Хочу поделиться своим опытом прохождения полиграфа в качестве кандидата, а так же тем какие проблемы я увидел в этом процессе, какие есть пути решения и почему вам оно не нужно. Возможно многим это будет интересно и изучив мой опыт смогут принять более осознанное решение если встанет выбор проходить тестирование или нет.
Началось все как обычно: перед Новым годом очередной сорсер написал мне в телеграм, что есть интересная позиция руководителя небольшой бекенд команды на новый проект. Так как в данный момент я открыт для потенциально интересных предложений мы быстро назначили первое техническое собеседование.
Само собеседование мне скорее понравилось, оно было 1 на 1 сразу с CTO, стандартные вопросы по java в стиле чему равно Integer.valueOf(10) == Integer.valueOf(10);такие модно было спрашивать в 2008 году. Немного задач на ревью кода, немного на sql. Но собеседование затянулось на 2 часа, о чем меня конечно не предупредили, и из-за этого я пропустил рабочую встречу, мелочь, а неприятно. В общем и целом мне показалось, что отвечал отлично, знал все. Так же на этом же собеседовании мне заявили, что необходимо пройти комплекс тестов на интеллект, психологию онлайн и полиграф. Тут бы уже стоило прекратить общение, но в силу того что времени поразмыслить обо всем этом у меня не было, а так же в силу природного любопытства — я согласился.
Тестирование было согласовано на праздничный день в новогодние каникулы, я честно рассчитывал на 40 минут + поездка на другой конец города. Это было очередной моей ошибкой, так как не уточнил детали заранее. Полиграфолог на месте объяснила, что полноценное качественное тестирование может длиться до 4 часов. За 40 минут только при приеме на службу в полицию тестируют.
Сам процесс тестирование мне подробно описали, так же описали принцип работы полиграфа и какие параметры он считывает: их всего три (пульс, дыхание, кожная проводимость). Спросили что еще я знаю про полиграф: я высказал мнение моего родственника который всю жизнь работает психологом в полиции: полиграф это ерунда полная и с этим согласны даже штатные полиграфологи МВД. На что мне ответили что в полиции подход несерьезный, не то что у нас.
Первый этап тестирования без подключения полиграфа: проработка списка вопросов который будет задан впоследствии (этот этап требуется по закону). На любой вопрос можно не отвечать. Кроме того на этом этапе были ряд вопросов которые небыли заданы на самом тестирование: например про заболевания и судимости родственников. Больше всего конечно меня напрягало, что все интервью идет под видеозапись (но об этом позднее).
Второй этап: съем контрольных показателей. На этом этапе нужно несколько минут просто сидеть с закрытыми глазами, потом поиграть в игру: обмани полиграфолога. Выбираешь из колоды случайную карточку с фигурой. Полиграфолог задает вопросы о цвете и форме фигуры. На все вопросы нужно отвечать отрицательно. У меня была забавная ситуация, что изначально я неверно оценил цвет фигуры - она была синяя, а я решил - фиолетовая. Из за этого мои реакции на это вопрос отличались от ожидаемых.
Наконец этап регистрации: Задают вопрос, потом 20 секунд считывают показания. Если в за это время показатели отличались от ожидаемых то тебя просят рассказать о чем ты думал в это время. Например:
— Вы никогда не хотели подзаработать на торговле наркотиками?
— Нет.
— О чем вы сейчас подумали?
— О том что наркоторговля крайне высокорисковый бизнес.
Если на вопрос не удается ответить так, что бы не происходила активная работа воображения, то полиграфолог переформулирует вопрос таким образом что бы на него было проще ответить, например:
— Вы когда либо причиняли вред компании?
— Нет. идут нежелательные скачки мозговой активности. Я вспоминаю все свои косяки за 15 лет.
Далее вопрос переформируется в: Вы когда‑либо намеренно причиняли вред компании?
‑Нет. Тогда все ок.
Так как претензий по честности моих ответов особых не было - мы уложились в 2 часа из заявленных 4.
После тестирования мы по моей инициативе еще некоторое время поговорили про ответственность полиграфолога и ее подход к хранению данных, тут то я и осознал всю глубину их проблем:
По хранению видеозаписи девушка заявила, что никогда не пересылает эти записи через интернет и не хранит их на компьютере который подключается к интернету. Это конечно похвально, но видимо в уме обывателя кража данных хакером через интернет единственный вариант атаки. Кроме того выяснилось что компьютер на котором проводится тестирование не подключается к интернету никогда кроме случаев отправки результатов по почте и для обновления базы антивирусов, ну ОК.
Видеозаписи хранятся в открытом виде на внешнем жестком диске, который человек хранит в ящике стола или же носит с собой в сумочке, ну ООК.
Результаты тестирования отправляются в открытом виде заказчику по почте. Кроме того согласно закону, срок хранения таких данных минимум 3 года, ну ОООК.
Вообщем зная это можно рассмотреть варианты случайной или умышленной утечки критичных данных. Данных которые могут и будут использованы для шантажа как полиграфолога, так и тестируемых лиц:
Кража жесткого диска: элементарно вырвать сумочку из рук, кража из машины или же сразу из офиса (в офисе я не заметил какой-либо сигнализации, офис на первом этаже жилого здания, на окнах решеток нет, влезть туда минутное дело)
Родственники полиграфолога (например дети подростки) зная содержимое диска могут за карманные деньги продать данные в даркнете.
Другие сотрудники компании могут скопировать данные перед увольнением и продать их позже.
Утечка пароля от почты даст злоумышленникам всю историю тестирования за несколько лет, кроме видео.
Cам полиграфолог может стать жертвой шантажа или подкупа.
Банальная халатность и потеря диска.
Наконец я бы не исключал вариант прослушки офиса, он очевидно довольно слабо от этого защищен.
Поразмыслив над увиденным несколько дней я, в качестве упражнения для ума, составил список требований которые должны выполнятся такими организациями и заказчиками, на случай если мне снова предложат пройти тестирование:
Если видео запись тестирования необходима, то должна применятся схема с ассиметричным шифрованием. Публичный ключ хранится на компьютере, приватный в банковской ячейке.
Установлены четкие правила удаления данных по истечению определенного срока (месяц, 3 месяца) или наступления определенного события (принятие или отклонение оффера)
Результаты тестирования хранятся в зашифрованном виде аналогично видео.
Результаты тестирования передаются через защищенные каналы (одноразовые чаты) без сохранения истории.
Результаты тестирования хранятся у заказчика строго определенное время или до момента принятия или отклонения оффера.
Установлен четкий круг сотрудников заказчика которые имеют доступ к результатам тестирования.
Помещение где проводится тестирования регулярно проверяется на предмет записывающих устройств.
Соблюдение выше описанных ритуалов регулярно проверяется независимой организацией специализирующейся в ИБ.
Риск утечки данных застрахован на разумную сумму (допустим 10 млн рублей)
Компания заказчик оплатит мне один рабочий день вне зависимости от результата (все ж 4 часа плюс дорога)
Опционально, но желательно: данные шифруются вторым публичным ключом принадлежащим независимой организации: страховой компании или нотариусу.
Если вам кажется, что эти правила избыточны или параноидальны, то вероятно вас еще не пытались шантажировать :) Хотя с моей точки зрения соблюдение таких мер вполне разумно и реально, но я так же понимаю, что это кратно увеличит стоимость тестирования и никто и никогда не станет так заморачиваться, во всяком случае пока в законе не будут прописаны аналогичные меры и ответственность.(хотел тут привести здесь ссылку на закон, но выяснил, конкретного действующего закона о тестирование на полиграфе в РФ нет, был законопроект который не прошел в госдуме, так что все регламентируется просто ТК)
Почему вам не нужно проходить тестирование: риски утечки данные и шантажа существуют, но это все же только вероятности. А вот если вы обладаете богатым воображением, то неизбежно вас ждут несколько недель не самых приятных размышлений, как и случилось со мной. Оно того не стоит, поверьте.
Почему компаниям которые нанимает программистов не нужно проводить тестирование: В компании в которой я работаю (не самой престижной и пафосной) мне нужно провести порядка 20 собеседований и в итоге только ОДИН человек выйдет на работу. Если к этому добавить еще и полиграф, то нанять хоть кого-то станет нереально, так как 9 из 10 кандидатов откажутся, и правильно сделают :) Проблема найма сейчас стоит довольно остро.
Как обмануть полиграф? - не исследовал этот вопрос специально, но подозреваю контроля своих реакций можно достичь тренировками с обратной связью. Человек может контролировать дыхание и даже сердцебиение (если есть обратная связь в виде пульсометра). Предполагаю, что если найти знакомого полиграфолога с оборудованием и провести пару десятков сеансов тестирования на которых вы будете смотреть на монитор когда говорите правду и ложь, вы сможете понять что к каким реакциям приводит и научитесь их контролировать до некоторой степени. Очевидно это не сработает с полиграфами которые работаю в паре с МРТ томографами. Как объяснила полиграфолог в России такая техника пока не применяется, ибо очень дорого, но в ЕС и США уже вполне.
Ну и вопрос который неизбежно всплывет в комментариях: Компания заказчик исследования это некая DataUniverse, какое-то ИТ подразделение компании в сфере фармакологии, больше ничего не знаю.
Другой вопрос который будет поднят: Тебе разве есть, что скрывать? Если ты так заворачиваешься - значит есть, а значит не подходишь компании. Я думаю: что всем есть, что скрывать даже если это лежит в рамках закона, есть вещи о которых просто неприятно делиться с незнакомыми людьми.
Мне было бы интересно узнать мнение хабравчан, специалистов по ИБ и полиграфологов (если таковые имеются на хабре): видятся ли вам перечисленные риски и меры защиты обоснованными или же совершенно надуманными.
Комментарии (46)
koldyr
16.01.2024 13:40Интересно, что такого делает компания, что вот это вот все. И что это за должность Человеку рута от процессингового сервера собирались доверить, что-ли?
konst90
16.01.2024 13:40+4Для вот этого вот всего достаточно ушибленного головой директора, а сфера деятельности компании совершенно не важна.
kekoz
16.01.2024 13:40Я имел полный доступ к “процессинговому серверу”.в одной очень известной в РФ процессинговой компании на букву Хэ, и никакого полиграфа при собеседовании мне не предлагали.
А в одной не очень известной (но с огромными оборотами) компании, занимающейся “химией” для переработки мясной и рыбной продукции, где я выступал лишь в роли аудитора, регулярно выписывали для собесов “полиграфологов” аж из Израиля.
Практика применения полиграфа слабо коррелирует с родом деятельности компании. Но сильно казуирует с полезностью шапочки из фольги для руководства компании.
Lord_Alzov
16.01.2024 13:40+6Я бы сразу отказался, полно компаний без цирковых клоунов, которые берут на работу, везде же кричат, о том, что сеньеров не хватает, а тут полиграф. Лучше бы технические навыки проверяли и реальный опыт, а не вот эта ерунда.
Breathe_the_pressure
16.01.2024 13:40+4У нас в конторе проверяли на полиграфе, но я где-то затерялся и меня не пригласили. Но когда я готовился, прочитал статью как обмануть полиграф. Методика такая, на каждый вопрос отвечать правильно, но в голове, а затем выдавать ложные показания голосом. Например, - Вы украли миллиард на прошлой работе? "Да" - Нет!
Типа так не возникает эмоционального ответа.
Попробуйте как нибудь, а то я уже уволился оттуда.
hullaballoo
16.01.2024 13:40+1согласно закону, срок хранения таких данных минимум 3 года
А можно ссылку? Или дело не в РФ?
Сходу я не нашёл каких-то регулирующих документов именно в отношении полиграфа. С другой стороны, результаты - это в полный рост ПДн (а так-то можно постараться и натянуть биометрические ПДн на это) и обработка их без надлежащего согласия не допускается, к хранению предъявляется вагон требований, а главное - по достижении (вынесение решения о приёме или отказе в приёме на работу) цели они должны быть уничтожены без напоминаний, а Вы, как субъект, можете потребовать удаления и отказать вам, за исключением оговорок по закону, не могут.
kazimir17 Автор
16.01.2024 13:40Верно, все компании по тестированию выкладывают у себя на сайте некий документ который вроде как регламентирует их деятельность, но он не имеет юридической силы
johnfound
16.01.2024 13:40+4А я бы согласился, потому что интересно, а потом отказал бы работу, потому что если нет взаимного доверия, то и работать будет очень сложно и неприятно.
Ну, кроме как если CTO согласиться тоже пройти полиграф с моими вопросами. Тогда может и не откажусь если ответы понравятся.
Moog_Prodigy
16.01.2024 13:40+7Как много слов сказано о неэтичности, нескромных вопросах, утечке ПД, крали ли вы у компании, и почему так не считаете? А компания вот считает...
И ничего не сказано об обратной стороне этого действа. Собственно сам полиграф - это прибор для отвлечения внимания. Вы когда нибудь проходили освидетельствование у психиатра - на предмет того, что вы не дурак, можете водить машину или иметь оружие? Ну суть в чем, она вопросы задает, а вы отвечаете. Нет никакого приборчика. Есть только вопросы - они и есть сам приборчик с фокусом. Можно отвечать что, да, я только вчера получил на карту украденный миллиард с прошлой работы. Можно клясться и божиться что ни копейки с работы не вынес. Психиатру не особо важны ваши ответы, он смотрит реакцию на свои вопросы. И есть довольно простые методики выявлять по косвенным признакам, что человек что-то скрывает. Не "врёт", это не детектор лжи из фильмов. Эти методики наработаны не психиатрами, а как раз специалистами по криминалу - следователи, дознаватели, когда у нас там "слово и дело" появилось? Ну вот с тех пор методы стали изощреннее, более гуманные, глубинные, а суть не поменялась. Именно поэтому кажется, что полиграф очень походит на допрос. Вам не кажется, это так и есть. Просто раньше вгоняли иглы под ногти, а сейчас вежливенько смотрят на графики с приборов.
И второй аспект - это запугивание компанией сотрудников на входе. Чтобы так сказать, осознали, в какую серьезную фирму им предстоит попасть. Целей тут сразу несколько - те, кому есть что скрывать - откажутся и отвалятся с найма. Другие, которые вроде бы ничего никогда предосудительного не делали - сделают ушки на макушке, мол тут все серьезно! Так что - ни ни! И третья цель - ты прошел столько кругов ада, полиграф, мы же видим что ты честный человек, поэтому мы же одна семья (далее типовой текст о том, что все должны пахать по 24 часа в сутки и уход домой хотя бы на ночь это добрый жест фирмы). В японии очень любят так делать, ну и наши "дефективные" насмотрелись и внедряют, не включая башку. Как и канбаны, 5С и прочую муть, в которой толком не разобравшись сразу внедряют штрафы и "больше трех не собираться" или "два инструмента на столе - повод к лишению премии".
В любом случае - говорят полиграф - нафиг.
AnGord
16.01.2024 13:40+8По моему это уже не норма - видишь при трудоустройстве на обычную должность в обычную компанию СТРАННОЕ ( психологический тест на ннадцать страниц, полиграф, анкету в которой, пытаются узнать все подробности вашей и ваших родственников жизни ), обходи такую компанию стороной.
Quackerjack
16.01.2024 13:40Полиграф, ничего кроме психосоматики и активности мозга (если есть доп. датчики) не показывает. Выводы, которые из этих показателей делает специалист - это чисто его опыт поведенческого восприятия человека + эти показатели. Итог - оценка получается крайне субъективной и "средней по палате", привязанной к еще и к шаблонам менталитета усвоенным специалистом.
Такая статистическая оценка это всегда про ошибку.
Теперь к сути, большинство людей патологические лгунишки разной степени, например подруга/друзья/коллеги что-то спросили и ты на автомате соврал, даже не покраснел, и на чистую воду тебя выведут только факты, те что-то апостериорное о тебе.
Итог, если вы не верите в полиграф, а в него нет оснований верить, непринужденно отвечаете имея такое знание - никакие калибровки и остальная "магия вуду" не позволят сделать вывод о вашей персоне. Метод оценки таким способом людей, нельзя назвать антинаучным, но он точно не претендует на приемлемое качество оценки, когда на весах жизнь или карьера человека. Наблюдение за человеком в процессе, сбор фактов, последующий опрос и итерации из предыдущих 3 пунктов, даст более достоверный ответ.
Lodinn
16.01.2024 13:40Интересно было бы услышать про то, насколько вопросы были личные - пусть в виде какой-то разбивки. Или даже так - про что, по мнению автора, можно вообще было бы сделать выводы из этого теста.
В статье примеров вопросов два, "причиняли ли вы вред компании" - формулировка крайне обтекаемая, но ОК; "думали ли вы подзаработать на наркоторговле" - ИМХО, уже не их дело, но ещё хоть как-то. Есть ли что-то ещё более отдалённое от профессиональной области: ссоритесь ли с родственниками, есть ли дети/собака/хомячок, верите ли в Летающего Макаронного Монстра? Или там два часа исключительно про "не занимались ли подлогом документов" и "насколько готовы вписываться за Компанию"?
Для background check полиграф, мягко скажем, такое себе решение: это век назад было ещё худо-бедно актуально, но не сейчас, когда каждый чих документируется.
kazimir17 Автор
16.01.2024 13:40Личные вопросы: наличие заболевание которые могут повлиять выполнять должностные обязанности, психические заболевания родственников, судимости родственников, связь с ОПГ, наличие долгов, увлечение азартными играми. Довольно личные как мне показалось
Kryptonets
16.01.2024 13:40+4Полиграф - это лженаучное приспособление, оно считывает лишь реакцию на вопрос, а не достоверность ответа на него.Это ангажированная методология, не соответствует стандартам научных исследований и не имеет научных доказательств достоверности.
LeetCode_Monkey
16.01.2024 13:40Ну, ОК. А всякие спецслужбы и прочие ЦРУ и ФСО зачем его используют тогда?
chieftain_yu
16.01.2024 13:40Нам разрешается прослыть невеждами, мистиками, суеверными дураками. Нам одного не простят: если мы недооценили опасность. И если в нашем доме вдруг завоняло серой, мы просто не имеем права пускаться в рассуждения о молекулярных флуктуациях — мы обязаны предположить, что где-то рядом объявился чёрт с рогами, и принять соответствующие меры, вплоть до организации производства святой воды в промышленных масштабах. И слава богу, если окажется, что это была всего лишь флуктуация, и над нами будет хохотать весь мировой совет и все школяры в придачу…
Рудольф Сикорски
Farongy
16.01.2024 13:40Так эти ребята сколько предложили +% к вашему текущему доходу?
kazimir17 Автор
16.01.2024 13:40Нисколько, отказали в итоге. Хотя как заявляли первые два раунда собеседований прошел на отлично. Вероятно не прошел полиграф
Farongy
16.01.2024 13:40Я имел в виду, до начала собеседований какую вилку называли?
kazimir17 Автор
16.01.2024 13:40В резюме было заявлено от 500 т.р. Я предположил, что если они начали общаться со мной, то готовы на это.
Kragius
16.01.2024 13:40Обычно такие конторы потом пишут, что готовы осчастливить соискателя нереальной зп в 200 т.р. ( и страховкой! Точнее половиной, вторую половину платишь сам ). И зп будет наполовину оклад, наполовину премия, которая "чисто формальность", но которую будут готовы снять по любому безумному поводу директора.
Есть какие-то эманации безумства в таких конторах, они живут совсем в другой реальности.
starik-2005
16.01.2024 13:40Не знаю, видимо я какой-то неправильный, но на последнюю работу когда устраивался, то проходил полиграф и беседовал с полиграфологом (кстати, очень была интересная и познавательная беседа). И тут же вырисовалась одна отличная вещь - в коллективе нет неадекватов вот вообще. С другой стороны, я не так и часто встречал неадекватов - их эйчеры на порог не приглашают, видимо, хотя я много где работал. ХЗ, может мне везло, ибо знакомые частенько рассказывали, что у них на работе временами творится - жесть.
kazimir17 Автор
16.01.2024 13:40+3За 15 лет в 10 компаниях я не то что б часто встречал неадекватов, может один или два раза, едва ли в этом заслуга полиграфа
starik-2005
16.01.2024 13:40Тут тоже палка о двух концах. Кто-то говорил, что на работе всегда есть такой человек, увольнения которого все очень сильно ждут. И если такого человека нет, то, возможно, это вы сами )))
domix32
16.01.2024 13:40беседовал с полиграфологом
ну то бишь получили небольшой сеанс недопсихотерапии бесплатно. можно ровно то же самое сделать и без оборудования.
AnSa8x
16.01.2024 13:40+2Однажды устраивался в одну компанию. Проходил полиграф. К сожалению слишком поздно понял что эта работа мне не нужна.
Уяснил для себя то, что работа при устройстве на которую требуют пройти полиграф - это рабство на галерах.
BeLord
16.01.2024 13:40+1Оператор ПНд, не обеспечивающий соблюдение требований 152-фз, а по рассказу не обеспечивает, смотрится убого в своем желании использовать спецсредства. Едем дальше, судя по рассказу эта прекрасная компания хочет ещё и мед.данные получить и если автор ничего не упустила своем повествовании, то эти данные тоже получаются без должного оформления. Всегда было интересно массовая юридическая безграмотность в ИТ это баг или фича?)
hullaballoo
16.01.2024 13:40массовая юридическая безграмотность в ИТ это баг или фича?)
Я тут к стоматологу ребёнка водил, у него первый раз когда нужны будут манипуляции, в не просто регулярный осмотр. И врач пароль в их мед.систему одним пальцем набивала. А я его подсмотрел и теперь знаю. И готов спорить что этот пароль у неё вообще везде используется. Она выглядела как не очень уверенный пользователь ПК, мягко выражаясь. И это среди врачей повально. Это не баг. Но вы же к ним от этого не перестанете ходить? И ругать за это не будете?
domix32
16.01.2024 13:40Учитывая, что большинство пользователей систем в принципе особо никогда не обучали работе с компьютером, то в среднем не очень удивлён. Тут программистов-то не всех десятипальцевому слепому учат, чего уж там про медиков говорить, особенно тех, что работали ещё с прошлого тысячелетия.
IgorDev
16.01.2024 13:40Неэтично вовсе не по причине "достоверно - недостоверно". Неэтично по причине - что Вам, взрослому человеку, профессионалу - изначально не верят. Возможно, что такому директору нужны именно люди, готовые на такую схему отношений "фирма - сотрудник". И это даже забавно, потому что такой подход даже мотивирует ментальных хакеров на попытки "хакернуть" такую фирму :)
DenSyo
16.01.2024 13:40Вас ставят в положение вруна и предлагают выкручиваться из этого постыдным способом. Ответил "не этично", но в реальной жизни на предложение пройти полиграф не постеснялся бы спровоцировать собеседника на конфликт и испортил бы ему день.
M_AJ
Мне не хватило причины: "Не хочу участвовать в закреплении применения псевдонаучных практик при рекрутинге". Для меня тестирование на полиграфе равносильно выяснению того подхожу ли я с помощью натальной карты.
ABRogov
Ваш вариант - "Не этично".
GospodinKolhoznik
Неэтично подглядывать за человеком в туалете. Но при этом увиденное при подглядывании будет хотя-бы достоверным.
Тестирование с помощью полиграфа попросту недостоверно. А потому совершенно нелепо. И пункт "Не справедливо: обо мне будут знать больше чем я о коллегах" - не будут, потому что с помощью полиграфа невозможно узнать достоверную информацию. Вообще невозможно. То, что с его помощью можно узнать хоть какую то правду, это шарлатанство полиграфистов и невежество людей которые верят им.
ABRogov
Я имел ввиду использовать полиграф не этично в контексте найма, потому что оно не достоверно. Это как по знаку зодиака подбирать.
Radisto
Знаю контору, в которой полиграф используется для увольнения: на него отправляют тех, кто по каким-либо причинам утратил доверие. И это настолько "хороший" признак для тамошних работников, что они к настоящему времени обычно пишут "по собственному", если узнают, что их приговорили к полиграфу "Все равно понятно, для чего это".
DGN
А как это прописано в контракте? Обязанность пройти тестирование?
Причина увольнения, если работник не желает по собственному?
konst90
Обычно срезается премия, и сотрудник переводится на голый оклад (а он в таких конторах обычно небольшой). И сотрудник либо получает минимум, либо увольняется сам.
Radisto
Плюс вся работа построена так, что невозможно работать, ничего не нарушая, а устранения нарушений вымотают все силы (ну и лишение премии, которая половина от заработка, как уже сказали). Неугодному назначаются проверки, которые он не пройдет, два выговора и увольнение "по статье", до которого доводить работнику совершенно не хочется.