Следить или не следить за сотрудниками?!
Этот вопрос становится все более актуальным. Компьютеры вошли в нашу жизнь, теперь практически у каждого офисного сотрудника есть компьютер на рабочем месте, да и большинство имеют компьютеры дома. Если раньше недобросовестные сотрудники просто прогуливали рабочего время, читали на работе книги, газеты, или просто болтали на посторонние темы. То сейчас есть компьютер и интернет, где и сжигается драгоценное и оплаченное работодателем время.
Огромное количество людей, трудящихся за компьютером, просто «отсиживают» рабочее время, присутствуя на рабочем месте, но не работая. Большинство офисных сотрудников работает «от звонка до звонка», и работодатель фактически покупает их рабочее время. Среднестатистический офисный сотрудник работает примерно половину рабочего дня, а все остальное время занимается или личными делами, или вообще ничем. Замечали за собой, сколько времени тратите на посещение любимых сайтов? Или на болтовню в аське?
В таких условиях работодателю необходимо знать, что же именно делают сотрудники – просто «присутствуют» в офисе, занимаются личными делами, работают, а может даже и осуществляют вредную для работодателя деятельность.
Наибольшую опасность для информационной безопасности организаций представляют не внешние угрозы (от которых и защищает большинство программ, предназначенных для обеспечения безопасности), а внутренние. Внутренние угрозы исходят от недобросовестных сотрудников (иначе говоря, инсайдеров) и проявляются, как правило, в несанкционированном распространении, копировании, удалении конфиденциальной информации – как в виде файлов, так и в другом виде. Например, для торговой организации последствия действий даже самого опасного вируса не сравнятся с последствиями «ухода» клиентской базы конкурентам. С опасностями, исходящими от «инсайдеров», можно бороться различными способами. Самый крайний способ – запретить прямой выход с рабочего места в Интернет, когда даже e-mail отправляется через секретарей. Есть и менее радикальные способы – жесткий контроль трафика на интернет-шлюзе и отлов всей информации, на внешних носителях, присоединяемых к компьютеру.
В целом проблематика понятна!
Ну а теперь давайте рассмотрим варианты слежения за сотрудниками. В принципе можно выделить 2 основных:
- Установка в офисе видеонаблюдения. Данный вариант больше подходит для случаев, когда человек работает не за ПК, а за станком или в магазине и т.д., так как нет возможности отловить его активность за компьютером, а только присутствие в офисе.
- Установка на ПК программного обеспечения для мониторинга действий человека. Радикально? Возможно, но иногда такие методы себя оправдывают.
С одной стороны это ужасно неприятно для наемного сотрудника, ощущать, что за тобой все время наблюдают и могут контролировать твои действия. С другой стороны – это незаменимый помощник работодателя. Сам факт наличия подобной программы на компьютере будет стимулировать сотрудника.
Поэтому хочу вас познакомить с одним из программных продуктов, направленных на наблюдение за деятельностью сотрудников. Выбор остановила именно на нем, так как он обладает наибольшим набором технический возможностей. В общем – StaffCop, с помощью которого можно точно узнать, чем же занят конкретный пользователь компьютера в тот или иной момент времени, и решить описанные выше проблемы.
Принцип работы StaffCop следующий: на компьютерах, за которыми ведется наблюдение, устанавливается специальная программа – агент слежения, который собирает информацию. Агент может быть как видимым пользователю, так и скрытым от него (вплоть до того, что его не видно в списке процессов и практически невозможно отловить установлен ли он на компьютере!). С помощью панели администратора можно просматривать данные об активности пользователей в режиме реального времени, создавать статистические отчеты, а также устанавливать и удалять агентов.
StaffCop отслеживает:
- время открытия тех или иных программ и продолжительность работы в них;
- все посещенные веб-страницы и веб-сайты;
- переписку в ICQ, MSN, Mail.ru агент, Yahoo Messenger – помимо текста сообщений можно узнать их адресатов;
- время включения и выключения компьютера;
- время подключения и отключения тех или иных USB устройств;
- все нажатия на клавиши;
- все операции с файлами (создание, копирование, удаление);
- что показывается на мониторе – снимки экрана делаются с заданной периодичностью;
- какие программы были установлены;
- какие файлы распечатаны и многое другое.
Т.е. наблюдение ведется практически за всем!
Естественно, такая система не может быть востребована абсолютно во всех организациях. Во-первых, многие люди в принципе не согласятся работать в организации, где за ними так жестко следят, и их можно понять. Во-вторых, многие (особенно люди творческих профессий) работают «на результат», и никого не волнует, как они этого результата добиваются. Ну и в-третьих, использование подобных систем в некоторых случаях противоречит кадровой политике организаций.
Так что каждый работодатель для себя должен решить сам – стоит ли таким образом контролировать сотрудника. А сотрудники, будьте бдительны! Вдруг за вами наблюдают?:))
Как вы отреагируете, если узнаете, что за вами наблюдают?
В рамках акции:
(-1 бал, 3 голосов)
Технология, конечно, интересная, и имеет право на существование в рамках политики корпоративной безопасности. Эффективность любого инструмента зависит от того, в чьих руках он окажется. Тотальный контроль способствует организации одних сотрудников, ну а других – мотивирует на поиск путей его обхода. Если злодейство задумано – оно обязательно свершится!
Инсайдеру не обязательно самостоятельно самому предпринимать какие-либо действия, достаточно того, что он знает об уязвимостях той системы, в которой он работает. Остальное – дело техники…
P.S. Лично я придушил бы ваш StaffCop будь он хоть даже трижды «супермеганевидимым»!
Естественно, будучи наёмником, я буду вопить, что я против. Впрочем, будь я работодателем, я говорил бы то же самое. Не шпионить за сотрудниками надо, а мотивировать. А если мотивироваться не хотят, увольнять к чертям кошачьим. Вот и вся недолга. Вот за Вами, Ольга, следят?
насколько я знаю, недавно вышел закон, по которому любая «невидимая» слежка без ведома лица за которым следят является противозаконной.
т.е. перед записью телефонного разговора необходимо сообщить, что разговор будет записан.. перед видеосъемкой подсунуть сотруднику бумагу с уведомлением, или разместить объявление на видном месте.. перед установкой шпионского ПО вывести на экран соответствующее предупреждение… и т.д.
так что на вопрос Ольги: «Как вы отреагируете, если узнаете, что за вами наблюдают?».. самый лучший ответ.. нужно подать заявление в суд…
[...] Следить или не следить за сотрудниками?! [...]
молчун, вы это спецслужбам будите рассказывать… еще и судом можно пригрозить.. тогда точно испугаются и никогда не будут ни за кем подсматривать и подглядывать…
))
Если сотрудник хорошо работает и сдаёт работу вовремя, какая разница, переписывается он сообщениями по аське, или нет ?
Мне, например, иногда в процессе работы нужно «разгрузиться» минут на 5, чтобы посмотреть на ту же проблему по-другому, да и просто освежить мозги.
Если я – работодатель, то следить-ниже моего достоинства. Это подтверждение бессилия в собственной компании.
Посмотрел я на StaffCop и на его невидимость… и ничего интересного не увидел!
Должен огорчить … его разработчиков, а поднадзорные работники могут ни о чем не волноваться!
Детектируется бесплатным сканером еще до его установки:
http://img222.imageshack.us/img222/3591/123ts2.jpg
Дальше смотреть уже не интересно.
[...] Следить или не следить за сотрудниками?! Ну а теперь давайте рассмотрим варианты слежения за сотрудниками. В принципе можно выделить 2 основных: [...]
Во первых, как тут уже заметили, это противозаконно.
Во вторых, при желании обходится на раз-два. Ну вот этот StuffCop отслеживает ICQ, MSN, Mail.ru агент, Yahoo Messenger. А я использую Google Talk. Значит, меня не отследит. Кроме того, мне ничего не мешает использовать PGP для особо важной переписки. Тогда хоть пакеты снифферите, расшифровывать мои послания будете до второго пришествия.
Я глубоко убежден, что ВСЕ системы слежения за сотружниками демотивируют. Я принципиально не буду работать хорошо, когда за мной следят. Мотивировать сотрудника на работу надо совсем другими способами. Условия труда, бонусы, страховки, адекватно поставленный процесс постановки задач и прочее. Вот тогда сотрудники будут работать. Иначе, все эти системы слежения – что мертвому припарка. Если надо, человек всегда сможет утащить ценную информацию. Вы же не будете на выходе из офиса проводить полный досмотр каждого сотрудника на предмет флэшки, так ведь?
sinergetic, а что если программу установит админ и потом запретит установку любых других программ. Как, к примеру, делается в банках. Каким образом ты ее отследишь? Да и к тому же, ее могут установить так, что человек даже не будет догадываться, что у него на компьютере установлен агент. Поэтому и проверять ничего не будет.
молчун, что касается юридической стороны вопроса, то конечно необходимо информировать сотрудников, что за ними ведется наблюдение в целях обеспечения безопасности и контроля рабочего времени. Об этом сотрудники должны быть либо дополнительно осведомлены, либо это условие включить в рабочий договор, либо в коллективный договор.
А по поводу мотивации, я со всеми вами согласна. Это не лучший способ мотивировать людей, но существуют различные руководители и хозяева предприятий. У каждого своя методология. Для нас, наемных сотрудников, лучший способ мотивации – это повышение зарплаты
Пущай устанавливает!
А мы в свою очередь найдем способ запуска нашего «произвольного кода»… например, портируемой версии анти-шпионо-вирусного сканера – без установки…
…и увидим такую же картинку!
sinergetic, тут можно долго спорить
суть не в этом 
SolarWind, эта штука работает как кейлоггер!
Т.е. им не надо смотреть твой XMPP- протокол(Google Talk) и расшифровывать твои PGP-пакеты!
sinergetic, не совсем! Там есть отдельно keylogger и отдельно анализируются пакеты. Так что никуда не спрячешься
УЖОС как страшно!
Предлагаю разработчикам в следующей версии добавить детектор лжи и проверку сотрудника на трезвость…
Дыхнул в монитор – и заблокировал себе весь трафик.
Нельзя допустить, чтобы всякая пьянь по сети бесконтрольно разгуливала в рабочее время! !!
Единственная проблема: с руководству с подчиненными – через полиграф общаться будет невозможно, наверно…
штука отличная, работая системным администратором, после запрета на обработку flv с различных видео хостингов, шлюз стал намного адекватней работать. позакрывал большиснвто социалок, потому что это ужас какой-то…
Да, с такой прогой совсем неинтересно будет работать в офисе.
sinergetic, спасибо за ссылку!
Следят за всеми, причем не только работодатели. Дело не в этом – дело в использовании полученной информации. Смысл в том, что без необходимости все равно никто копать не будет (если только не лень спецсотруднику).
Теория разбивается о практику: в конторе 20 человек и два сисадмина, на которых висит еще обслуживание серверов, системы доступа, они на совещания иногда ходят и пр – а рабочего времени у них, как и у всех, только 8 часов. Опять же, с ними кто-то из компании пиво пьет. Другими словами, по 10 человек на каждого – ну и станут они следить, если Мариванне из бухгалтерии мышку надо переинсталлировать, т.к. она медленно ползает по экрану, шефу привинтить новый монитор, сделать бэкап и т.д.
В реальности эту информацию могут использовать при увольнении, в основном.
Дык, в том то и дело, что эти вопросы нужно решать в рамках обычного системного администрирования, а не делать из этого ажиотаж «тотальной слежки за сотрудниками». Позиционируя свой продукт таким способом, его разработчики ходят по очень тонкой грани, и могут столкнуться серьезными обвинениями и противодействием… Конечно, работодателю самому решать, что в его систему ставить, а что нет.
Следить нужно за техникой, а не за сотрудниками!
И любой грамотный сисадмин в состоянии с этим справиться, с StaffCop или без него.
Мне кажется, что такие методы стоит применять только в больших и средних компаниях, но применять надо определенно
Минус данного решения очевиден: отслеживание инцидентов нарушения ИБ постфактум, тоесть узнать о нарушители можно только после того, как он уже сделал свои черные дела. Предотвратить же сам инцидент не возможно.
Тут можно порекомендовать несколько других решений:
InfoWatch Enterprise Solution – решения для обеспечения контроля и защиты периметра организации. Стоит правда очень дорого.
Microsoft Right Management Services – служба управления правами на доступ к офисным документам. Вкратце, смысл таков: все офисные документы шифруются. Расшифровать документ может определенный сотрудник, только будучи в домене. Расшифровав документ пользователь получает доступ заранее определенный создателем документа (полный/чтение/печать/пересылка/редактирование/сохранение/etc)
SmartLine Device Lock – контроль,аудит, теневое копирование файлов с любых внешних устройств на рабочих станция пользователей.
Есть ли возможность защититься от этой программы?
v.shmadik, от всего можно защититься
только надо знать как 
Если руководство компании ставит такую прогу на ВСЕХ компах сотрудников – это называется: ПАРАНОЙЯ. И защитить вас от этого может только врач-психиатр…
От реального инсайда (как явления) оно само по себе не спасает, зато можно полагать, что такая установка заменит курс психотерапии для начальства..
Ольга Иванова, может Ви подскажете как
v.shmadik, коммерческий секрет
Я не могу распространять подобную информацию. Поищите на форумах в интернете.
Работал в одной фирме где охрана была на каждом этаже, раз в неделю отчет по трафику каждого сотрудника ложился на стол нач отдела информационной безопасности, мониторы отслеживались (правда радмином – но его было запрещено выключать).
И что? Мне нужно было левак делать (подработку, бо платили маловато но работы была перспективная и не хотел увольняться) и делал. Поставил localhost, подключил по bluetooth кпк и вперед – наполнение клиентских сайтов (блютузная клавиатура тоже вполне помогала). Т.е. обращение к локалхост не идет через прокси – значит траф не светится. Монитор тоже чист, бо работа идет вне рабочего ПК. В конце дня – слить дамп на флешку и дома развернуть на удаленном сервере – дело на 1 мин.
Было неудобно, но с помощью подработки увеличил себе зп на 100%. Не ругайте – реально была нужна подработка – семью то надо кормить. Да и основная работа в общем не страдала – реально было на пару часов в день. Но я не об этом – любую систему безопасности можно обойти, если постараться.
На самом деле, StaffCop – не самая удобная программа, чтобы следить за сотрудниками. Во-первых, он охватывает не все каналы (например, тот же Skype не поддерживается), во-вторых, не очень удобно потом пытаться разбираться, что же произошло, в том ворохе информации, который получается в итоге. Можно объединить контроль деятельности сотрудников с контролем за отсутствием утечек информации, если установить DLP-систему. Мы в компании выбрали SearchInform, это гораздо удобнее, чем StaffCop.
Впринципе правильно подмечено, что важен результат, а не то, каким методом его добивается. На мой взгляд, слежка за персоналом нужна только в тех случаях, когда на самом деле сотрудник не справляется с работой без видимых на то причин.