Programska oprema za spremljanje delodajalcev (»Bossware«: Hubstaff, Teramind, ActivTrak), nameščena na osebnem računalniku BYOD: zaznavanje zapisovalcev tipk in zajem zaslona¶

Delodajalec ali stranka vam je naročil, da namestite agenta za produktivnost ali varnost zaposlenih na vaš osebni domači računalnik v zasebni lasti (Bring Your Own Device / BYOD) ali odkritje, da prikriti odjemalec za spremljanje podjetja (Teramind, ActivTrak, Hubstaff, Time Doctor, Veriato / Sapience, InterGuard, Insightful / Workpuls ali Sneek) tiho teče v ozadju vašega osebnega računalnika z operacijskim sistemom Windows ali MacBook, je nujna digitalna zasebnost in izredne razmere na področju kibernetske varnosti. Medtem ko ima delodajalec na splošno široka pravna pooblastila za spremljanje dejavnosti na prenosnem računalniku v lasti podjetja, ki ga je kupil in vam izdal, namestitev agenta za nadzor na ravni jedra ali korenskega potrdila neposredno v goli operacijski sistem vašega osebnega domačega računalnika daje skrbnikom IT vašega delodajalca stalen 24/7 dostop do vašega zasebnega življenja: zajemanje posnetkov zaslona vašega osebnega spletnega bančništva, beleženje pritiskov tipk, ko v soboto ob 22. uri vtipkate svoj osebni zdravstveni portal ali davčna gesla, snemate zvok v prostoru ali občasne posnetke vaše družine s spletno kamero in prestrežete šifrirane HTTPS / TLS spletni promet prek vstavljenega overitelja korenskih potrdil (MITM Root CA). Če se nepooblaščeni agent za nadzor uporablja za nezakonito zalezovanje, izsiljevanje ali domačo prisilo, nemudoma izključite računalnik iz interneta in se obrnite na lokalno številke za klic v sili. Za tesno povezane nujne primere dela na daljavo si oglejte naše vodnike na varnost dela na daljavo v sili in zasebnost podatkov, korporativne zagonske zanke Zscaler ali CrowdStrike Falcon brez zaupanja, in Zoom in Teams nenamerno deljenje zaslona in uhajanje vročega mikrofona.

Ni vam treba izbirati med izgubo službe na daljavo in predajo delodajalcu glavnih ključev vašega osebnega bančništva, zdravstvenega varstva in družinske zasebnosti. Z izvedbo 10-minutne forenzične revizije vašega osebnega računalnika z operacijskim sistemom Windows ali macOS za odkrivanje skritih prikritih agentov (svchost storitve maskiranja, macOS Screen & System Audio Recording dovoljenja in vstavljena korenska potrdila TLS), rotacijo vseh osebnih gesel, ki ste jih vnesli, medtem ko je bil aktiven keylogger ali proxy TLS, in premikanje vse programske opreme, ki jo zahteva delodajalec, znotraj strojno izoliranega virtualnega stroja (Hyper-V, VMware Workstation, Parallels, oz UTM) ali na namensko $250 prenosni računalnik samo za delo, lahko zadovoljite zahteve svojega delodajalca glede sledenja delovnemu času, hkrati pa ohranite 100 odstotkov svojega osebnega življenja fizično in kriptografsko izoliranega.

Naredi to zdaj¶

1. NEHAJTE prijavo v osebno bančništvo, osebno e-pošto, upravitelje gesel, zdravstvene portale ali davčne račune na tem računalniku, dokler ne dokončate spodnje revizije. Če prikrita zgradba Teramind, Veriato, oz InterGuard (ali korensko potrdilo MDM) je nameščen neposredno v vašem gostiteljskem operacijskem sistemu, deluje kot a SYSTEM oz root daemon 24 ur na dan, tudi ko zaprete Slack, prekinete povezavo s poslovnim VPN-jem ali prekinete vidno časovno aplikacijo za konec tedna.
2. Fizično pokrijte lečo svoje spletne kamere z mehanskim drsnikom ali neprozornim trakom in odklopite ali strojno utišajte mikrofon USB, kadar koli niste na načrtovanem klicu. Več orodij za oddaljeno prisotnost ekipe (Sneek, Teramind Hidden Agent, Time Doctor, InterGuard) podpira občasno tiho zajemanje posnetkov s spletno kamero (every 1 to 5 minutes) in pretakanje z mikrofona ali zaslona v živo brez osvetlitve programske obvestilne pasice.
3. Preverite, ali se prijavljate v svoj službeni Microsoft 365 (Teams / Outlook) ali račun Google Workspace pomotoma prijavil vaš osebni računalnik v Corporate Mobile Device Management (Microsoft Intune). V sistemu Windows odprite Settings -> Accounts -> Access work or school. Če vidite, da je račun vašega delodajalca naveden z »Povezan z [Podjetje] MDM«, je klik »Dovoli moji organizaciji, da upravlja mojo napravo« med rutinsko prijavo v Outlook dal delodajalčevemu skrbniku za IT oddaljeno dovoljenje za potiskanje tihe programske opreme v ozadju, pregledovanje nameščenih aplikacij in izdajo oddaljenega tovarniškega brisanja vašega osebnega računalnika.
4. V sistemu macOS odprite System Settings -> Privacy & Security -> Screen & System Audio Recording IN Accessibility prav zdaj. V skladu z Appleovo obvezno preglednostjo, soglasjem in nadzorom (TCC) okvir, nobena programska oprema za spremljanje zaposlenih v sistemu macOS ne more zajeti vašega zaslona ali zabeležiti globalnih pritiskov tipk, razen če je izrecno navedena in vklopljena znotraj teh dveh podoknov (ali potisnjena prek vidnega MDM-ja). Device Management profil).
5. Preverite svojo shrambo zaupanja vrednih korenskih potrdil Windows in macOS (certmgr.msc / Keychain Access) za nestandardno korporativno overiteljo korenskih potrdil (CA). Če je vaš delodajalec zraven namestil potrdilo Root CA po meri Zscaler, Teramind, Netskope, oz FortiClient, lahko njihov strežnik dešifrira in prebere koristni tovor v obliki navadnega besedila vsakega HTTPS spletno mesto, ki ga obiščete, vključno z vašo osebno bančno in zdravstveno kartoteko.
6. Nikoli ne nameščajte delodajalčeve programske opreme za sledenje časa ali spremljanje neposredno na vaš osebni gostiteljski OS; namestite znotraj izoliranega virtualnega stroja (Windows Hyper-V, VMware, VirtualBox, oz UTM / Parallels) ali na ločeni fizični napravi. Ko Hubstaff, Time Doctor, oz ActivTrak deluje znotraj okna navideznega računalnika, lahko samo vidi, posname zaslon in beleži, kaj se dogaja znotraj tega okna navideznega namizja, medtem ko osebni brskalniki, datoteke in bančništvo vašega gostiteljskega računalnika ostanejo 100-odstotno nevidni čez mejo hipervizorja.

Odločitveno drevo: Revizija osebnega računalnika BYOD in izolacija programske opreme za spremljanje delodajalca¶

Sledite temu odločitvenemu drevesu, da ugotovite, kakšna raven nadzora je prisotna na vašem osebnem računalniku in kako ga varno izolirati.

flowchart TD
    A["Nadzor sumljivih ali pooblaščenih delodajalcev (»Bossware«) na osebnem računalniku BYOD"] --> B{"Ali je programska oprema delodajalca že nameščena na vašem osebnem računalniku ali pa ste pozvani, da jo namestite zdaj?"}
    B -->|"POZIV, DA GA NAMESTITE ZDAJ (zaščita pred namestitvijo)"| C{"Katero vrsto programske opreme od vas zahtevajo, da namestite?"}
    C -->|"Interaktivni sledilnik časa (Hubstaff, Time Doctor, Toggl, namizna aplikacija Upwork)"| D["NE nameščajte v goli gostiteljski OS -> Ustvarite brezplačni navidezni stroj Windows Hyper-V / VMware / UTM (ali uporabite namenski delovni prenosni računalnik za 200 $) -> Namestite sledilnik samo znotraj VM"]
    C -->|"Stealth Surveillance/MDM/Root Cert (Teramind, ActivTrak, Veriato, Intune MDM)"| E["NIKOLI ne namestite agenta Stealth Agent ali MDM na osebni računalnik -> Zahtevajte prenosni računalnik, ki ga je izdalo podjetje, ali prijavo v navidezno namizje Azure (AVD / Citrix) -> Če ste prisiljeni, zaženite izključno na ločenem fizičnem prenosnem računalniku samo za delo"]
    B -->|"ŽE NAMEŠČEN NA OSEBNI RAČUNALNIK (Forenzična revizija in čiščenje)"| F{"Kateri operacijski sistem uporablja vaš osebni računalnik?"}
    F -->|"Windows 11/10"| G["Zaženite revizijo sistema Windows v 4 korakih: 1. Označite »Nastavitve -> Dostop do službe ali šole« za MDM -> 2. Preverite Services.msc / Sysinternals Autoruns za skrite agente -> 3. Preverite certmgr.msc za Root CA -> 4. Preverite izhodne povezave TCP"]
    F -->|"macOS (Apple Silicon / Intel)"| H["Zaženite revizijo macOS v 4 korakih: 1. Označite 'System Settings -> General -> Device Management' (Profiles) -> 2. Označite 'Privacy & Security -> Screen Recording & Accessibility' -> 3. Označite /Library/LaunchDaemons -> 4. Oglejte si potrdila Keychain."]
    G --> I{"Ste našli agenta za prikrito spremljanje, vpis MDM ali vstavljeno korensko potrdilo?"}
    H --> I
    I -->|"DA: Najden Stealth Agent / Root CA / Intune MDM na osebnem računalniku"| J["ZDRŽEVANJE: Prenesite delo na VM ali drugi prenosni računalnik -> Odjavite MDM / Odstranite agenta & Root CA iz osebnega računalnika (ali operacijskega sistema s čisto namestitvijo) -> Rotirajte vse poverilnice osebnega bančništva, e-pošte in upravitelja gesel iz čistega telefona"]
    I -->|"NE: Nameščen je samo viden interaktivni sledilnik (npr. Upwork / Hubstaff)."| K["Prekličite njegova dovoljenja za snemanje zaslona/dostopnost izven delovnega časa -> Zaprite demon v ozadju v upravitelju opravil/nadzornik dejavnosti, ko ni na uri -> Preselite ga v VM"]

1. del: Kaj "Bossware" dejansko zajema (in kako agenti Stealth Agents skrivajo v vašem sistemu)¶

Za učinkovito revizijo svojega osebnega računalnika morate poznati natančne tehnične zmogljivosti in prikrita imena procesov, ki jih uporablja sedem najpogostejših platform za spremljanje zaposlenih.

+-------------------------------------------------------------------------+
|  THE 5 SURVEILLANCE LAYERS OF ENTERPRISE "BOSSWARE" ON A BYOD HOST OS   |
|                                                                         |
|  [Layer 1: Visual]    -> Continuous Screen Recording (MP4) or periodic  |
|                          JPEG screenshots + OCR text indexing of screen |
|  [Layer 2: Input]     -> Kernel/API Keylogger (captures every password, |
|                          iMessage, & private email) + Clipboard history |
|  [Layer 3: Network]   -> Injected Trusted Root CA Certificate decrypts  |
|                          all HTTPS traffic (banking, medical portals)   |
|  [Layer 4: Hardware]  -> Silent Webcam snapshots, Microphone room audio,|
|                          GPS/Wi-Fi BSSID geolocation, & USB file copies |
|  [Layer 5: Telemetry] -> "Idle Score" (mouse jiggle detection), active  |
|                          window titles, & "Job Search / Attrition" AI   |
+-------------------------------------------------------------------------+

Tehnični prstni odtisi 7 najboljših zbirk za spremljanje zaposlenih¶

Tudi ko je uveden v »prikritem/skritem načinu« (kjer prodajalec namenoma skrije aplikacijo iz menija Start Windows, mape z aplikacijami macOS in sistemskega pladnja), mora vsak nadzorni agent zagnati storitev v ozadju, naložiti gonilnik in vzdrževati šifrirano izhodno omrežno povezavo s svojim strežnikom za vnos v oblaku:

2. del: Forenzična revizija po korakih za odkrivanje skrite programske opreme Bossware na osebnem računalniku z operacijskim sistemom Windows 11/10¶

1. preverjanje: revizijska okna »Dostop do službe ali šole« za nenamerno vključitev v korporativni MDM¶

1. Odprite Windows Settings (Win + I) -> Accounts -> Access work or school.
2. Kliknite kateri koli naveden službeni e-poštni naslov. Če vidite Info gumb (ne samo Disconnect), je vaš osebni računalnik vpisan v Microsoft Intune / Corporate Mobile Device Management (MDM). Kliknite Info in se pomaknite navzdol do Areas managed by [Company Name] in Synced Policies / Installed Apps za ogled vsakega pravilnika, potrdila in tihega namestitvenega programa MSI, ki ga je vaš delodajalec potisnil v vaš osebni računalnik. Ko preselite svoje delo v virtualni stroj v 4. delu, kliknite Disconnect tukaj, da odjavite svoj osebni gostiteljski računalnik.

2. preverjanje: Lov na maskirane prikrite storitve (scthost.exe, tsvchst.exe) Uporaba PowerShell in Sysinternals Autoruns¶

1. Odprite PowerShell kot skrbnik (Win + X -> Terminal (Admin)) in zaženite ta ukaz za seznam vseh delujočih storitev v ozadju tretjih oseb, ki jih Microsoft ni digitalno podpisal:

   Get-WmiObject Win32_Service | Where-Object { $_.State -eq 'Running' -and $_.PathName -notmatch 'C:\\Windows\\servicing|svchost\.exe' } | Select-Object Name, DisplayName, PathName | Format-Table -AutoSize
   

2. Pozorno si oglejte morebitne storitve, ki jih zmanjkuje C:\ProgramData\, C:\Windows\SysWOW64\scthost.exe (ActivTrak), tmagent oz tsvchst (Teramind), winikus (Veriato), oz wscservice (InterGuard).
3. Prenesite Microsoftov uradni brezplačen Sysinternals Autoruns64.exe, zaženite ga kot skrbnik, kliknite Options -> Hide Microsoft Entries in preglejte Services in Drivers zavihki za kateri koli prikriti keylogger ali gonilnik filtra za zajem zaslona (tmfilter.sys, vfilter.sys).

3. preverjanje: preglejte shrambo zaupanja vrednih korenskih potrdil sistema Windows (certmgr.msc) za dešifriranje HTTPS¶

Da vidim, kaj vtipkate notri HTTPS spletna mesta (kot je vaša osebna banka, Gmail ali portal za zdravstveno varstvo), paketi za spremljanje in korporativni spletni posredniki (Teramind, Zscaler, Netskope, Fortinet) namestite Man-in-the-Middle po meri (MITM) Korenski overitelj potrdil na vaš računalnik:

1. Pritisnite Win + R, tip certmgr.msc in pritisnite Enter.
2. Razširi Trusted Root Certification Authorities -> Certificates, razvrsti po Issued By in poiščite katero koli potrdilo, imenovano po vašem Delodajalcu, Teramind, Zscaler Root CA, Veriato, Netskope, Fortinet ali Securly.
3. Preizkusite v osebnem brskalniku Chrome ali Edge: odprite https://www.google.com ali spletnem mestu vaše banke, kliknite ikono za naravnavanje na levi strani URL-ja -> Connection is secure -> Certificate is valid. Če potrdilo za google.com ali vaša osebna banka pravi Issued By: [Your Employer Name] / Zscaler / Teramind Root CA, vaš delodajalec dešifrira in pregleduje vaš osebni promet HTTPS.

3. del: Forenzična revizija po korakih za odkrivanje skrite programske opreme Bossware na osebnem računalniku Mac (macOS)¶

Preverjanje 1: Preglejte Screen & System Audio Recording in Accessibility Dovoljenja¶

V sistemu macOS celo demon na korenski ravni ne more tiho snemati vašega zaslona ali beležiti globalnih pritiskov tipk v drugih aplikacijah, razen če mu je bilo odobreno dovoljenje v dveh podoknih za zasebnost:

1. Odpri System Settings -> Privacy & Security -> Screen & System Audio Recording. Če vidite scthost, Teramind, ActivTrak, Hubstaff, Time Doctor, sfproc, Veriato, ali neprepoznan pomočnik, ki je tukaj vklopljen, ima ta aplikacija aktivno dovoljenje za snemanje zaslona vašega Maca. Takoj preklopite na OFF in kliknite - gumb, da ga odstranite.
2. Odpri Accessibility in Input Monitoring znotraj Privacy & Security. Vsaka odobrena aplikacija Input Monitoring oz Accessibility dovoljenje lahko prebere vsak pritisk tipke, ki ga vnesete v operacijskem sistemu. Onemogočite in odstranite vse neprepoznane demone ali sledilnike delodajalcev z obeh seznamov.

2. preverjanje: preverite macOS Device Management (MDM Profiles) in Skrito LaunchDaemons¶

1. Odpri System Settings -> General -> Device Management (oz System Preferences -> Profiles na starejših macOS). Na osebnem MacBooku je Device Management razdelek mora biti popolnoma prazen ali odsoten. Če vidite Profil upravljanja, ki ga je namestil vaš delodajalec (Jamf, Kandji, Mosyle, Microsoft Intune, Rippling, Drata, Vanta), kliknite nanj, da preverite, katera korenska potrdila, zasebnost TCC obidejo in agente v ozadju uveljavlja na vašem osebnem Macu.
2. Odprite Terminal (Cmd + Space -> Terminal) in teci ls -la /Library/LaunchDaemons /Library/LaunchAgents za seznam vseh korenskih demonov v ozadju tretjih oseb in agentov za zagon uporabnikov, nameščenih na vašem Macu. Poiščite katero koli .plist datoteka, ki vsebuje teramind, activtrak, scthost, veriato, hubstaff, timedoctor, workpuls, insightful, oz awarenesstech.
3. Odprite tudi Keychain Access (Cmd + Space -> Keychain Access) -> System Roots in System obeske za ključe in preglejte Certificates za kateri koli korporativni korenski overitelj potrdil po meri, nameščen za dešifriranje vašega osebnega prometa Safari in Chrome HTTPS.

4. del: Izolacija programske opreme Employer znotraj virtualnega stroja (VM) ali namenska strojna oprema¶

Če vaša zaposlitev na daljavo ali samostojna pogodba zahteva, da tečete Hubstaff, Time Doctor, Upwork Desktop App, ActivTrak, Teramind, ali VPN podjetja med delovnim časom, ga nikoli ne nameščajte v operacijski sistem osebnega gostitelja.

+----------------------------------------------------------------------+
|  HOW VIRTUAL MACHINE (VM) ISOLATION CONTAINERS EMPLOYER BOSSWARE     |
|                                                                      |
|  +----------------------------------------------------------------+  |
|  | YOUR PERSONAL HOST COMPUTER (Windows 11 or macOS)              |  |
|  | * Personal Chrome (Banking, Medical, Personal Email, Taxes)    |  |
|  | * Personal Files, Photos, 1Password Vault, & Webcam            |  |
|  |   [ 100% INVISIBLE TO EMPLOYER ACROSS HYPERVISOR BOUNDARY ]    |  |
|  |   +--------------------------------------------------------+   |  |
|  |   | ISOLATED WORK VIRTUAL MACHINE (Hyper-V / UTM / VMware) |   |  |
|  |   | * Employer Bossware (Hubstaff / Teramind / ActivTrak)  |   |  |
|  |   | * Corporate VPN + Work Browser + Slack + VS Code       |   |  |
|  |   | * Bossware Can ONLY Screenshot & Log Inside This VM    |   |  |
|  |   +--------------------------------------------------------+   |  |
|  +----------------------------------------------------------------+  |
+----------------------------------------------------------------------+

1. možnost: brezplačni izolirani virtualni stroj (Hyper-V / VMware Workstation / UTM)¶

Z ustvarjanjem gostujočega virtualnega stroja v vašem računalniku in namestitvijo celotne programske opreme delodajalca strogo znotraj VM:

• Izolacija zajema zaslona: Kdaj Hubstaff oz Teramind posname posnetek zaslona znotraj VM, zajame samo navidezni zaslonski adapter VM, medtem ko vaš osebni bančni račun ali drugi monitor v gostiteljskem OS ostane 100-odstotno neviden čez mejo hipervizorja.
• Keylogger & Clipboard Isolation: Onemogoči Skupno odložišče (Bidirectional Clipboard: Off) in Mape v skupni rabi v nastavitvah navideznega računalnika, tako da pritiski tipk, vneseni v osebni brskalnik vašega OS gostitelja, nikoli ne vstopijo v medpomnilnik virtualne tipkovnice USB navideznega računalnika.
• Izolacija potrdila omrežja in HTTPS: Vsak poslovni VPN (Zscaler, Cisco AnyConnect) ali korensko potrdilo MITM, nameščeno znotraj VM, vpliva samo na omrežni promet znotraj VM, tako da neposredna internetna povezava vašega gostiteljskega računalnika ostane nedotaknjena.
• Takojšnji trdi izklop ob 17.00: Ko končate delo ob 17.00, kliknite Shut Down na virtualnem stroju, tako da delodajalčeva storitev v ozadju preneha obstajati v RAM-u, dokler jutri zjutraj ne zaženete virtualnega stroja.

Možnost 2: Predano $200 to $300 Prenovljen delovni prenosni računalnik + strojno stikalo KVM¶

Če agent podjetja preveri CPUID ali BIOS nizi (VMware, VirtualBox, Hyper-V) in blokira virtualne stroje, kupite čisto prenovljen Lenovo ThinkPad T14 ali Dell Latitude ($180 to $250) posvečen 100-odstotno delu, povežite oba računalnika z namiznimi monitorji in tipkovnico s pomočjo $35 HDMI ali DisplayPort strojno KVM stikalo in povežite službeni prenosnik z izoliranim gostujočim Wi-Fi omrežjem vašega domačega usmerjevalnika, tako da ne more skenirati vaših osebnih domačih naprav LAN.

Regionalne številke za klic v sili in protokoli agencije (BYOD zakon o nadzoru in prisluškovanju)¶

Skrivno nameščanje zapisovalcev tipk, zajem spletne kamere ali 24-urni nadzor izven službe na zasebni lasti zaposlenega (BYOD) računalnik brez izrecnega razkritja krši prisluškovanje, varstvo podatkov in delovne zakone v več jurisdikcijah:

• Evropska unija in Združeno kraljestvo (EU/UK GDPR, ECHR Article 8, & UK ICO Employment Practices Code): Za fizične nujne primere pokličite 112 (EU) ali 999 (UK). V skladu s 5., 6. in 35. členom GDPR ter smernicami Informacijskega pooblaščenca Združenega kraljestva (ICO) (Navodila za spremljanje delavcev, 2023) prikrito spremljanje delavcev skoraj nikoli ni pravno upravičeno in neprekinjeno beleženje tipk, zajem spletne kamere ali spremljanje delavčeve osebne naprave BYOD v njihovem zasebnem domu izven delovnega časa ne izpolnjuje GDPR. Preizkusi sorazmernosti in zmanjševanja podatkov. Delavci lahko vložijo regulativno pritožbo pri UK ICO (ico.org.uk) ali njihov nacionalni EU organ za varstvo podatkov (CNIL, BfDI, AEPD, DPC).
• Združene države (ECPA, CFAA, in Zakon o obvestilih o nadzoru državnih uslužbencev): Pokličite 911 za fizične nujne primere. Zakon o zasebnosti elektronskih komunikacij (ECPA) in Zakon o računalniških goljufijah in zlorabah (CFAA) ureja nepooblaščeno prestrezanje in Nacionalni odbor za delovna razmerja (NLRB Memo 23-02) prepoveduje elektronski nadzor, ki ohlaja zaščiteno usklajeno dejavnost. New York (NY Civil Rights Law § 52-c), Connecticut (Conn. Gen. Stat. § 31-48d), Delaware (19 Del. C. § 705) in Kalifornija (CCPA / CPRA) od delodajalcev strogo zahtevajo, da dajo predhodno pisno obvestilo, preden se vključijo v elektronsko spremljanje.
• Kanada, Avstralija in Nova Zelandija: ureja Ontarijski zakon o delu za delavce (ki zahteva pisno politiko elektronskega nadzora za delodajalce z 25+ zaposlenimi), Quebec Law 25 in Novi Južni Wales Workplace Surveillance Act 2005 (zahteva 14-dnevno predhodno pisno obvestilo). glej številke za klic v sili za vse regije.

Pogosta vprašanja¶

Ali lahko moj delodajalec vidi, kaj počnem na svojem osebnem računalniku ali telefonu samo zato, ker je povezan z mojim domačim Wi-Fi, medtem ko je moj službeni prenosni računalnik tudi na istem domačem Wi-Fi?¶

Ne, če sta programska oprema za spremljanje in VPN vašega delodajalca nameščena samo na službenem prenosniku, ki ga je izdalo podjetje, in ne na vašem osebnem računalniku ali telefonu. Poslovni prenosni računalnik, povezan z vašim domačim Wi-Fi, uporablja šifriran tunel VPN nazaj v pisarno podjetja in ne more dešifrirati ali videti HTTPS spletnega brskanja, bančništva ali aplikacij, ki se izvajajo na vašem ločenem osebnem prenosnem računalniku ali iPhonu na istem domačem Wi-Fi usmerjevalniku (čeprav za najboljšo higieno omrežja svoj službeni prenosni računalnik povežite z gostujočim Wi-Fi omrežjem domačega usmerjevalnika).

Ali prijava v moje podjetje Slack, Gmail ali Microsoft Teams znotraj zavihka spletnega brskalnika omogoča mojemu delodajalcu, da vidi moje druge zavihke brskalnika ali naredi posnetke zaslona mojega namizja?¶

Ne. Ker sodobni spletni brskalniki uveljavljajo strog peskovnik istega izvora, se spletna stran odpre v enem zavihku brskalnika (kot npr. `app.slack.com` oz `outlook.office.com`) mehanizem brskalnika prepoveduje branje URL-jev, piškotkov ali zaslonskih slikovnih pik drugih zavihkov brskalnika ali namizja, razen če se prijavite v sam brskalnik Chrome z upravljanim delovnim profilom in kliknete »Vklopi sinhronizacijo« (kar delodajalčevemu skrbniku Google Workspace omogoča, da potisne razširitve za Chrome prek tega profila brskalnika). Delovne spletne aplikacije vedno odprite v ločenem nesinhroniziranem profilu brskalnika brez razširitev podjetja.

Ali lahko Hubstaff, Time Doctor ali ActivTrak zaznajo, ali uporabljam mehansko ali USB "Mouse Jiggler"?¶

Da, sodobne različice programov ActivTrak, Teramind, Time Doctor in Hubstaff uporabljajo vnosno hevristiko strojnega učenja, ki je usposobljena za označevanje mehanskih in USB miškarjev. Sodobni paketi analizirajo entropijo poti miške (označujejo ponavljajoča se nihanja 1 slikovne pike, krožne zanke s konstantno hitrostjo ali 45-minutna obdobja neprekinjenega premikanja miške, ki jih spremlja nič klikov miške, nič sprememb fokusa okna in nič vnosa s tipkovnice) in pošljejo samodejno opozorilo Suspected Mouse Jiggler Alert na nadzorno ploščo vašega upravitelja.

Če uporabljam osebni računalnik z operacijskim sistemom Windows z dvema uporabniškima računoma (ena »službena« prijava v Windows in ena »osebna« prijava v Windows), ali to preprečuje, da bi programska oprema Bossware, nameščena na delovni prijavi, vohunila za mojo osebno prijavo?¶

Ne, ločeni uporabniški računi Windows ali macOS v istem operacijskem sistemu ne izolirajo nadzornih agentov na ravni sistema (`Teramind`, `ActivTrak`, `Veriato`, `InterGuard`, `CrowdStrike`, `Intune MDM`). Ker se ti agenti namestijo kot `NT AUTHORITY\SYSTEM` storitve, gonilnike filtrov jedra ali `/Library/LaunchDaemons` z zaupanja vrednimi korenskimi potrdili za celotno napravo delujejo v celotnem operacijskem sistemu ne glede na to, kateri lokalni uporabniški račun je prijavljen. Samo navidezni stroj (`Hyper-V / VMware / UTM`), ločen šifriran pogon z dvojnim zagonom ali ločen fizični prenosnik zagotavlja pravo izolacijo.

Ali lahko programska oprema za spremljanje delodajalcev vidi spletna mesta, ki jih obiščem v »načinu brez beleženja zgodovine« v Chromu ali »zasebnem brskanju« v Safariju?¶

Da, 100 odstotkov. Način brez beleženja zgodovine v Chromu in zasebno brskanje Safari brskalniku preprečita shranjevanje zgodovine in piškotkov na lokalni trdi disk šele, ko zaprete okno; ne naredijo ničesar, da bi skrili vaš zaslon, vaše pritiske na tipke, vaša iskanja DNS ali vaš promet HTTPS pred agentom za spremljanje zaposlenih (`Teramind`, `ActivTrak`, `InterGuard`, `Veriato`) ali korenski CA podjetja, ki deluje v istem operacijskem sistemu.

Delodajalec me je prosil, naj na svoj osebni telefon iPhone ali Android namestim aplikacijo Microsoft Authenticator ali Okta Verify 2FA. Ali lahko ta aplikacija vohuni za mojimi osebnimi fotografijami, besedili ali brskanjem po spletu?¶

Ne. Samostojna aplikacija za ustvarjanje kode za večfaktorsko preverjanje pristnosti (MFA) (**Microsoft Authenticator**, **Okta Verify**, **Duo Mobile**, **Google Authenticator**), nameščena iz Apple App Store ali Google Play Store, deluje znotraj strogega peskovnika mobilnih aplikacij in nima dostopa do vaših osebnih besedilnih sporočil, fotografij, zgodovine brskanja ali drugih aplikacij. Izogibajte se le namestitvi popolnega upravljanja mobilnih naprav (`MDM`) Device Enrollment Profile na osebnem telefonu, če zahteva dovoljenja za korensko upravljanje naprave in potrdila.

Sorodni vodniki¶

• Varnost dela na daljavo v sili in zasebnost podatkov
• Napaka prekinitvenega stikala VPN ali karantena zagonske zanke podjetja Zscaler/CrowdStrike Falcon brez zaupanja
• Nenamerno prikazovanje zaupnega plačilnega lista, upravitelja gesel ali seznama odpuščenih na zaslonu v storitvi Zoom ali Teams
• Digitalni nomad ali zaposleni na daljavo, ki dela iz nepooblaščene države: zastava IP in zaklepanje nadzora izvoza
• Coworking prostor, hotel ali letališče USB juice-jacking, deskanje na rami in zaščita DMA s hladnim zagonom

Viri in uradna navodila¶

• Urad Informacijskega pooblaščenca Združenega kraljestva (ICO): Zaposlitvene prakse in varstvo podatkov: Navodila za spremljanje delavcev (2023) (stroge omejitve glede prikritega spremljanja, neprekinjenega pritiska na tipko/zajemanja s spletno kamero in zahteve glede sorazmernosti na napravah BYOD v zasebnih domovih v skladu z GDPR Združenega kraljestva).
• Evropski odbor za varstvo podatkov (EDPB)/Delovna skupina iz člena 29: Mnenje 2/2017 o obdelavi podatkov pri delu (WP 249) (Izrecna prepoved nesorazmernega sledenja zaposlenih in obvezna ločitev zasebnih prostorov BYOD v skladu z EU GDPR).
• Urad za finančno zaščito potrošnikov (CFPB) & Nacionalni odbor za delovna razmerja (NLRB): Okrožnica CFPB 2024-06 (Dosjeji o ozadju in algoritemski rezultati za delavce) & Memo generalnega svetovalca NLRB GC 23-02 (Elektronsko upravljanje in algoritemski nadzor).
• Electronic Frontier Foundation (EFF): Inside Bossware: tehnična analiza programske opreme za spremljanje zaposlenih, zapisovalcev tipk in prestrezanja korenskega potrdila TLS.
• NIST (Nacionalni inštitut za standarde in tehnologijo): NIST SP 800-114 Rev. 1 (Uporabniški priročnik za delo na daljavo in prinesite svojo napravo BYOD Security) & NIST SP 800-46 Rev. 2.