Софтуер за наблюдение на работодателя („Bossware“: Hubstaff, Teramind, ActivTrak), инсталиран на персонален BYOD компютър: Откриване на Keyloggers и Screen Capture¶

Да сте инструктирани от работодател или клиент да инсталирате агент за производителност или сигурност на служителите на вашия личен, частен домашен компютър (Bring Your Own Device / BYOD) или откриването, че стелт клиент за корпоративно наблюдение (Teramind, ActivTrak, Hubstaff, Time Doctor, Veriato / Sapience, InterGuard, Insightful / Workpuls или Sneek) работи безшумно във фонов режим на вашия личен компютър с Windows или MacBook, е спешна цифрова поверителност и извънредна ситуация за киберсигурност. Въпреки че работодателят обикновено има широки законови правомощия да наблюдава дейността на притежаван от компанията лаптоп, който е закупил и издал на вас, инсталирането на агент за наблюдение на ниво ядро или основен сертификат директно върху операционната система на вашия личен домашен компютър предоставя на ИТ администраторите на вашия работодател непрекъснат 24/7 достъп до личния ви живот: заснемане на екранни снимки на вашето лично онлайн банкиране, регистриране на натиснати клавиши, когато въвеждате вашия личен медицински портал или данъчни пароли в 22:00 часа в събота, като записвате звук от стаята или периодични моментни снимки на вашето семейство с уеб камера и прихващате криптирани HTTPS / TLS уеб трафик чрез инжектиран основен сертифициращ орган (MITM Root CA). Ако неупълномощен агент за наблюдение се използва за незаконно преследване, изнудване или домашна принуда, незабавно изключете компютъра от интернет и се свържете с местния номера за спешни случаи. За тясно свързани спешни случаи на дистанционна работа вижте нашите ръководства на сигурност при спешна отдалечена работа и поверителност на данните, корпоративни Zscaler с нулево доверие или CrowdStrike Falcon bootloops, и Zoom и Teams случайно споделяне на екрана и изтичане на горещ микрофон.

Не е нужно да избирате между загубата на отдалечената си работа и предаването на вашия работодател на главните ключове за вашето лично банкиране, здравеопазване и семейна поверителност. Чрез извършване на 10-минутен криминалистичен одит на вашата лична машина с Windows или macOS за откриване на скрити стелт агенти (svchost услуги за маскиране, macOS Screen & System Audio Recording разрешения и инжектирани основни TLS сертификати), завъртане на всички лични пароли, въведени, докато кийлогър или TLS прокси е бил активен, и преместване на целия софтуер, задължен от работодателя, в хардуерно изолирана виртуална машина (Hyper-V, VMware Workstation, Parallels, или UTM) или на специален $250 лаптоп само за работа, можете да задоволите изискванията на вашия работодател за проследяване на работните часове, като същевременно запазите 100 процента от личния си живот физически и криптографски изолиран.

Направете това сега¶

1. СПРЕТЕ да влизате в лично банкиране, личен имейл, мениджъри на пароли, здравни портали или данъчни сметки на този компютър, докато не завършите проверката по-долу. Ако стелт компилация на Teramind, Veriato, или InterGuard (или основен MDM сертификат) е инсталиран директно на вашата хост операционна система, той работи като a SYSTEM или root daemon 24 часа в денонощието, дори когато затворите Slack, прекъснете връзката с корпоративната VPN или изключите приложението за видим таймер за уикенда.
2. Физически покрийте обектива на вашата уеб камера с механичен плъзгач или непрозрачна лента и изключете или хардуерно заглушете вашия USB микрофон, когато не провеждате планирано обаждане. Няколко инструмента за отдалечено екипно присъствие (Sneek, Teramind Hidden Agent, Time Doctor, InterGuard) поддържа периодично тихо заснемане на моментна снимка с уеб камера (every 1 to 5 minutes) и поточно предаване от микрофон или екран на живо без осветяване на софтуерен банер за известяване.
3. Проверете дали влизате в служебния си Microsoft 365 (Teams / Outlook) или акаунтът в Google Workspace случайно регистрира личния ви компютър в Corporate Mobile Device Management (Microsoft Intune). В Windows отворете Settings -> Accounts -> Access work or school. Ако видите акаунта на работодателя си в списъка с „Свързан с [Компания] MDM“, щракването върху „Разрешаване на моята организация да управлява моето устройство“ по време на рутинно влизане в Outlook даде отдалечено разрешение на ИТ администратора на вашия работодател да натиска безшумен фонов софтуер, да проверява инсталираните приложения и да издава дистанционно фабрично изтриване на вашия личен компютър.
4. В macOS отворете System Settings -> Privacy & Security -> Screen & System Audio Recording И Accessibility точно сега. Съгласно задължителните прозрачност, съгласие и контрол на Apple (TCC) рамка, никакъв софтуер за наблюдение на служители в macOS не може да заснеме вашия екран или да регистрира глобални натискания на клавиши, освен ако не е изрично посочен и активиран в тези два панела (или натиснат чрез видим MDM Device Management профил).
5. Проверете вашето Windows и macOS Trusted Root Certificate Store (certmgr.msc / Keychain Access) за нестандартен корпоративен главен сертифициращ орган (CA). Ако вашият работодател е инсталирал потребителски Root CA сертификат Zscaler, Teramind, Netskope, или FortiClient, техният сървър може да дешифрира и чете полезния товар в обикновен текст на всеки HTTPS уебсайт, който посещавате, включително вашите лични банкови и медицински досиета.
6. Никога не инсталирайте софтуер за проследяване или мониторинг на работното време директно на вашата лична хост операционна система; инсталирайте го в изолирана виртуална машина (Windows Hyper-V, VMware, VirtualBox, или UTM / Parallels) или на отделно физическо устройство. Когато Hubstaff, Time Doctor, или ActivTrak работи в прозорец на виртуална машина, той може само да вижда, да прави екранни снимки и да регистрира какво се случва в този прозорец на виртуалния работен плот, докато личните браузъри, файлове и банкиране на вашия хост компютър остават 100 процента невидими през границата на хипервайзора.

Дърво на решенията: Одитиране на персонален BYOD компютър и изолиране на софтуер за наблюдение на работодателя¶

Следвайте това дърво на решенията, за да определите какво ниво на наблюдение присъства на вашата лична машина и как да я изолирате безопасно.

flowchart TD
    A["Наблюдение на заподозрян или упълномощен работодател („Bossware“) на персонален компютър BYOD"] --> B{"Софтуерът за работодател вече ли е инсталиран на вашата лична машина или трябва да го инсталирате сега?"}
    B -->|"БЪДЕТЕ ПОМОЛЕНИ ДА ГО ИНСТАЛИРАТЕ СЕГА (защита преди инсталиране)"| C{"Какъв тип софтуер ви молят да инсталирате?"}
    C -->|"Интерактивно проследяване на времето (Hubstaff, Time Doctor, Toggl, Upwork Desktop App)"| D["НЕ инсталирайте на гола хост ОС -> Създайте безплатна Windows Hyper-V / VMware / UTM виртуална машина (или използвайте специален работен лаптоп за $200) -> Инсталирайте тракера само във VM"]
    C -->|"Stealth Surveillance/MDM/Root Cert (Teramind, ActivTrak, Veriato, Intune MDM)"| E["НИКОГА не инсталирайте Stealth Agent или MDM на персонален компютър -> Поискайте издаден от компанията лаптоп или влизане в Azure Virtual Desktop (AVD / Citrix) -> Ако е принудително, стартирайте стриктно на отделен физически лаптоп само за работа"]
    B -->|"ВЕЧЕ ИНСТАЛИРАН НА ЛИЧЕН КОМПЮТЪР (Съдебномедицински одит и почистване)"| F{"С коя операционна система работи вашият персонален компютър?"}
    F -->|"Windows 11/10"| G["Стартирайте Windows Audit в 4 стъпки: 1. Проверете „Настройки -> Достъп до работа или училище“ за MDM -> 2. Проверете Services.msc / Sysinternals Autoruns за скрити агенти -> 3. Проверете certmgr.msc за Root CA -> 4. Проверете изходящите TCP връзки"]
    F -->|"macOS (Apple Silicon / Intel)"| H["Изпълнете 4-стъпков одит на macOS: 1. Проверете „Системни настройки -> Общи -> Управление на устройства“ (Профили) -> 2. Проверете „Поверителност и сигурност -> Запис на екрана и достъпност“ -> 3. Проверете /Library/LaunchDaemons -> 4. Проверете сертификатите на Keychain"]
    G --> I{"Намерихте ли агент за скрит мониторинг, MDM записване или инжектиран основен сертификат?"}
    H --> I
    I -->|"ДА: Намерен Stealth Agent / Root CA / Intune MDM на персонален компютър"| J["Ограничаване: Преместване на работата във VM или втори лаптоп -> Отписване на MDM / Премахване на агент & Root CA от персонален компютър (или операционна система с чиста инсталация) -> Завъртане на всички лични банкови, имейл и идентификационни данни за мениджър на пароли от чист телефон"]
    I -->|"НЕ: Инсталиран е само видим интерактивен тракер (напр. Upwork / Hubstaff)"| K["Отменете неговите разрешения за запис на екрана / достъпност извън работното време -> Излезте от фоновия демон в диспечера на задачите / монитора на активността, когато не работите -> Мигрирайте го във виртуална машина"]

Част 1: Какво всъщност улавя "Bossware" (и как Stealth агентите се крият във вашата система)¶

За да одитирате ефективно вашия персонален компютър, трябва да знаете точните технически възможности и маскираните имена на процеси, използвани от седемте най-разпространени платформи за наблюдение на служителите.

+-------------------------------------------------------------------------+
|  THE 5 SURVEILLANCE LAYERS OF ENTERPRISE "BOSSWARE" ON A BYOD HOST OS   |
|                                                                         |
|  [Layer 1: Visual]    -> Continuous Screen Recording (MP4) or periodic  |
|                          JPEG screenshots + OCR text indexing of screen |
|  [Layer 2: Input]     -> Kernel/API Keylogger (captures every password, |
|                          iMessage, & private email) + Clipboard history |
|  [Layer 3: Network]   -> Injected Trusted Root CA Certificate decrypts  |
|                          all HTTPS traffic (banking, medical portals)   |
|  [Layer 4: Hardware]  -> Silent Webcam snapshots, Microphone room audio,|
|                          GPS/Wi-Fi BSSID geolocation, & USB file copies |
|  [Layer 5: Telemetry] -> "Idle Score" (mouse jiggle detection), active  |
|                          window titles, & "Job Search / Attrition" AI   |
+-------------------------------------------------------------------------+

Технически отпечатъци на топ 7 пакета за наблюдение на служителите¶

Дори когато е внедрен в „Stealth/Hidden Mode“ (където доставчикът умишлено скрива приложението от менюто „Старт“ на Windows, папката „Приложения на macOS“ и системната област), всеки агент за наблюдение трябва да стартира фонова услуга, да зареди драйвер и да поддържа криптирана изходяща мрежова връзка към своя сървър за поглъщане в облак:

Част 2: Съдебна проверка стъпка по стъпка за откриване на скрит Bossware на личен компютър с Windows 11/10¶

Проверка 1: Одит на Windows „Достъп до работа или училище“ за случайно регистриране на корпоративно MDM¶

1. Отворете Windows Settings (Win + I) -> Accounts -> Access work or school.
2. Кликнете върху който и да е посочен служебен имейл адрес. Ако видите Info бутон (не само Disconnect), вашият персонален компютър е регистриран в Microsoft Intune / Corporate Mobile Device Management (MDM). Щракнете Info и превъртете надолу до Areas managed by [Company Name] и Synced Policies / Installed Apps за да видите всяка политика, сертификат и безшумен MSI инсталатор, който вашият работодател е изпратил на вашата лична машина. След като мигрирате работата си във виртуална машина в част 4, щракнете върху Disconnect тук, за да отпишете вашия личен хост компютър.

Проверка 2: Търсене на маскирани стелт услуги (scthost.exe, tsvchst.exe) Използване на PowerShell и Sysinternals Autoruns¶

1. Отворете PowerShell като администратор (Win + X -> Terminal (Admin)) и изпълнете тази команда, за да изброите всяка работеща фонова услуга на трета страна, която не е цифрово подписана от Microsoft:

   Get-WmiObject Win32_Service | Where-Object { $_.State -eq 'Running' -and $_.PathName -notmatch 'C:\\Windows\\servicing|svchost\.exe' } | Select-Object Name, DisplayName, PathName | Format-Table -AutoSize
   

2. Погледнете внимателно всяка изчерпана услуга C:\ProgramData\, C:\Windows\SysWOW64\scthost.exe (ActivTrak), tmagent или tsvchst (Тераминд), winikus (Вериато), или wscservice (InterGuard).
3. Изтеглете официалния безплатен Sysinternals на Microsoft Autoruns64.exe, стартирайте го като администратор, щракнете върху Options -> Hide Microsoft Entries и проверете Services и Drivers раздели за всеки стелт кийлогър или драйвер за филтър за заснемане на екрана (tmfilter.sys, vfilter.sys).

Проверка 3: Проверете Windows Trusted Root Certificate Store (certmgr.msc) за HTTPS декриптиране¶

За да видите какво пишете вътре HTTPS уебсайтове (като вашата лична банка, Gmail или портал за здравеопазване), пакети за наблюдение и корпоративни уеб проксита (Teramind, Zscaler, Netskope, Fortinet) инсталирайте персонализиран Човек по средата (MITM) Главен сертификатен орган на вашия компютър:

1. Натиснете Win + R, тип certmgr.msc и натиснете Enter.
2. Разширете Trusted Root Certification Authorities -> Certificates, сортиране по Issued By и потърсете всеки сертификат, наречен на вашия Работодател, Teramind, Zscaler Root CA, Veriato, Netskope, Fortinet или Securly.
3. Тествайте в личния си браузър Chrome или Edge: отворете https://www.google.com или уебсайта на вашата банка, щракнете върху иконата за настройка вляво от URL адреса -> Connection is secure -> Certificate is valid. Ако удостоверението за google.com или вашата лична банка казва Issued By: [Your Employer Name] / Zscaler / Teramind Root CA, вашият работодател дешифрира и проверява вашия личен HTTPS трафик.

Част 3: Съдебна проверка стъпка по стъпка за откриване на скрит Bossware на личен Mac (macOS)¶

Проверка 1: Проверете Screen & System Audio Recording и Accessibility Разрешения¶

В macOS дори демон на ниво root не може тихо да записва вашия екран или да регистрира глобални натискания на клавиши в други приложения, освен ако не му е дадено разрешение в два панела за поверителност:

1. Отворете System Settings -> Privacy & Security -> Screen & System Audio Recording. Ако видите scthost, Teramind, ActivTrak, Hubstaff, Time Doctor, sfproc, Veriato, или неразпознат помощник, включен тук, това приложение има активно разрешение да записва екрана на вашия Mac. Превключете незабавно на ИЗКЛЮЧЕНО и щракнете върху - бутон, за да го премахнете.
2. Отворете Accessibility и Input Monitoring вътре Privacy & Security. Всяко предоставено приложение Input Monitoring или Accessibility разрешението може да чете всяко натискане на клавиш, което въвеждате в операционната система. Деактивирайте и премахнете всеки неразпознат демон или проследяване на работодател от двата списъка.

Проверка 2: Проверете за macOS Device Management (MDM Profiles) и Скрити LaunchDaemons¶

1. Отворете System Settings -> General -> Device Management (или System Preferences -> Profiles на по-стари macOS). На личен MacBook, Device Management секцията трябва да е напълно празна или да липсва. Ако видите Профил за управление, инсталиран от вашия работодател (Jamf, Kandji, Mosyle, Microsoft Intune, Rippling, Drata, Vanta), щракнете върху него, за да проверите какви главни сертификати, TCC заобикаля поверителността и фонови агенти, които прилага на вашия личен Mac.
2. Отворете Терминал (Cmd + Space -> Terminal) и бягайте ls -la /Library/LaunchDaemons /Library/LaunchAgents за да изброите всички руут фонови демони и потребителски стартиращи агенти на трети страни, инсталирани на вашия Mac. Търсете всякакви .plist файл, съдържащ teramind, activtrak, scthost, veriato, hubstaff, timedoctor, workpuls, insightful, или awarenesstech.
3. Отворете също Keychain Access (Cmd + Space -> Keychain Access) -> System Roots и System ключодържатели и прегледайте Certificates за всеки персонализиран корпоративен Root CA, инсталиран за дешифриране на вашия личен HTTPS трафик на Safari и Chrome.

Част 4: Изолиране на софтуер на работодател във виртуална машина (VM) или специализиран хардуер¶

Ако вашата дистанционна работа или договор на свободна практика изискват да бягате Hubstaff, Time Doctor, Upwork Desktop App, ActivTrak, Teramind, или корпоративен VPN през работно време, никога не го инсталирайте на вашата лична хост операционна система.

+----------------------------------------------------------------------+
|  HOW VIRTUAL MACHINE (VM) ISOLATION CONTAINERS EMPLOYER BOSSWARE     |
|                                                                      |
|  +----------------------------------------------------------------+  |
|  | YOUR PERSONAL HOST COMPUTER (Windows 11 or macOS)              |  |
|  | * Personal Chrome (Banking, Medical, Personal Email, Taxes)    |  |
|  | * Personal Files, Photos, 1Password Vault, & Webcam            |  |
|  |   [ 100% INVISIBLE TO EMPLOYER ACROSS HYPERVISOR BOUNDARY ]    |  |
|  |   +--------------------------------------------------------+   |  |
|  |   | ISOLATED WORK VIRTUAL MACHINE (Hyper-V / UTM / VMware) |   |  |
|  |   | * Employer Bossware (Hubstaff / Teramind / ActivTrak)  |   |  |
|  |   | * Corporate VPN + Work Browser + Slack + VS Code       |   |  |
|  |   | * Bossware Can ONLY Screenshot & Log Inside This VM    |   |  |
|  |   +--------------------------------------------------------+   |  |
|  +----------------------------------------------------------------+  |
+----------------------------------------------------------------------+

Вариант 1: Безплатната изолирана виртуална машина (Hyper-V / VMware Workstation / UTM)¶

Чрез създаване на виртуална машина за гости на вашия компютър и инсталиране на целия софтуер за работодател стриктно във виртуалната машина:

• Изолиране на заснемане на екрана: Кога Hubstaff или Teramind прави екранна снимка вътре във виртуалната машина, тя улавя само адаптера за виртуален дисплей на виртуалната машина, докато вашата лична банкова сметка или втори монитор на хост ОС остава 100 процента невидим през границата на хипервайзора.
• Кейлогър и изолация на клипборда: Деактивирайте Споделения клипборд (Bidirectional Clipboard: Off) и Споделени папки в настройките на вашата VM, така че натисканията на клавиши, въведени в персоналния браузър на вашата хост операционна система, никога да не влизат във виртуалния буфер на USB клавиатурата на VM.
• Изолиране на мрежови и HTTPS сертификати: Всяка корпоративна VPN (Zscaler, Cisco AnyConnect) или MITM Root Certificate, инсталиран във VM, засяга само мрежовия трафик вътре във VM, оставяйки директната домашна интернет връзка на вашия хост компютър незасегната.
• Незабавно твърдо изключване в 17:00: Когато приключите работа в 17:00, щракнете върху Shut Down на виртуалната машина, така че фоновата услуга на работодателя престава да съществува в RAM, докато не стартирате виртуалната машина утре сутрин.

Вариант 2: Посветеният $200 to $300 Ремонтиран работен лаптоп + хардуерен KVM превключвател¶

Ако агент на предприятието провери CPUID или BIOS низове (VMware, VirtualBox, Hyper-V) и блокира виртуални машини, купете чисто реновиран Lenovo ThinkPad T14 или Dell Latitude ($180 to $250) посветен на 100 процента работа, свържете двата компютъра към настолните си монитори и клавиатурата с помощта на $35 HDMI или DisplayPort хардуерен KVM превключвател и свържете работния лаптоп към изолираната гост Wi-Fi мрежа на вашия домашен рутер, така че да не може да сканира вашите лични домашни LAN устройства.

Регионални номера за спешни повиквания и протоколи на агенции (BYOD закони за наблюдение и подслушване)¶

Тайно внедряване на кийлогъри, заснемане на уеб камера или денонощно наблюдение извън работното място върху ** частна собственост на служител (BYOD) компютър без изрично разкриване** нарушава подслушването, защитата на данните и трудовите закони в множество юрисдикции:

• Европейски съюз и Обединеното кралство (EU/UK GDPR, ECHR Article 8, & UK ICO Employment Practices Code): Наберете 112 (ЕС) или 999 (Обединеното кралство) за физически спешни случаи. Съгласно членове 5, 6 и 35 от GDPR и насоките от Офисът на комисаря по информацията (ICO) на Обединеното кралство (Ръководство за наблюдение на работниците, 2023), скритото наблюдение на работници почти никога не е законно оправдано и продължителното записване на клавиатурата, заснемане на уеб камера или наблюдение извън работното време на личното BYOD устройство на работника в частния му дом не отговаря на GDPR Тестове за пропорционалност и минимизиране на данните. Работниците могат да подадат регулаторна жалба до UK ICO (ico.org.uk) или техния национален Орган за защита на данните на ЕС (CNIL, BfDI, AEPD, DPC).
• САЩ (ECPA, CFAA, и закони за известия за наблюдение на държавните служители): Обадете се на 911 за физически спешни случаи. Законът за поверителност на електронните комуникации (ECPA) и Закон за компютърни измами и злоупотреби (CFAA) урежда неразрешеното прихващане, а Националният съвет по трудови отношения (NLRB Бележка 23-02) забранява електронното наблюдение, което охлажда защитената съгласувана дейност. Ню Йорк (NY Civil Rights Law § 52-c), Кънектикът (Conn. Gen. Stat. § 31-48d), Делауеър (19 Del. C. § 705) и Калифорния (CCPA / CPRA) стриктно изискват от работодателите да дадат предварително писмено известие, преди да се включат в електронно наблюдение.
• Канада, Австралия и Нова Зеландия: Уреждат се от Закона за работа за работници на Онтарио (изискващ писмена Политика за електронно наблюдение за работодатели с над 25 служители), Квебек Law 25 и Нов Южен Уелс Workplace Surveillance Act 2005 (изисква се 14 дни предварително писмено известие). Вижте номера за спешни случаи за всички региони.

Често задавани въпроси¶

Може ли работодателят ми да види какво правя на моя личен компютър или телефон, само защото е свързан към домашния ми Wi-Fi, докато служебният ми лаптоп също е на същия домашен Wi-Fi?¶

Не, стига софтуерът за наблюдение и VPN на вашия работодател да са инсталирани само на служебния лаптоп, издаден от компанията, а не на вашия личен компютър или телефон. Корпоративен лаптоп, свързан към вашия домашен Wi-Fi, използва криптиран VPN тунел обратно към офиса на компанията и не може да декриптира или види HTTPS сърфиране в мрежата, банкиране или приложения, работещи на вашия отделен личен лаптоп или iPhone на същия домашен Wi-Fi рутер (въпреки че за най-добра хигиена на мрежата свържете работния си лаптоп към Wi-Fi мрежата за гости на домашния си рутер).

Дали влизането в моята компания Slack, Gmail или Microsoft Teams в раздел на уеб браузър позволява на моя работодател да вижда другите ми раздели на браузъра или да прави екранни снимки на работния ми плот?¶

Не. Тъй като съвременните уеб браузъри налагат стриктна пясъчна среда от същия произход, уеб страница се отваря в един раздел на браузъра (като напр. `app.slack.com` или `outlook.office.com`) е забранено от двигателя на браузъра да чете URL адресите, бисквитките или екранните пиксели на другите ви раздели на браузъра или вашия работен плот, освен ако не влезете в самия браузър Chrome с управляван работен профил и щракнете върху „Включване на синхронизирането“ (което позволява на администратора на Google Workspace на вашия работодател да прокара разширения на Chrome в този профил на браузъра). Винаги отваряйте работни уеб приложения в отделен несинхронизиран профил на браузър с нулеви корпоративни разширения.

Могат ли Hubstaff, Time Doctor или ActivTrak да открият дали използвам механичен или USB "Mouse Jiggler"?¶

Да, съвременните версии на ActivTrak, Teramind, Time Doctor и Hubstaff използват евристика за въвеждане на машинно обучение, обучена да маркира механични и USB мишки. Съвременните пакети анализират ентропията на траекториите на мишката (маркиране на повтарящи се 1-пикселови осцилации, кръгови цикли с постоянна скорост или 45-минутни периоди на непрекъснато движение на мишката, придружени от нулеви щраквания на мишката, нулеви промени във фокуса на прозореца и нулево въвеждане от клавиатурата) и изпращат автоматизирано предупреждение за предполагаемо поклащане на мишката до таблото на вашия мениджър.

Ако използвам личен компютър с Windows с два потребителски акаунта (един „Работен“ вход в Windows и един „Личен“ вход в Windows), това спира ли Bossware, инсталиран на работния вход, да шпионира личните ми данни за вход?¶

Не, отделни потребителски акаунти на Windows или macOS на една и съща операционна система не изолират агентите за наблюдение на системно ниво (`Teramind`, `ActivTrak`, `Veriato`, `InterGuard`, `CrowdStrike`, `Intune MDM`). Тъй като тези агенти се инсталират като `NT AUTHORITY\SYSTEM` услуги, драйвери за филтър на ядрото или `/Library/LaunchDaemons` с доверени главни сертификати за цялата машина, те работят в цялата операционна система, независимо от това кой локален потребителски акаунт е влязъл. Само виртуална машина (`Hyper-V / VMware / UTM`), отделно криптирано устройство с Dual-Boot или отделен физически лаптоп осигурява истинска изолация.

Може ли софтуерът за наблюдение на работодателя да вижда уебсайтовете, които посещавам в Chrome „Режим инкогнито“ или Safari „Частно сърфиране“?¶

Да, 100 процента. Режимът инкогнито на Chrome и частното сърфиране в Safari не позволяват на браузъра да записва история и бисквитки на вашия локален твърд диск само след като затворите прозореца; те не правят нищо, за да скрият вашия екран, вашите натискания на клавиши, вашите DNS търсения или вашия HTTPS трафик от агент за наблюдение на служители (`Teramind`, `ActivTrak`, `InterGuard`, `Veriato`) или корпоративен Root CA, работещ на същата операционна система.

Моят работодател ме помоли да инсталирам приложението Microsoft Authenticator или Okta Verify 2FA на моя личен iPhone или телефон с Android. Може ли това приложение да шпионира личните ми снимки, текстове или сърфиране в мрежата?¶

Не. Самостоятелно приложение за генериране на код за многофакторно удостоверяване (**Microsoft Authenticator**, **Okta Verify**, **Duo Mobile**, **Google Authenticator**), инсталирано от Apple App Store или Google Play Store, работи в стриктна пясъчна среда на мобилно приложение и няма достъп до вашите лични текстови съобщения, снимки, хронология на сърфиране или други приложения. Избягвайте само инсталирането на пълно управление на мобилни устройства (`MDM`) Профил за регистриране на устройство на личен телефон, ако поиска разрешения за управление на основно устройство и сертификат.

Свързани ръководства¶

• Сигурност при спешна отдалечена работа и поверителност на данните
• VPN kill-switch грешка или корпоративна нулева надеждност Zscaler / CrowdStrike Falcon карантина при зареждане
• Случайно споделяне на екрана на поверителен лист със заплата, мениджър на пароли или списък на съкращения в Zoom или Teams
• Дигитален номад или отдалечен служител, работещ от неоторизирана държава: IP флаг и блокиране на контрола на експорта
• Коуъркинг пространство, хотел или летище USB juice-jacking, рамо сърфиране и студена DMA защита

Източници и официални указания¶

• Офисът на комисаря по информацията на Обединеното кралство (ICO): Практики на работа и защита на данните: Насоки за наблюдение на работниците (2023) (Строги ограничения за скрито наблюдение, непрекъснато натискане на клавиш/улавяне на уеб камера и изисквания за пропорционалност на BYOD устройства в частни домове съгласно GDPR на Обединеното кралство).
• Европейски съвет за защита на данните (EDPB)/Работна група по член 29: Становище 2/2017 относно обработката на данни на работното място (WP 249) (Изрична забрана срещу непропорционално проследяване на служители и задължително отделяне на частни BYOD пространства съгласно GDPR на ЕС).
• Бюро за финансова защита на потребителите (CFPB) & Национален съвет по трудови отношения (NLRB): CFPB Циркуляр 2024-06 (Документи за фон и алгоритмични резултати за работници) & Бележка на главния съветник на NLRB GC 23-02 (Електронно управление и алгоритмично наблюдение).
• Electronic Frontier Foundation (EFF): Inside Bossware: Технически анализ на софтуера за наблюдение на служителите, Keyloggers и TLS Root Certificate Interception.
• NIST (Национален институт за стандарти и технологии): NIST SP 800-114 Rev. 1 (Ръководство на потребителя за дистанционна работа и носете свое собствено устройство BYOD Security) & NIST SP 800-46 Rev. 2.