.д., а не просто осуществлять абстрактный технический контроль.
Скажем, пункт что руководство может осуществлять технический контроль не значит что можно установить скрытое видеонаблюдение, скажем, в туалете фирмы (или в раздевалке/душе). Тут вообще очень много скользких моментов и ситуаций.scarab
08.09.2015 20:50+1Поэтому тут легко могут подвести под статью 137 УК РФ Нарушение неприкосновенности частной жизни
Не могут. Я где-то выше уже писал — всё, что работник делал на рабочем месте, предоставленном ему работодателем, явным образом касается работодателя. И даже приводил определение КС №248-О от 9 июня 2005 г.
и статью 138. Нарушение тайны переписки, телефонных переговоров, почтовых, телеграфных или иных сообщений
Под это могут попытаться, но скорее руководителя организации. Кстати говоря, квалификатор «с использованием служебного положения» де-факто применяется не в том смысле, что сотрудник работал в данной области, а что занимал руководящую должность, что дало ему дополнительные возможности к совершению преступления.
не всегда, сильно зависит от ситуации, суда и прочего
От этого всегда зависит, согласен. И да, скользких вопросов, которые можно двояко трактовать, тут много, и фактически мы сейчас строим домыслы на основании статьи о техническом решении.
по-хорошему тогда каждому работнику нужно под подпись давать что руководство может читать рабочую почту, подключаться к рабочему столу, делать снимки экрана, скрытое видеонаблюдение и т.д., а не просто осуществлять абстрактный технический контроль.
Да. Там, где я работал, так и делалось, и подписывал эту кипу бумаг каждый работник, наряду с инструктажем по технике безопасности, пожарке и так далее. Да что там, регламент по использованию электронной почты на 4 листа рассылался всем. Принцип «больше бумаги — чище ж… а» никто не отменял.
vedenin1980
08.09.2015 18:34+1Тут уже приводили аналогию с атомными бомбами, так вот — вина за уничтожение городов лежит не на том, кто бомбу изобрел, не на том, кто ее сбросил, а на том, кто отдал приказ ее сбросить.
То есть вы правда считаете, что те кто пытал и убивал людей в концлагерях невиновны? Ведь они только лишь выполняли приказы.
Очень у вас интересная позиция в этическом вопросе.Shoohurt
08.09.2015 18:42Ну вот тут я поспорю (хотя взглядов автора не разделяю). Люди, о которых Вы говорите, совершали преступные действия, автор же был лишь поставщиком инструмента. В рамках Вашей аналогии автор был бы вовсе не палачом, а поставщиком оружия. Другой вопрос, что он знал, в каких целях это «оружие» будет применяться, но свое отношение к этому он уже объяснил выше.
vedenin1980
08.09.2015 18:54автор же был лишь поставщиком инструмента. В рамках Вашей аналогии автор был бы вовсе не палачом, а поставщиком оружия.
Не совсем, как я понял, он сам ставил программы, сам их запускал и проверял работоспособность. Это очень далеко от «поставщика оружия». Это равносильно «я заведу с автоматом толпу обреченных людей в газовую камеру, все подключу, но раз кнопку пуска газа нажмет кто-то другой, я тут ни в чем ни виноват, я белый и пушистый». И так десять тысяч раз.
musuk
08.09.2015 19:10+1Вина лежит на всех у кого есть выбор. У учёных есть возможность послать всех и отказаться, у пилотов тоже.
Помните, что «я исполнял приказ» в Нюрнберге не прокатил.
И у сотрудников Роскомнадзора есть выбор: пойти подметать улицы или блокировать Википедию.
Даже у разработчиков Guard Mail.ru есть такой выбор.
Вы тоже можете сказать работодателю, что для таких задач ему стоит найти другого человека, а самому найти другую работу.
Принцип «пусть кто угодно, но не я» намного лучше, чем «если не я, то кто-то другой, а я денежку домой принесу» по-крайней мере в мире становится больше хороших людей.
WeslomPo
09.09.2015 09:50+2Задача непосредственного начальника этого знать чем занят сотрудник. И когда я говорю «знать», это не следить за ним исподтишка, а выполнять работу руководителя. Давать задачи, следить за их выполнением, планировать новые. И если сотруднику не додают загрузку и он в рабочее время может заниматься чем-то помимо работы — это означает что руководитель не нарастил достаточно стали на яйцах, и ему требуется обучение, отдых или помощник.
Наблюдение за сотрудниками без их явного согласия, противозаконно и аморально. Сродни скрытной установке прослушивающего оборудования (а так же его изготовление и распространению), что в нашей стране является серьёзным поводом оказаться за решеткой.AIFrame
09.09.2015 12:04+1Наблюдение за сотрудниками без их явного согласия, противозаконно и аморально. Сродни скрытной установке прослушивающего оборудования (а так же его изготовление и распространению), что в нашей стране является серьёзным поводом оказаться за решеткой.
Только не тогда, когда начальник СБ — бывший опер и тесно сотрудничает с друзьями из ФСБ и МВД.WeslomPo
09.09.2015 15:13+1От того что начальник кто-то там и/или с кем-то там тесно сотрудничает, не отменяет того, что данная деятельность является противозаконной и аморальной.
AIFrame
09.09.2015 16:49-4Не отменяет. Но и сама вероятность при этом что-то где-то понести стремится к нулю. Даже если дело не замнут, меня предупредят и поставят задачу «все убрать и замести следы» еще до того, как кто-то где-то этим вопросом заинтересуется.
Мне, кстати, немного непонятно, почему все обсуждение сводится к каким-то моральным и юридическим аспектам слежки, личной тайне и прочему, в то время как в статье эти вопросы вообще не поднимаются. До сих пор я увидел только один комментарий по заявленной теме, в котором со мной поделились идеями, как это улучшить. Все остальное — беседы на отвлеченные философские вопросы и личные мнения.musuk
09.09.2015 17:05+2Следить за сотрудниками без их ведома — это гадко. Вы сделали гадость и написали о её технической реализации.
Собственно, ваша техническая реализация абсолютно не интересна, а вот аморальный аспект вашей деятельности оказался более интересен. Ибо народ стал думать, что бы он сделал на вашем месте или на месте работника, который обнаружил жучок.
Малое количество комментариев «по теме» так же говорит о том, что хороших людей на хабре всё-таки больше.
Кстати, тут был уже ваш предшественник, который SSL-сертификаты пользователям подменял, чтобы HTTPS-трафик снифать. Жаль, что он выпилил свою статью, там были хорошие комментарии.Drag13
09.09.2015 17:08+2Вопрос даже не в том, что гадко. Может у человека совсем безвыходная ситуация получилась, всяко бывает. Вопрос в том, что сообщество не хочет видеть рядом того, кто не видит в этом ничего плохого.
scarab
09.09.2015 17:44+1Кстати, тут был уже ваш предшественник, который SSL-сертификаты пользователям подменял, чтобы HTTPS-трафик снифать.
Вообще говоря, этот функционал — часть любой энтерпрайз DLP-системы, да и не только энтерпрайз.
Вот, например, здесь же, на Хабре, обзор нескольких DLP-систем, где в частности чёрным по белому написано — «мониторинг HTTP/HTTPS».
От того, что Вы лично считаете это гадким — рынок не изменится. Это востребовано — значит, это есть и будет. Просто можно уподобиться страусу, сунуть голову в песок и продолжать жить в мире, полном розовых пони — а можно принять «реальность, данную нам в ощущениях». И не читать личную почту на работе, например, зная, что трафик может отслеживаться.musuk
09.09.2015 19:00Тот товарищ работал в провайдерской конторе и подсовывал левые сертификаты, чтобы не блокировать сайт целиком, а дешифровать трафик и блокировать только URL из реестра.
Я думаю, что вряд ли вы будете рады, если провайдер будет снифать данные вашей кредитки.
Понятно, что люди далеки от идеала и за деньги или от страха готовы на многое, но оценка гадости, как гадость — это уже хорошо.
Хуже, когда люди будут считать это нормой.
DPI сама по себе штука нейтральная и в некоторых местах очень полезная, как видео-наблюдение в магазинах.
Но в магазинах висят соответствующие значки. А здесь разговор идёт о скрытом наблюдении.chelaxe
09.09.2015 19:15+1В горячих спорах с руководством таки добились того, что https трафик не трогать, а Роскомнадзору отписывать о технической сложности блокирования данного трафика. В результате некоторых судебных дел пришлось блокировать весь домен. Несмотря на этот факт считаю его лучшем из зол. Лучше блокированный домен, чем расшифрованный трафик.
musuk
09.09.2015 20:16Ну там народ в комментариях так и сказал. Лучше уж блокировать весь домен, чем делать дырку и давать возможность воровать куки и приватные данные.
AIFrame
10.09.2015 03:35-6Как вы лихо всех поделили на хороших и плохих. И сразу весь мир стал в черно-белую полосочку.
В общем, среди таких «белых» как вы, я очень рад оказаться «черным» на этой вашей хабре.
scarab
09.09.2015 17:33Потому что для IT-сообщества в среднем характерен некоторый идеализм и перфекционизм.
И чем меньше шансов побороть то, что не нравится, в жизненных реалиях — тем ярче желание противостоять этому хотя бы на бумаге. Слова о том, что «да я, если чо, уволюсь, но от правды не отступлюсь!» я слышал много раз; на практике духу хватало очень немногим, потому что оказывалось, что кризис, что надо кормить семью, что внезапно предлагали повышение зарплаты… и благородный порыв куда-то девался.
А вот обвинить другого и плюнуть в карму, дабы предстать борцом за правое дело — это да, это не требует особых усилий, потому столько и желающих.vedenin1980
09.09.2015 17:49+1я слышал много раз; на практике духу хватало очень немногим, потому что оказывалось, что кризис, что надо кормить семью, что внезапно предлагали повышение зарплаты… и благородный порыв куда-то девался
Тут вопрос не в этом, понятно что если совсем от голода прижмет то и человечину есть скорее всего будешь, тут не в этом дело. Скорее в том что автор считает это нормальным и в том что автор хочет чтобы ему ещё и помогали советами. Ну вот не хочу я помогать советами человеку, который планирует ограбить детский дом (и считает это нормальным), это идеализм? Хотя да, я допускаю мысль что если мне когда-то вообще есть нечего будет я соглашусь и на ограбление детского дома…
AIFrame
10.09.2015 20:48-6Обвинить и плюнуть в карму? Мда, значит сообщество хабры не далеко ушло от стада из соц.сетей, типа втентакликов и мейлрушечек.
Ну ничего, найдем аудиторию, не страдающую идеалистичным моралфажием головного мозга.
grossws
10.09.2015 22:12+2После таких жалоб плюс к слову-которое-нельзя-называть превращается в минус, да.
musuk
10.09.2015 22:20+3Вы говорите так, будто моралофажие, это что-то плохое.
Но на самом деле, это называется профессиональная этика. Такая важная штука, которая говорит нам, что плохо рассылать спам, воровать данные кредиток, следить за пользователями без их ведома, применять вирусы, хачить лотереи, разрабатывать спамные тулбары.
То что вы решили быть над моралью не делает вас выше стада. Собственно, человек оскотинивается в том числе и от того, что перестаёт иметь моральные принципы.
MacIn
10.09.2015 23:22+4втентакликов и мейлрушечек.
Характерный маркер: обычно люди относятся к соцсетям только как к дополнительному средству связи. И только особо одаренные намеренно искажают название и Несут Свет Правды в массы, обличая эти исчадия ада. Дельфин среди анчоусов?
В общем, среди таких «белых» как вы, я очень рад оказаться «черным» на этой вашей хабре.
Тоже интересно: сначала облить всех помоями, потом удивляться тому, что вас «не любят». Поразительная незамутненность сознания.webkumo
11.09.2015 03:02+3Ну что вы так жестоко! Человеку, понимаешь, «безопасник» мозги промыл, авторитетом задавил — у него ж просветление было! А тут толпа «коршунов» со своей профессиональной этикой! Вот куда теперь бедному малышу? Только обратно под крылышко «безопасника», дальнейшие свершения творить!..
PS а вообще, конечно, печально, что из стольких комментарий человек так и не понял, в чём именно проблема. Понятно, что далеко не все из тех, кто резко-негативно оценивал вызвались бы оповещать народ и писать заявления… Но блин, хвастаться-то зачем!!!scarab
11.09.2015 15:13-2Как по мне — так это разница в подходах.
Если человек сидит и честно работает — ему нечего бояться, что за ним будут наблюдать. Его это вообще волновать не должно, его должно волновать выполнение своих должностных обязанностей.
А вот если человеку оплатили рабочее время, предоставили компьютер, интернет — а он сидит и читает личную почту или треплется в одноклассниках — он тем самым обворовывает работодателя. На три копейки, может быть — но обворовывает. И если мне платят, чтобы я помог выявить вора — то я считаю это абсолютно нормальным и совесть меня не гложет.webkumo
11.09.2015 16:08+3Т.е. вы работали «под колпаком»? Или всё-таки говорите абстрактно?
Объясню свою позицию с двух сторон — теорий и (будет ниже) практики:
— модель «программист» — зависит от квалификации, опыта и ряда других обстоятельств, но в любом случае набор кода — существенно меньше 100% времени. Когда программист читает хабр — он обворовывает работодателя? А стековерфлоу? Бывают, конечно, и всякие «газета.ру» и кошечки и т.д. Но в сумме, в большинстве случаев, это просто сброс кешей, чтобы можно было взглянуть на задачу с другой стороны, получить новые отправные точки и т.д. Если вы изучали ТК и стандарты, на которые он опирается — программист вообще каждый час должен перерыв делать. Ну так каков ответ? Всё-таки ворует? А если он по дороге домой или дома думает над рабочей задачей?
— модель «менеджер по работе с клиентами» — клиентов на горизонте нет, человек залез в свой вконтактик/почту — это тоже обворовывает работодателя? При этом скорость переключения на клиента — пара секунд максимум.
аналогичным образом бывают паузы в работе у почти всех ролей рабочих офисного типа (хотя и у заводских рабочих паузы тоже бывают, там просто нет удобного инструмента времяпрепровождения). Но при этом, заметьте, с точки зрения такого безопасника этот самый вконтактик будет нарушением. А то, что, например, этот менеджер справляется со всей полагающейся нагрузкой — его не будет интересовать. И что, это всё ещё «ворует»?
Но это всё теория. Которая говорит — если сотрудник справляется, то why not? Не в Японии/Германии/где-там ещё всё очень строго живём.
Теперь практика (мой личный опыт):
У одного из прошлых работодателей перевели в офис, где были натыканы камеры, охватывающие все рабочие места (там по идее офис для менеджеров был) + иногда система подглючивала (очень похоже на симпотматику подключения к сервису слежения), бумаг никаких на подпись про видеонаблюдение — не давали.
Так вот — отвратительные ощущения. Мне неприятно, когда кто-нибудь в любое рандомное время смотрит в мой монитор (другое дело показывать какие-то моменты при общении/объяснении чего-либо). Вот просто неприятно. И отвлекает. От той самой работы, за которую платят. Т.е. тот кто смотрит обворовывает работодателя, согласно вашей логике? Я, кстати, и опен-спейсы н люблю.scarab
11.09.2015 16:56+1Т.е. вы работали «под колпаком»? Или всё-таки говорите абстрактно?
Да, безусловно. Причём по полной программе — скрытое видеонаблюдение во всех помещениях (кроме туалетов, разве что), прослушка помещений, запись всех телефонных разговоров, логи прокси, контроль мониторов, «теневое копирование» всех распечатываемых в организации документов, почты и так далее.
Но это всё теория. Которая говорит — если сотрудник справляется, то why not?
А вот это хороший, правильный вопрос.
Я, как и Вы, считаю, что бездумное запрещение всей нерабочей деятельности несёт только вред, психологический дискомфорт и прочее. И что правильный руководитель должен сам оценивать работу своих подчинённых.
Но это не означает, что данные не должны собираться. Должны. А вот как именно они будут анализироваться и будут ли по итогам применяться какие-то репрессии — это зависит от вменяемости руководства. Если у руководителя нет мозгов — ну да, он сэкономит три рубля, но потеряет триста, когда работающий в состоянии дискомфорта сотрудник уволится и придётся искать и обучать нового.
Но я также сталкивался, и не раз, со случаями, когда эти меры позволяли найти реальные нарушения — «слив» информации, разглашение банковской тайны и прочее. Что приводило и к увольнениям, а как минимум однажды в моей практике — к уголовке. Не следил, что там было дальше, но что завели дело — знаю.
Так что само по себе техническое решение, я считаю, не несёт в себе ни добра, ни зла. Вот если автор статьи, или его «безопасник» сядет читать чужую почту, а потом начнёт шантажировать людей «а вот я знаю, что ты спишь с секретаршей и расскажу твоей жене» — вот это да, будет гнусно.
И поверьте, это копание в чужом нижнем белье нормальному человеку никакого удовольствия не доставляет. Просто это работа такая. И обычно «в поле зрения» СБ потенциальные нарушители попадают не техническими методами — «портрет злоумышленника» и прочее — это уже совсем другая история. Когда начинают копать — скорее всего, уже примерно понятно, что ищут и просто нужны доказательства.
MacIn
11.09.2015 16:10+1Если есть задача предотвратить воровство, а не поймать на горячем с непонятно какими целями (а-ля твоя рожа мне сегодня не нравится, а вот и повод уволить), то надо эту систему ввести явно.
Всем хорошо: работники — работают и при этом знают, что за ними смотрят. Хозяина предприятия не обворовывают. Совесть инженеров тоже чиста.scarab
11.09.2015 17:41Оно так, да и с точки зрения возможных проблем с законодательством корректнее, когда сотрудники сами подписались.
Но есть нюанс: злоумышленник в этом случае тоже будет знать и постарается найти обходные пути.
Я помню случай, как в одной организации ушлый охранник ночью стибрил со склада новенький компьютер. Открыл помещение копией ключа, нашёл и перерезал (а потом скрутил обратно) провода от магнитного замка — и спёр. А чтобы не попасться под видеонаблюдение, о котором он знал — выключил в коридорах свет.
Но вот он не знал, что видеокамеры оснащены инфракрасной подсветкой. Ну а дальше — прижали к стенке, ткнули носом в скрутку проводов, в записи — чуваку ничего не оставалось делать, кроме как расколоться.
А теперь вопрос: что было бы, если бы он знал про подсветку? Удалось бы найти и доказать? Не факт.
Так и со всем остальным. Перекрыть вообще все каналы крайне сложно и уж, во всяком случае, очень неудобно (помним, что безопасность обратно пропорциональна удобству) и такое закручивание гаек сделает жизнь людям куда хуже, чем можно было бы. Так зачем этот геморрой? Прокалываются-то злоумышленники обычно на мелочах.webkumo
11.09.2015 21:45Скорее всего, он не стал бы нарушать, на самом деле. Этот кадр из «воров с кондачка» — т.е. ему просто показалось, что легко, вот он и спёр. А если бы он знал, что нелегко (а вы попробуйте обойти ИК-подсветку без палева)… то скорее всего — не стал бы.
AIFrame
11.09.2015 16:25-1Меня абсолютно не интересует «Любовь» среди местных обитателей, у мешая нет проблем с самооценкой. И помоями я тут никого не обливал.
Статья с простым, бесплатным и легким решением, которая может сэкономить кому-то время и нервы, когда перед ним поставят такую задачу.
Согласен с одним из мнений тут, что эти 100+ (на данный момент) комментов исключительно из желания предстать «правильным». Легкая кармочка для тех, кому это важно.
Интернеты изобрели для того, чтобы было проще делиться информацией. Любой информацией. Данный тематический портал принял мою статью, значит счел ее подходящей под свою тематику.
Ваше отношение к каким-то там этическим проблемам, которые вы тут увидели — сугубо Ваши страхи пачкать руки и не решать задачи, «потому что религия не позволяет».
У меня нет моральных предубеждений, я — мудак и скотина, но я это сделал. Deal with it.MacIn
11.09.2015 16:58+2Согласен с одним из мнений тут, что эти 100+ (на данный момент) комментов исключительно из желания предстать «правильным». Легкая кармочка для тех, кому это важно.
Глупая пародия на «не мы такие, жизнь такая». Остальные просто «пытаются», мол, «предстать».
Самому не смешно?
Меня абсолютно не интересует «Любовь» среди местных обитателей, у мешая нет проблем с самооценкой.
У меня нет моральных предубеждений, я — мудак и скотина, но я это сделал. Deal with it.
Верим, верим. Тогда к чему эти сопли:
Обвинить и плюнуть в карму? Мда, значит сообщество хабры не далеко ушло от стада из соц.сетей, типа втентакликов и мейлрушечек.
И помоями я тут никого не обливал.
Ну да, ну да. «стадо» это нынче положительная характеристика.
Статья с простым, бесплатным и легким решением, которая может сэкономить кому-то время и нервы, когда перед ним поставят такую задачу.
И это замечательно, к этому никаких претензий. «За изобретение — 5, а по предмету — неуд». Люди возмущаются скрытой слежкой и тем, что это вас не возмущает. А не самим фактом решения задачи.
bARmaleyKA
09.09.2015 13:11+1Можно подойти с вопросом, но с другой стороны?
Ведь как известно рыба гниёт с головы, да и весомые беды компании чаще могут принести и приносят всевозможные шишки с буграми и начальнички с начальниками нежели рядовые работники. Это к чему веду: раз пошла такая пьянка, так пусть всем ставят сии тихушные приблуды от мало до велика и делают свободный доступ, чтоб каждый сотрудник при желании мог зайти и посмотреть кто чем занят. Шеф глянуть на то как подчинённый выполняет поставленную задачу, но и подчинённый на равных может посмотреть как руководитель занимается аналитикой происходящего и планированием грядущего, причём связанного с работой, а не с предстоящей пьянкой.
Кто-то возразит, что рабочий процесс может превратиться в перманентное слежение друг за дружкой. Ну тут уже вопрос мотивации и вовлечённости.WeslomPo
09.09.2015 15:17+2В предприятии форма правления не демократия. И отношения между работником и работодателем регулируется определенными документами. Поэтому шеф вам ничего не обязан показывать, а вы не обязаны участвовать в реалити шоу без согласия. Как и выполнять действия не указанные в вашей должностной инструкции или договоре.
Shoohurt
Два очевидных вопроса:
— сотрудники компании подписывали что-то, где хотя бы мелким шрифтом указано, что за ними будет установлена слежка?
— какие ощущения испытывали лично Вы, выполняя этически спорную просьбу начальства?
ksenobayt
Моя внутренняя ванга подсказывает, что товарища не особенно спрашивали, жаждет ли он это реализовывать.
С другой стороны, в большинстве случаев, безопасник не является непосредственным начальством, и всегда можно было попробовать заредиректить его запрос на свою «крышу».
Lopar
Чаще всего «крышей» является далёкое от всего руководство, которому объяснений безопасника в стиле «вот и увидим кто зарабатывает вам деньги, а кто просиживает штаны в социалочках» хватает просто за глаза.
ksenobayt
Ну, это, на самом деле, зависит от размера конторы. В больших корпорациях, конечно, с этим могут быть проблемы.
Могу из своего опыта сказать, что в одной большой и полосатой фирме непосредственного наблюдения за большей частью персонала нет, за исключением некоторых сотрудников, работающих сразу с клиентурой, которые о факте наблюдения, разумеется, в курсе. Из коробки в чистом образе есть гора разной полезности инструментов, которые позволяют собирать достаточно полную статистику.
На моём нынешнем же месте работы я ограничился и вовсе лишь OCS Inventory, сугубо информационных нужд для — даже не стал прятать иконку демона от юзеров: они в основе своей достаточно грамотные люди, чтобы найти скрытый сервис энивей.