Праграмнае забеспячэнне для маніторынгу працадаўцаў ("Bossware": Hubstaff, Teramind, ActivTrak), усталяванае на персанальным камп'ютары BYOD: выяўленне кейлоггераў і здымкі экрана¶

Атрымаўшы інструкцыю ад працадаўцы або кліента ўсталяваць агент павышэння прадукцыйнасці або бяспекі супрацоўніка на ваш асабісты хатні камп'ютар (Bring Your Own Device / BYOD) або выяўленне таго, што карпаратыўны кліент маніторынгу Teramind, ActivTrak, Hubstaff, Time Doctor, Veriato / Sapience, InterGuard, Insightful / Workpuls або Sneek) бясшумна працуе ў фонавым рэжыме вашага персанальнага ПК з Windows або MacBook, з'яўляецца тэрміновай лічбавай канфідэнцыяльнасцю і надзвычайная сітуацыя ў галіне кібербяспекі. У той час як працадаўца звычайна мае шырокія юрыдычныя паўнамоцтвы кантраляваць дзейнасць на карпаратыўным ноўтбуку, які ён набыў і выдаў вам, усталяванне агента сачэння на ўзроўні ядра або каранёвага сертыфіката непасрэдна ў аперацыйную сістэму вашага персанальнага хатняга камп'ютара дае ІТ-адміністратарам вашага працадаўцы бесперапынны кругласутачны доступ да вашай прыватнай жыцця: рабіць скрыншоты вашага асабістага інтэрнэт-банкінгу, рэгістраваць націсканні клавіш, калі вы ўводзіце свой персанальны медыцынскі партал або паролі ад падатковай службы ў 22:00 у суботу, запісваеце гук у пакоі або перыядычныя здымкі вашай сям'і з вэб-камеры і перахопліваеце зашыфраваныя HTTPS / TLS вэб-трафік праз уведзены каранёвы цэнтр сертыфікацыі (MITM Root CA). Калі несанкцыянаваны агент сачэння выкарыстоўваецца для незаконнага пераследу, шантажу або хатняга прымусу, неадкладна адключыце кампутар ад Інтэрнэту і звярніцеся да мясцовага нумары экстраных службаў. Каб даведацца пра надзвычайныя сітуацыі, звязаныя з дыстанцыйнай працай, глядзіце нашы даведнікі экстраная бяспека дыстанцыйнай працы і прыватнасць даных, карпаратыўныя загрузныя праграмы Zscaler або CrowdStrike Falcon з нулявым даверам, і Выпадковае абагульванне экрана Zoom і Teams і ўцечка з мікрафона.

Вам не трэба выбіраць паміж стратай дыстанцыйнай працы і перадачай працадаўцу галоўных ключоў да асабістых банкаўскіх паслуг, аховы здароўя і прыватнасці сям'і. Выканаўшы 10-хвілінную крыміналістычную праверку вашай персанальнай машыны Windows або macOS для выяўлення схаваных стэлс-агентаў (svchost службы маскіроўкі, macOS Screen & System Audio Recording дазволы і ўведзеныя каранёвыя сертыфікаты TLS), змена любых асабістых пароляў, уведзеных падчас актыўнасці кейлоггера або TLS-проксі, і перамяшчэнне ўсяго праграмнага забеспячэння, прадугледжанага працадаўцам, у апаратна ізаляваную віртуальную машыну (Hyper-V, VMware Workstation, Parallels, або UTM) або на спецыяльны $250 ноўтбук толькі для працы, вы можаце задаволіць патрабаванні вашага працадаўцы да адсочвання працоўных гадзін, захоўваючы 100 працэнтаў вашага асабістага жыцця ў фізічнай і крыптаграфічнай ізаляцыі.

Зрабіце гэта зараз¶

1. СПЫНІЦЕ ўваход у персанальныя банкінгі, асабістую электронную пошту, менеджэры пароляў, парталы аховы здароўя або падатковыя рахункі на гэтым камп'ютары, пакуль вы не завершыце аўдыт ніжэй. Калі схаваная зборка Teramind, Veriato, або InterGuard (або каранёвы сертыфікат MDM) усталёўваецца непасрэдна ў аперацыйнай сістэме хоста, ён працуе як a SYSTEM або root дэман працуе 24 гадзіны ў суткі, нават калі вы закрываеце Slack, адключаеце карпаратыўную VPN або выключаеце бачную праграму таймера на выхадныя.
2. Фізічна накрыйце аб'ектыў вэб-камеры механічным паўзунком або непразрыстай стужкай і адключайце або апаратна адключайце мікрафон USB кожны раз, калі ў вас няма запланаванага званка. Некалькі інструментаў дыстанцыйнага прысутнасці каманды (Sneek, Teramind Hidden Agent, Time Doctor, InterGuard) падтрымлівае перыядычны бясшумны захоп здымкаў вэб-камерай (every 1 to 5 minutes) і прамую трансляцыю з мікрафона або экрана без асвятлення банэра апавяшчэнняў праграмнага забеспячэння.
3. Праверце, ці ўваходзіце ў свой працоўны Microsoft 365 (Teams / Outlook) або ўліковы запіс Google Workspace выпадкова зарэгістраваў ваш персанальны ПК у карпаратыўнае кіраванне мабільнымі прыладамі (Microsoft Intune). У Windows адкрыйце Settings -> Accounts -> Access work or school. Калі вы бачыце ўліковы запіс вашага працадаўцы ў спісе "Падключаны да [кампаніі] MDM", націсканне "Дазволіць маёй арганізацыі кіраваць маёй прыладай" падчас звычайнага ўваходу ў Outlook дало ІТ-адміністратару вашага працадаўцы дыстанцыйны дазвол на бесшумнае фонавае праграмнае забеспячэнне, праверку ўсталяваных праграм і выкананне дыстанцыйнай ачысткі вашага персанальнага ПК да заводскіх звестак.
4. У macOS адкрыйце System Settings -> Privacy & Security -> Screen & System Audio Recording І Accessibility прама цяпер. У адпаведнасці з абавязковымі Палажэннямі Apple аб празрыстасці, згодзе і кантролі (TCC) framework, ні адно праграмнае забеспячэнне для маніторынгу супрацоўнікаў у macOS не можа захапіць ваш экран або зарэгістраваць глабальныя націсканні клавіш, калі яно відавочна не пазначана ў спісе і не ўключана ўнутры гэтых дзвюх панэляў (або праштурхнута праз бачны MDM). Device Management профіль).
5. Праверце сховішча надзейных каранёвых сертыфікатаў Windows і macOS (certmgr.msc / Keychain Access) для нестандартнага карпаратыўнага каранёвага цэнтра сертыфікацыі (CA). Калі ваш працадаўца ўсталяваў карыстальніцкі каранёвы сертыфікат ЦС Zscaler, Teramind, Netskope, або FortiClient, іх сервер можа расшыфраваць і прачытаць карысную нагрузку ў выглядзе звычайнага тэксту кожнага HTTPS сайт, які вы наведваеце, у тым ліку вашы асабістыя банкаўскія і медыцынскія запісы.
6. Ніколі не ўстанаўлівайце праграмнае забеспячэнне працадаўцы для ўліку працоўнага часу або маніторынгу непасрэдна на вашай персанальнай АС; усталяваць яго ўнутры ізаляванай віртуальнай машыны (Windows Hyper-V, VMware, VirtualBox, або UTM / Parallels) або на асобнай фізічнай прыладзе. Калі Hubstaff, Time Doctor, або ActivTrak працуе ў акне віртуальнай машыны, ён можа толькі бачыць, рабіць скрыншоты і рэгістраваць тое, што адбываецца ўнутры гэтага акна віртуальнага працоўнага стала, у той час як персанальныя браўзеры, файлы і банкаўскія дадзеныя вашага хост-кампутара застаюцца на 100 працэнтаў нябачнымі за мяжой гіпервізара.

Дрэва рашэнняў: аўдыт персанальнага камп'ютэра BYOD і ізаляцыя праграмнага забеспячэння для маніторынгу працадаўцы¶

Выконвайце гэта дрэва рашэнняў, каб вызначыць, які ўзровень маніторынгу прысутнічае на вашай персанальнай машыне і як яе бяспечна ізаляваць.

flowchart TD
    A["Маніторынг падазраваных або санкцыянаваных працадаўцаў ('Bossware') на персанальным камп'ютары BYOD"] --> B{"Праграмнае забеспячэнне працадаўцы ўжо ўсталявана на вашай асабістай машыне, ці вас просяць усталяваць яго зараз?"}
    B -->|"ПРАШУЮЦЬ УСТАНАВІЦЬ ЯГО ЗАРАЗ (абарона перад устаноўкай)"| C{"Які тып праграмнага забеспячэння яны просяць вас усталяваць?"}
    C -->|"Інтэрактыўны трэкер часу (Hubstaff, Time Doctor, Toggl, Upwork Desktop App)"| D["НЕ ўстанаўлівайце на голую хост-АС -> Стварыце бясплатную віртуальную машыну Windows Hyper-V / VMware / UTM (або выкарыстоўвайце спецыяльны працоўны ноўтбук коштам 200 долараў) -> Усталюйце трэкер толькі ўнутры віртуальнай машыны"]
    C -->|"Схаванае назіранне / MDM / Каранёвы сертыфікат (Teramind, ActivTrak, Veriato, Intune MDM)"| E["НІКОЛІ не ўстанаўлівайце Stealth Agent або MDM на персанальны ПК -> Запытайце выдадзены кампаніяй ноўтбук або лагін у віртуальны працоўны стол Azure (AVD / Citrix) -> Пры прымусовым выкананні выконвайце выключна на асобным фізічным працоўным ноўтбуку"]
    B -->|"УЖО ЎСТАЛЁВАНА НА АСАБІСТЫМ ПК (судовы аўдыт і ачыстка)"| F{"Якая аперацыйная сістэма працуе на вашым персанальным кампутары?"}
    F -->|"Windows 11/10"| G["Запусціце 4-этапны аўдыт Windows: 1. Праверце «Настройкі -> Доступ да працы ці школы» для MDM -> 2. Праверце Services.msc / Sysinternals Autoruns на наяўнасць схаваных агентаў -> 3. Праверце certmgr.msc на каранёвы ЦС -> 4. Праверце выходныя злучэнні TCP"]
    F -->|"macOS (Apple Silicon / Intel)"| H["Запусціце 4-этапны аўдыт macOS: 1. Праверце «Налады сістэмы -> Агульныя -> Кіраванне прыладамі» (профілі) -> 2. Праверце «Прыватнасць і бяспека -> Запіс экрана і спецыяльныя магчымасці» -> 3. Праверце /Library/LaunchDaemons -> 4. Праверце сертыфікаты Keychain"]
    G --> I{"Ці знайшлі вы агента Stealth Monitoring Agent, MDM Enrollment або Injected Root Certificate?"}
    H --> I
    I -->|"ТАК: знойдзены Stealth Agent / Root CA / Intune MDM на асабістым ПК"| J["СТРЫМАННЕ: перамясціце працу на віртуальную машыну або другі ноўтбук -> Адмяніце рэгістрацыю ў MDM / Выдаліце агента і каранёвы ЦС з персанальнага ПК (або АС з чыстай устаноўкай) -> Павярніце ўсе асабістыя банкаўскія дадзеныя, электронную пошту і ўліковыя даныя менеджэра пароляў з чыстага тэлефона"]
    I -->|"НЕ: усталяваны толькі бачны інтэрактыўны трэкер (напрыклад, Upwork / Hubstaff)."| K["Адклікаць яго дазволы на запіс экрана / спецыяльныя магчымасці ў непрацоўны час -> Выйсці з фонавага дэмана ў дыспетчару задач / маніторынгу актыўнасці, калі не працуе -> Перанесці яго ў віртуальную машыну"]

Частка 1: Што насамрэч здымае "Bossware" (і як Stealth Agents хаваюць у вашай сістэме)¶

Для эфектыўнага аўдыту вашага персанальнага кампутара вам неабходна ведаць дакладныя тэхнічныя магчымасці і замаскіраваныя назвы працэсаў, якія выкарыстоўваюцца сямю найбольш распаўсюджанымі платформамі маніторынгу супрацоўнікаў.

+-------------------------------------------------------------------------+
|  THE 5 SURVEILLANCE LAYERS OF ENTERPRISE "BOSSWARE" ON A BYOD HOST OS   |
|                                                                         |
|  [Layer 1: Visual]    -> Continuous Screen Recording (MP4) or periodic  |
|                          JPEG screenshots + OCR text indexing of screen |
|  [Layer 2: Input]     -> Kernel/API Keylogger (captures every password, |
|                          iMessage, & private email) + Clipboard history |
|  [Layer 3: Network]   -> Injected Trusted Root CA Certificate decrypts  |
|                          all HTTPS traffic (banking, medical portals)   |
|  [Layer 4: Hardware]  -> Silent Webcam snapshots, Microphone room audio,|
|                          GPS/Wi-Fi BSSID geolocation, & USB file copies |
|  [Layer 5: Telemetry] -> "Idle Score" (mouse jiggle detection), active  |
|                          window titles, & "Job Search / Attrition" AI   |
+-------------------------------------------------------------------------+

Тэхнічныя адбіткі пальцаў 7 лепшых набораў для маніторынгу супрацоўнікаў¶

Нават пры разгортванні ў «Схаваным / схаваным рэжыме» (дзе пастаўшчык наўмысна хавае праграму з меню «Пуск» Windows, тэчкі прыкладанняў macOS і сістэмнага трэя), кожны агент маніторынгу павінен запускаць фонавую службу, загружаць драйвер і падтрымліваць зашыфраванае выходнае сеткавае злучэнне са сваім воблачным серверам прыёму:

Частка 2: Пакрокавы крыміналістычны аўдыт для выяўлення схаванага праграмнага забеспячэння Bossware на асабістым ПК з Windows 11/10¶

Праверка 1: праверце Windows «Доступ да працы ці школы» на прадмет выпадковай карпаратыўнай рэгістрацыі MDM¶

1. Адкрыйце Windows Settings (Win + I) -> Accounts -> Access work or school.
2. Націсніце на любы працоўны адрас электроннай пошты ў спісе. Калі вы бачыце **Infoкнопка ** (не толькі Disconnect), ваш персанальны камп'ютар зарэгістраваны ў Microsoft Intune / Corporate Mobile Device Management (MDM). Націсніце Info і пракруціць ўніз да Areas managed by [Company Name] і Synced Policies / Installed Apps каб убачыць кожную палітыку, сертыфікат і бясшумную праграму ўстаноўкі MSI, якую ваш працадаўца засунуў на вашу персанальную машыну. Пасля пераносу вашай працы ў віртуальную машыну ў частцы 4 націсніце Disconnect тут, каб адмяніць рэгістрацыю вашага асабістага хост-ПК.

Праверка 2: пошук маскіраваных стэлс-сэрвісаў (scthost.exe, tsvchst.exe) Выкарыстанне PowerShell і Sysinternals Autoruns¶

1. Адкрыйце PowerShell ад імя адміністратара (Win + X -> Terminal (Admin)) і запусціце гэтую каманду, каб пералічыць усе запушчаныя фонавыя службы іншых вытворцаў, якія не маюць лічбавага подпісу Microsoft:

   Get-WmiObject Win32_Service | Where-Object { $_.State -eq 'Running' -and $_.PathName -notmatch 'C:\\Windows\\servicing|svchost\.exe' } | Select-Object Name, DisplayName, PathName | Format-Table -AutoSize
   

2. Уважліва паглядзіце на любую паслугу, якая заканчваецца C:\ProgramData\, C:\Windows\SysWOW64\scthost.exe (ActivTrak), tmagent або tsvchst (Тэрамінд), winikus (Veriato), або wscservice (Інтэргвардыя).
3. Спампуйце афіцыйны бясплатны Sysinternals ад Microsoft Autoruns64.exe, запусціце яго ад імя адміністратара, націсніце Options -> Hide Microsoft Entries і праверце Services і Drivers укладкі для любога схаванага кейлоггера або драйвера фільтра захопу экрана (tmfilter.sys, vfilter.sys).

Праверка 3: праверце сховішча давераных каранёвых сертыфікатаў Windows (certmgr.msc) для дэшыфравання HTTPS¶

Каб бачыць, што вы друкуеце ўнутры HTTPS вэб-сайты (напрыклад, ваш асабісты банк, Gmail або партал аховы здароўя), наборы маніторынгу і карпаратыўныя вэб-проксі (Teramind, Zscaler, Netskope, Fortinet) усталяваць карыстальніцкі Чалавек пасярэдзіне (MITM) Каранёвы цэнтр сертыфікацыі на вашым ПК:

1. Прэса Win + R, увядзіце certmgr.msc, і націсніце Enter.
2. Разгарнуць Trusted Root Certification Authorities -> Certificates, сартаваць па Issued By, і шукайце любы сертыфікат, названы ў гонар вашага Працадаўцы, Teramind, Zscaler Root CA, Veriato, Netskope, Fortinet або Securly.
3. Праверце ў асабістым браўзеры Chrome або Edge: адкрыйце https://www.google.com або вэб-сайт вашага банка, націсніце Значок наладкі злева ад URL -> Connection is secure -> Certificate is valid. Калі сертыфікат для google.com або ваш асабісты банк кажа Issued By: [Your Employer Name] / Zscaler / Teramind Root CA, ваш працадаўца расшыфроўвае і правярае ваш асабісты трафік HTTPS.

Частка 3: Пакрокавы крыміналістычны аўдыт для выяўлення схаванага праграмнага забеспячэння Bossware на асабістым Mac (macOS)¶

Праверка 1: агляд Screen & System Audio Recording і Accessibility Дазволы¶

У macOS нават дэман каранёвага ўзроўню не можа бясшумна запісваць ваш экран або рэгістраваць глабальныя націсканні клавіш у іншых праграмах, калі яму не дадзены дазвол на дзвюх панэлях прыватнасці:

1. Адкрыць System Settings -> Privacy & Security -> Screen & System Audio Recording. Калі вы бачыце scthost, Teramind, ActivTrak, Hubstaff, Time Doctor, sfproc, Veriato, або неапазнанага памочніка, уключанага тут, гэта дадатак мае актыўны дазвол на запіс экрана вашага Mac. Неадкладна пераключыце яго на ВЫКЛ і націсніце - кнопку, каб выдаліць яго.
2. Адкрыць Accessibility і Input Monitoring ўнутры Privacy & Security. Дазволена любая праграма Input Monitoring або Accessibility дазвол можа чытаць кожнае націсканне клавішы, якое вы ўводзіце ў аперацыйнай сістэме. Адключыце і выдаліце ​​любы нераспазнаны дэман або трэкер працадаўцы з абодвух спісаў.

Праверка 2: праверце macOS Device Management (MDM Profiles) і Схаваны LaunchDaemons¶

1. Адкрыць System Settings -> General -> Device Management (або System Preferences -> Profiles на старых macOS). На асабістым MacBook, Device Management раздзел павінен быць цалкам пустым або адсутнічаць. Калі вы бачыце Профіль кіравання, усталяваны вашым працадаўцам (Jamf, Kandji, Mosyle, Microsoft Intune, Rippling, Drata, Vanta), пстрыкніце па ім, каб праверыць, якія каранёвыя сертыфікаты, абыход канфідэнцыяльнасці TCC і фонавыя агенты ён выконвае на вашым асабістым Mac.
2. Адкрыйце Тэрмінал (Cmd + Space -> Terminal) і бегчы ls -la /Library/LaunchDaemons /Library/LaunchAgents каб пералічыць усе староннія каранёвыя фонавыя дэманы і карыстальніцкія агенты запуску, усталяваныя на вашым Mac. Шукайце любую .plist файл, які змяшчае teramind, activtrak, scthost, veriato, hubstaff, timedoctor, workpuls, insightful, або awarenesstech.
3. Таксама адкрыйце Keychain Access (Cmd + Space -> Keychain Access) -> System Roots і System бірулькі і агледзіце Certificates ўкладка для любога карыстальніцкага карпаратыўнага каранёвага ЦС, усталяванага для расшыфроўкі вашага асабістага трафіку Safari і Chrome HTTPS.

Частка 4: Ізаляцыя праграмнага забеспячэння працадаўцы ўнутры віртуальнай машыны (VM) або спецыяльнае абсталяванне¶

Калі ваша дыстанцыйная праца або кантракт на фрылансер патрабуе ад вас запуску Hubstaff, Time Doctor, Upwork Desktop App, ActivTrak, Teramind, або карпаратыўны VPN у працоўны час, ніколі не ўстанаўлівайце яго на вашай асабістай аперацыйнай сістэме.

+----------------------------------------------------------------------+
|  HOW VIRTUAL MACHINE (VM) ISOLATION CONTAINERS EMPLOYER BOSSWARE     |
|                                                                      |
|  +----------------------------------------------------------------+  |
|  | YOUR PERSONAL HOST COMPUTER (Windows 11 or macOS)              |  |
|  | * Personal Chrome (Banking, Medical, Personal Email, Taxes)    |  |
|  | * Personal Files, Photos, 1Password Vault, & Webcam            |  |
|  |   [ 100% INVISIBLE TO EMPLOYER ACROSS HYPERVISOR BOUNDARY ]    |  |
|  |   +--------------------------------------------------------+   |  |
|  |   | ISOLATED WORK VIRTUAL MACHINE (Hyper-V / UTM / VMware) |   |  |
|  |   | * Employer Bossware (Hubstaff / Teramind / ActivTrak)  |   |  |
|  |   | * Corporate VPN + Work Browser + Slack + VS Code       |   |  |
|  |   | * Bossware Can ONLY Screenshot & Log Inside This VM    |   |  |
|  |   +--------------------------------------------------------+   |  |
|  +----------------------------------------------------------------+  |
+----------------------------------------------------------------------+

Варыянт 1: бясплатная ізаляваная віртуальная машына (Hyper-V / VMware Workstation / UTM)¶

Стварыўшы гасцявую віртуальную машыну на вашым кампутары і ўсталяваўшы ўсё праграмнае забеспячэнне працадаўцы строга ўнутры віртуальнай машыны:

• Ізаляцыя захопу экрана: Калі Hubstaff або Teramind робіць скрыншот ўнутры віртуальнай машыны, ён захоплівае толькі адаптар віртуальнага дысплея віртуальнай машыны, у той час як ваш асабісты банкаўскі рахунак або другі манітор на хост-АС застаюцца на 100 працэнтаў нябачнымі праз мяжу гіпервізара.
• Кейлоггер і ізаляцыя буфера абмену: Адключыць Агульны буфер абмену (Bidirectional Clipboard: Off) і Агульныя тэчкі ў наладах вашай віртуальнай машыны, таму націсканні клавіш, уведзеныя ў асабістым браўзеры вашай хост-АС, ніколі не трапляюць у буфер віртуальнай USB-клавіятуры віртуальнай машыны.
• Ізаляцыя сеткавага і HTTPS-сертыфіката: Любы карпаратыўны VPN (Zscaler, Cisco AnyConnect) або каранёвы сертыфікат MITM, усталяваны ўнутры віртуальнай машыны, уплывае толькі на сеткавы трафік унутры віртуальнай машыны, пакідаючы некранутым прамое хатняе інтэрнэт-злучэнне вашага хост-кампутара.
• Імгненнае жорсткае выключэнне ў 17:00: Калі вы скончыце працу ў 17:00, націсніце Shut Down на віртуальнай машыне, таму фонавая служба працадаўцы перастае існаваць у аператыўнай памяці, пакуль вы не загрузіце віртуальную машыну заўтра раніцай.

Варыянт 2: Пасвячоны $200 to $300 Адрамантаваны працоўны ноўтбук + апаратны пераключальнік KVM¶

Калі агент прадпрыемства правярае CPUID або радкі BIOS (VMware, VirtualBox, Hyper-V) і блакуе віртуальныя машыны, купіце чыста адрамантаваны Lenovo ThinkPad T14 або Dell Latitude ($180 to $250) прысвечаны на 100 працэнтаў працы, падключыце абодва камп'ютары да настольных манітораў і клавіятуры з дапамогай $35 Апаратны KVM-пераключальнік HDMI або DisplayPort і падключыце працоўны ноўтбук да ізаляванай гасцявой сеткі Wi-Fi вашага хатняга маршрутызатара, каб ён не мог сканаваць вашы асабістыя хатнія прылады лакальнай сеткі.

Рэгіянальныя нумары экстраных службаў і пратаколы агенцтваў (законы аб назіранні і праслухоўванні BYOD)¶

Таемнае разгортванне кейлоггераў, захоп вэб-камерай або кругласутачнае назіранне ў непрацоўны час на прыватнай уласнасці супрацоўніка (BYOD) камп'ютар без відавочнага раскрыцця парушае законы аб праслухоўванні тэлефонных размоў, абароне даных і працоўных статутах у розных юрысдыкцыях:

• Еўрапейскі саюз і Вялікабрытанія (EU/UK GDPR, ECHR Article 8, & UK ICO Employment Practices Code): Набярыце 112 (ЕС) або 999 (Вялікабрытанія) для экстраных фізічных сітуацый. У адпаведнасці з Артыкуламі 5, 6 і 35 GDPR і рэкамендацыямі Упраўлення інфармацыйнага камісара Вялікабрытаніі (ICO) (Кіраўніцтва па маніторынгу работнікаў, 2023), схаваны маніторынг работнікаў амаль ніколі не з'яўляецца юрыдычна апраўданым, а бесперапынны кейлоггінг, запіс вэб-камерай або маніторынг асабістай прылады BYOD работніка ў прыватным доме ў непрацоўны час не адпавядае GDPR Тэсты прапарцыянальнасці і мінімізацыі даных. Работнікі могуць падаць скаргу ў UK ICO (ico.org.uk) або іх нацыянальны Упраўленне ЕС па абароне даных (CNIL, BfDI, AEPD, DPC).
• Злучаныя Штаты (ECPA, CFAA, і Законы аб апавяшчэннях аб маніторынгу дзяржаўных служачых): Тэлефануйце 911 для экстраных фізічных сітуацый. Закон аб прыватнасці электронных камунікацый (ECPA) і Закон аб камп'ютарным махлярстве і злоўжыванні (CFAA) рэгулюе несанкцыянаванае праслухоўванне, і Нацыянальны савет па працоўных адносінах (NLRB Памятка 23-02) забараняе электроннае назіранне, якое перашкаджае ўзгодненай дзейнасці. Нью-Ёрк (NY Civil Rights Law § 52-c), Канэктыкут (Conn. Gen. Stat. § 31-48d), Дэлавэр (19 Del. C. § 705) і Каліфорнія (CCPA / CPRA) строга патрабуюць ад працадаўцаў даць папярэдняе пісьмовае паведамленне перад удзелам у электронным маніторынгу.
• Канада, Аўстралія і Новая Зеландыя: Рэгулюецца Законам Антарыё аб працы для працоўных (патрабуецца пісьмовая Палітыка электроннага кантролю для працадаўцаў з колькасцю супрацоўнікаў 25+), Квебек Law 25 і Новы Паўднёвы Уэльс Workplace Surveillance Act 2005 (патрабуецца пісьмовае паведамленне за 14 дзён). Глядзіце нумары экстраных службаў для ўсіх рэгіёнаў.

Часта задаюць пытанні¶

Ці можа мой працадаўца бачыць, што я раблю на маім персанальным кампутары або тэлефоне толькі таму, што ён падключаны да майго хатняга Wi-Fi, а мой працоўны ноўтбук таксама падключаны да таго ж хатняга Wi-Fi?¶

Не, пры ўмове, што праграмнае забеспячэнне для маніторынгу вашага працадаўцы і VPN усталяваны толькі на працоўным ноўтбуку, выдадзеным кампаніяй, а не на вашым персанальным кампутары або тэлефоне. Карпаратыўны ноўтбук, падлучаны да вашай хатняй сеткі Wi-Fi, выкарыстоўвае зашыфраваны VPN-тунэль для вяртання ў офіс кампаніі і не можа расшыфраваць або ўбачыць HTTPS для прагляду вэб-старонак, банкінгу або праграм, якія працуюць на вашым асобным асабістым ноўтбуку або iPhone на тым самым хатнім Wi-Fi-маршрутызатары (хоць для лепшай гігіены сеткі падключыце працоўны ноўтбук да гасцявой сеткі Wi-Fi вашага хатняга маршрутызатара).

Ці дазваляе майму працадаўцу уваход у Slack, Gmail або Microsoft Teams маёй кампаніі ва ўкладцы вэб-браўзера бачыць іншыя ўкладкі майго браўзера або рабіць скрыншоты майго працоўнага стала?¶

Не. Паколькі сучасныя вэб-браўзеры забяспечваюць строгую пясочніцу аднолькавага паходжання, вэб-старонка адкрываецца ў адной укладцы браўзера (напрыклад, `app.slack.com` або `outlook.office.com`) механізм браўзера забараняе чытаць URL-адрасы, файлы cookie або экранныя пікселі іншых укладак браўзера або працоўнага стала, калі вы не ўвойдзеце ў сам браўзер Chrome з дапамогай кіраванага працоўнага профілю і не націснеце «Уключыць сінхранізацыю» (што дазваляе адміністратару Google Workspace вашага працадаўцы прасоўваць пашырэнні Chrome праз гэты профіль браўзера). Заўсёды адкрывайце працоўныя вэб-праграмы ў асобным несінхранізаваным профілі браўзера без карпаратыўных пашырэнняў.

Ці могуць Hubstaff, Time Doctor або ActivTrak вызначыць, ці выкарыстоўваю я механічную прыладу або USB-прыладу для мышкі?¶

Так, у сучасных версіях ActivTrak, Teramind, Time Doctor і Hubstaff выкарыстоўваецца эўрыстыка ўводу з машынным навучаннем, навучаная пазначаць механічныя і USB-мышкі. Сучасныя пакеты аналізуюць энтрапію траекторый мышы (пазначаюць паўтаральныя 1-піксельныя ваганні, кругавыя цыклы з пастаяннай хуткасцю або 45-хвілінныя перыяды бесперапыннага руху мышы, якія суправаджаюцца нулявым пстрычкай мышы, нулявым змяненнем фокусу акна і нулявым уводам з клавіятуры) і адпраўляюць аўтаматызаванае папярэджанне аб падазрэнні хістанні мышы на прыборную панэль вашага кіраўніка.

Калі я выкарыстоўваю персанальны ПК з Windows з двума ўліковымі запісамі (адным «Працоўным» уваходам у Windows і адным «Асабістым» уваходам у Windows), ці перашкаджае гэта праграме Bossware, усталяванай на працоўным лагіне, шпіёніць за маім асабістым лагінам?¶

Не, асобныя ўліковыя запісы карыстальнікаў Windows або macOS у адной аперацыйнай сістэме не ізалююць агентаў маніторынгу на сістэмным узроўні (`Teramind`, `ActivTrak`, `Veriato`, `InterGuard`, `CrowdStrike`, `Intune MDM`). Таму што гэтыя агенты ўсталёўваюцца як `NT AUTHORITY\SYSTEM` службы, драйверы фільтра ядра або `/Library/LaunchDaemons` з даверанымі каранёвымі сертыфікатамі для ўсёй машыны яны працуюць ва ўсёй аперацыйнай сістэме незалежна ад таго, які лакальны ўліковы запіс карыстальніка ўвайшоў у сістэму. Толькі віртуальная машына (`Hyper-V / VMware / UTM`), асобны зашыфраваны дыск з падвойнай загрузкай або асобны фізічны ноўтбук забяспечваюць сапраўдную ізаляцыю.

Ці можа праграмнае забеспячэнне для маніторынгу працадаўцы бачыць вэб-сайты, якія я наведваю ў рэжыме інкогніта Chrome або ў прыватным праглядзе Safari?¶

Так, 100 працэнтаў. Рэжым інкогніта Chrome і прыватны прагляд Safari не дазваляюць браўзеру захоўваць гісторыю і файлы cookie на вашым лакальным цвёрдым дыску толькі пасля таго, як вы зачыніце акно; яны нічога не робяць, каб схаваць ваш экран, вашы націсканні клавіш, вашы DNS-запыты або ваш HTTPS-трафік ад агента маніторынгу супрацоўнікаў (`Teramind`, `ActivTrak`, `InterGuard`, `Veriato`) або карпаратыўны каранёвы ЦС, які працуе на той жа аперацыйнай сістэме.

Мой працадаўца папрасіў мяне ўсталяваць праграму Microsoft Authenticator або Okta Verify 2FA на мой асабісты тэлефон iPhone або Android. Ці можа гэтая праграма шпіёніць за маімі асабістымі фатаграфіямі, тэкстамі або праглядам вэб-старонак?¶

Не. Аўтаномная праграма генератара кода шматфактарнай аўтэнтыфікацыі (**Microsoft Authenticator**, **Okta Verify**, **Duo Mobile**, **Google Authenticator**), усталяваная з Apple App Store або Google Play Store, працуе ў строгай пясочніцы мабільных праграм і не мае доступу да вашых асабістых тэкставых паведамленняў, фатаграфій, гісторыі прагляду старонак і іншых праграм. Толькі пазбягайце ўстаноўкі поўнага кіравання мабільнымі прыладамі (`MDM`) Профіль рэгістрацыі прылады на асабістым тэлефоне, калі ён запытвае дазволы на каранёвае кіраванне прыладамі і сертыфікат.

Звязаныя даведнікі¶

• Аварыйная бяспека дыстанцыйнай працы і прыватнасць даных
• Збой адключэння VPN або карпаратыўны нулявы давер Zscaler / CrowdStrike Falcon загрузны каранцін
• Выпадковае паказ канфідэнцыйнай ведамасці заработнай платы, менеджэра пароляў або спісу звальненняў у Zoom або Teams
• Лічбавы качэўнік або аддалены супрацоўнік, які працуе з несанкцыянаванай краіны: IP-сцяг і блакіроўка кантролю экспарту
• Прастора для каворкінга, гасцініцы ці аэрапорта USB-адбор соку, сёрфінг на плячы і абарона DMA з халоднай загрузкай

Крыніцы і афіцыйнае кіраўніцтва¶

• Упраўленне камісара па інфармацыі Вялікабрытаніі (ICO): Практыка занятасці і абарона даных: Кіраўніцтва па маніторынгу работнікаў (2023) (строгія абмежаванні на схаваны маніторынг, бесперапыннае націсканне клавіш/захоп вэб-камерай і патрабаванні да прапарцыянальнасці прылад BYOD у прыватных дамах у адпаведнасці з GDPR Вялікабрытаніі).
• Еўрапейскі савет па абароне даных (EDPB) / Рабочая група па артыкуле 29: Меркаванне 2/2017 аб апрацоўцы даных на працы (WP 249) (Відавочная забарона на непрапарцыйнае адсочванне супрацоўнікаў і абавязковае аддзяленне прыватных прастор BYOD у адпаведнасці з GDPR ЕС).
• Бюро па фінансавай абароне спажыўцоў (CFPB) і Нацыянальны савет па працоўных адносінах (NLRB): Цыркуляр CFPB 2024-06 (Дасье і алгарытмічныя балы для работнікаў) & Запіска галоўнага юрысконсульта NLRB GC 23-02 (Электроннае кіраванне і алгарытмічнае назіранне).
• Electronic Frontier Foundation (EFF): Inside Bossware: тэхнічны аналіз праграмнага забеспячэння для маніторынгу супрацоўнікаў, кейлоггераў і перахопу каранёвых сертыфікатаў TLS.
• NIST (Нацыянальны інстытут стандартаў і тэхналогій): NIST SP 800-114 Rev. 1 (Кіраўніцтва карыстальніка па дыстанцыйнай працы і забеспячэнні бяспекі BYOD з уласнай прыладай) & NIST SP 800-46 Rev. 2.