Програмне забезпечення для моніторингу роботи роботодавця ("Bossware": Hubstaff, Teramind, ActivTrak), встановлене на персональному комп’ютері BYOD: виявлення клавіатурних шпигунів і знімок екрана¶

Отримавши вказівку від роботодавця або клієнта встановити агент продуктивності або безпеки для співробітників на ваш особистий приватний домашній комп’ютер (Bring Your Own Device / BYOD), або виявлення того, що стелс-клієнт корпоративного моніторингу (Teramind, ActivTrak, Hubstaff, Time Doctor, Veriato / Sapience, InterGuard, Insightful / Workpuls або Sneek) безшумно працює у фоновому режимі вашого персонального ПК з Windows або MacBook, є терміновою цифровою конфіденційністю та надзвичайна ситуація з кібербезпекою. Хоча роботодавець, як правило, має широкі юридичні повноваження відстежувати діяльність на корпоративному ноутбуці, який він придбав і надав вам, інсталяція агента спостереження на рівні ядра або кореневого сертифіката безпосередньо в операційну систему вашого персонального домашнього комп’ютера надає ІТ-адміністраторам вашого роботодавця безперервний цілодобовий доступ до вашого особистого життя: знімки екрана вашого особистого онлайн-банкінгу, реєстрація натискань клавіш, коли ви вводите свій особистий медичний портал або податкові паролі о 22:00 суботи, записуючи аудіо навколишнього середовища або періодичні знімки веб-камери вашої родини та перехоплюючи зашифровані HTTPS / TLS веб-трафік через ін'єктований кореневий центр сертифікації (MITM Root CA). Якщо неавторизований агент стеження використовується для незаконного переслідування, шантажу чи домашнього примусу, негайно від’єднайте комп’ютер від Інтернету та зверніться до місцевого номери екстрених служб. Для надзвичайних ситуацій, пов’язаних із віддаленою роботою, перегляньте наші посібники на надзвичайна безпека віддаленої роботи та конфіденційність даних, корпоративні завантажувальні цикли Zscaler або CrowdStrike Falcon без довіри, і Zoom і Teams випадково показують екран і витік гарячого мікрофона.

Вам не потрібно вибирати між втратою віддаленої роботи та передачею роботодавцю головних ключів до ваших особистих банківських послуг, охорони здоров’я та сімейної конфіденційності. Виконуючи 10-хвилинний криміналістичний аудит вашого персонального комп’ютера з Windows або macOS для виявлення прихованих стелс-агентів (svchost служби маскування, macOS Screen & System Audio Recording дозволи та впроваджені кореневі сертифікати TLS), зміна будь-яких особистих паролів, введених під час роботи кейлоггера або проксі-сервера TLS, і переміщення всього програмного забезпечення, призначеного роботодавцем, у апаратно ізольовану віртуальну машину (Hyper-V, VMware Workstation, Parallels, або UTM) або на спеціальний $250 робочий ноутбук, ви можете задовольнити вимоги вашого роботодавця щодо відстеження робочого часу, зберігаючи 100 відсотків свого особистого життя фізично та криптографічно ізольованим.

Зробіть це зараз¶

1. ЗУПИНІТЬ вхід до особистих банківських систем, особистої електронної пошти, менеджерів паролів, порталів охорони здоров’я або податкових облікових записів на цьому комп’ютері, доки ви не завершите наведену нижче перевірку. Якщо прихована збірка Teramind, Veriato, або InterGuard (або кореневий сертифікат MDM) встановлюється безпосередньо в операційній системі вашого хоста, він працює як a SYSTEM або root daemon працює 24 години на добу, навіть коли ви закриваєте Slack, від’єднуєте корпоративну VPN або відключаєте видиму програму таймера на вихідні.
2. Фізично закрийте об’єктив веб-камери механічним повзунком або непрозорою стрічкою та від’єднайте або апаратно вимкніть мікрофон USB, коли ви не розмовляєте по розкладу. Кілька інструментів віддаленої присутності команди (Sneek, Teramind Hidden Agent, Time Doctor, InterGuard) підтримка періодичного тихого захоплення знімків веб-камерою (every 1 to 5 minutes) і пряму трансляцію з мікрофона або екрана без підсвічування банера зі сповіщеннями програмного забезпечення.
3. Перевірте, чи входите в робочий Microsoft 365 (Teams / Outlook) або обліковий запис Google Workspace випадково зареєстрував ваш особистий ПК у корпоративному керуванні мобільними пристроями (Microsoft Intune). У Windows відкрийте Settings -> Accounts -> Access work or school. Якщо ви бачите обліковий запис вашого роботодавця зі списком "Підключено до [Компанії] MDM", натискання "Дозволити моїй організації керувати моїм пристроєм" під час звичайного входу в Outlook дало ІТ-адміністратору вашого роботодавця віддалений дозвіл надсилати програмне забезпечення у фоновому режимі, перевіряти встановлені програми та виконувати дистанційне стирання заводських даних вашого персонального ПК.
4. На macOS відкрити System Settings -> Privacy & Security -> Screen & System Audio Recording І Accessibility прямо зараз. Відповідно до обов’язкових прозорості, згоди та контролю Apple (TCC) framework, жодне програмне забезпечення для моніторингу співробітників у macOS не може захоплювати ваш екран або реєструвати загальні натискання клавіш, якщо його явно не вказано в списку та не ввімкнено всередині цих двох панелей (або надіслано через видимий MDM). Device Management профіль).
5. Перевірте сховище довірених кореневих сертифікатів Windows і macOS (certmgr.msc / Keychain Access) для нестандартного корпоративного кореневого центру сертифікації (CA). Якщо ваш роботодавець встановив настроюваний кореневий сертифікат CA Zscaler, Teramind, Netskope, або FortiClient, їхній сервер може розшифрувати та зчитувати звичайний текст корисного навантаження кожного HTTPS веб-сайт, який ви відвідуєте, включаючи ваші особисті банківські та медичні записи.
6. Ніколи не встановлюйте програмне забезпечення для відстеження робочого часу або моніторингу безпосередньо на вашій персональній ОС; встановіть його всередині ізольованої віртуальної машини (Windows Hyper-V, VMware, VirtualBox, або UTM / Parallels) або на окремому фізичному пристрої. Коли Hubstaff, Time Doctor, або ActivTrak працює у вікні віртуальної машини, він може лише переглядати, знімати екран і реєструвати те, що відбувається всередині цього вікна віртуального робочого столу, тоді як персональні браузери, файли та банківські дані вашого хост-комп’ютера залишаються на 100 відсотків невидимими за кордоном гіпервізора.

Дерево рішень: перевірка персонального комп’ютера BYOD та ізоляція програмного забезпечення моніторингу роботодавця¶

Дотримуйтеся цього дерева рішень, щоб визначити, який рівень моніторингу присутній на вашій персональній машині та як його безпечно ізолювати.

flowchart TD
    A["Моніторинг підозрюваних або санкціонованих роботодавців («Bossware») на персональному комп’ютері BYOD"] --> B{"Чи програмне забезпечення роботодавця вже встановлено на вашій персональній машині, чи вас просять встановити його зараз?"}
    B -->|"ЗАПРОШУЮТЬ ВСТАНОВИТИ ЙОГО ЗАРАЗ (захист перед інсталяцією)"| C{"Який тип програмного забезпечення вони просять вас встановити?"}
    C -->|"Інтерактивний відстеження часу (Hubstaff, Time Doctor, Toggl, додаток Upwork Desktop)"| D["НЕ встановлюйте на базовій ОС -> Створіть безкоштовну віртуальну машину Windows Hyper-V / VMware / UTM (або використовуйте спеціальний робочий ноутбук за 200 доларів США) -> Встановіть трекер лише всередині віртуальної машини"]
    C -->|"Стелс-спостереження / MDM / кореневий сертифікат (Teramind, ActivTrak, Veriato, Intune MDM)"| E["НІКОЛИ не встановлюйте Stealth Agent або MDM на персональному комп’ютері -> Надішліть запит на вхід у портативний комп’ютер, виданий компанією, або на віртуальний робочий стіл Azure (AVD / Citrix) -> Якщо потрібно, запустіть виключно на окремому фізичному робочому ноутбуці"]
    B -->|"ВЖЕ ВСТАНОВЛЕНО НА ПЕРСОНАЛЬНОМУ ПК (Форензік-аудит і очищення)"| F{"Яка операційна система працює на вашому персональному комп'ютері?"}
    F -->|"Windows 11 / 10"| G["Запустіть 4-етапний аудит Windows: 1. Перевірте «Налаштування» -> «Доступ до роботи чи школи» для MDM -> 2. Перевірте Services.msc / Sysinternals Autoruns на наявність прихованих агентів -> 3. Перевірте certmgr.msc для кореневого ЦС -> 4. Перевірте вихідні TCP-з’єднання"]
    F -->|"macOS (Apple Silicon / Intel)"| H["Запустіть 4-етапний аудит macOS: 1. Перевірте «Параметри системи -> Загальні -> Керування пристроями» (профілі) -> 2. Перевірте «Конфіденційність і безпека -> Запис екрана та доступність» -> 3. Перевірте /Library/LaunchDaemons -> 4. Перевірте сертифікати Keychain"]
    G --> I{"Чи знайшли ви агент моніторингу Stealth, реєстрацію MDM або введений кореневий сертифікат?"}
    H --> I
    I -->|"ТАК: знайдено Stealth Agent / Root CA / Intune MDM на персональному ПК"| J["СТРИМУВАННЯ: перемістіть роботу на віртуальну машину або другий ноутбук -> Скасуйте реєстрацію MDM / Видаліть агента та кореневий центр сертифікації з персонального комп'ютера (або чистої інсталяції ОС) -> Поверніть усі особисті банківські дані, електронну пошту та облікові дані менеджера паролів із чистого телефону"]
    I -->|"НІ: встановлено лише видимий інтерактивний трекер (наприклад, Upwork / Hubstaff)."| K["Скасуйте його дозволи на запис екрана/доступність у неробочий час -> Вийдіть із фонового демона в диспетчері завдань/моніторі активності, коли не працює -> Перемістіть його на віртуальну машину"]

Частина 1: Що насправді фіксує "Bossware" (і як Stealth Agents ховають у вашій системі)¶

Для ефективного аудиту вашого персонального комп’ютера вам потрібно знати точні технічні можливості та приховані назви процесів, які використовуються семи найпоширенішими платформами моніторингу співробітників.

+-------------------------------------------------------------------------+
|  THE 5 SURVEILLANCE LAYERS OF ENTERPRISE "BOSSWARE" ON A BYOD HOST OS   |
|                                                                         |
|  [Layer 1: Visual]    -> Continuous Screen Recording (MP4) or periodic  |
|                          JPEG screenshots + OCR text indexing of screen |
|  [Layer 2: Input]     -> Kernel/API Keylogger (captures every password, |
|                          iMessage, & private email) + Clipboard history |
|  [Layer 3: Network]   -> Injected Trusted Root CA Certificate decrypts  |
|                          all HTTPS traffic (banking, medical portals)   |
|  [Layer 4: Hardware]  -> Silent Webcam snapshots, Microphone room audio,|
|                          GPS/Wi-Fi BSSID geolocation, & USB file copies |
|  [Layer 5: Telemetry] -> "Idle Score" (mouse jiggle detection), active  |
|                          window titles, & "Job Search / Attrition" AI   |
+-------------------------------------------------------------------------+

Технічні відбитки 7 найкращих програм моніторингу співробітників¶

Навіть у разі розгортання в «Stealth/Hidden Mode» (де постачальник навмисно приховує програму в меню «Пуск» Windows, папці «Програми macOS» і системному треї), кожен агент моніторингу повинен запускати фонову службу, завантажувати драйвер і підтримувати зашифроване вихідне мережеве з’єднання зі своїм хмарним сервером прийому даних:

Частина 2: Покроковий судовий аудит для виявлення прихованого програмного забезпечення Bossware на персональному ПК з Windows 11/10¶

Перевірка 1. Перевірте вікна «Доступ до роботи чи навчання» на предмет випадкової корпоративної реєстрації MDM¶

1. Відкрийте Windows Settings (Win + I) -> Accounts -> Access work or school.
2. Клацніть будь-яку вказану робочу електронну адресу. Якщо ви бачите **Infoкнопка ** (не тільки Disconnect), ваш персональний комп’ютер зареєстровано в Microsoft Intune / Corporate Mobile Device Management (MDM). Натисніть Info і прокрутіть вниз до Areas managed by [Company Name] і Synced Policies / Installed Apps щоб побачити кожну політику, сертифікат і безшумний інсталятор MSI, який ваш роботодавець завантажив на вашу персональну машину. Коли ви перенесете свою роботу на віртуальну машину в частині 4, натисніть Disconnect тут, щоб скасувати реєстрацію персонального хост-ПК.

Перевірка 2: Полювання на замасковані стелс-сервіси (scthost.exe, tsvchst.exe) Використання PowerShell і Sysinternals Autoruns¶

1. Відкрийте PowerShell як адміністратор (Win + X -> Terminal (Admin)) і виконайте цю команду, щоб отримати список усіх запущених сторонніх фонових служб, які не мають цифрового підпису Microsoft:

   Get-WmiObject Win32_Service | Where-Object { $_.State -eq 'Running' -and $_.PathName -notmatch 'C:\\Windows\\servicing|svchost\.exe' } | Select-Object Name, DisplayName, PathName | Format-Table -AutoSize
   

2. Подивіться уважно на будь-які служби, які закінчуються C:\ProgramData\, C:\Windows\SysWOW64\scthost.exe (ActivTrak), tmagent або tsvchst (Терамінд), winikus (Veriato), або wscservice (InterGuard).
3. Завантажте офіційний безкоштовний Sysinternals від Microsoft Autoruns64.exe, запустіть його від імені адміністратора, натисніть Options -> Hide Microsoft Entries і перевірте Services і Drivers вкладки для будь-якого невидимого кейлоггера або драйвера фільтра захоплення екрана (tmfilter.sys, vfilter.sys).

Перевірка 3: перевірте сховище довірених кореневих сертифікатів Windows (certmgr.msc) для дешифрування HTTPS¶

Щоб побачити, що ви друкуєте всередині HTTPS веб-сайти (наприклад, ваш особистий банк, Gmail або портал охорони здоров’я), пакети моніторингу та корпоративні веб-проксі (Teramind, Zscaler, Netskope, Fortinet) інсталюйте спеціальний Людина посередині (MITM) Кореневий центр сертифікації на вашому ПК:

1. Прес Win + R, тип certmgr.msc і натисніть Enter.
2. Розгорнути Trusted Root Certification Authorities -> Certificates, сортувати за Issued By, і шукайте будь-який сертифікат, названий на честь вашого Роботодавця, Teramind, Zscaler Root CA, Veriato, Netskope, Fortinet або Securly.
3. Перевірте в особистому браузері Chrome або Edge: відкрийте https://www.google.com або на веб-сайті вашого банку натисніть значок налаштування ліворуч від URL-адреси -> Connection is secure -> Certificate is valid. Якщо сертифікат для google.com або ваш особистий банк каже Issued By: [Your Employer Name] / Zscaler / Teramind Root CA, ваш роботодавець розшифровує та перевіряє ваш особистий трафік HTTPS.

Частина 3: Покроковий криміналістичний аудит для виявлення прихованого програмного забезпечення Bossware на персональному Mac (macOS)¶

Перевірка 1: перевірка Screen & System Audio Recording і Accessibility Дозволи¶

У macOS навіть демон кореневого рівня не може мовчки записувати ваш екран або реєструвати глобальні натискання клавіш в інших програмах, якщо йому не надано дозвіл на двох панелях конфіденційності:

1. Відкрити System Settings -> Privacy & Security -> Screen & System Audio Recording. Якщо ви бачите scthost, Teramind, ActivTrak, Hubstaff, Time Doctor, sfproc, Veriatoабо нерозпізнаного помічника, увімкненого тут, ця програма має активний дозвіл записувати екран вашого Mac. Негайно вимкніть його та натисніть - кнопку, щоб видалити його.
2. Відкрити Accessibility і Input Monitoring всередині Privacy & Security. Будь-який наданий додаток Input Monitoring або Accessibility дозвіл може читати кожне натискання клавіші, яке ви вводите в операційній системі. Вимкніть і видаліть будь-який нерозпізнаний демон або трекер роботодавця з обох списків.

Перевірка 2: перевірте наявність macOS Device Management (MDM Profiles) і Прихований LaunchDaemons¶

1. Відкрити System Settings -> General -> Device Management (або System Preferences -> Profiles на старіших macOS). На особистому MacBook Device Management розділ повинен бути повністю порожнім або відсутнім. Якщо ви бачите Профіль керування, встановлений вашим роботодавцем (Jamf, Kandji, Mosyle, Microsoft Intune, Rippling, Drata, Vanta), клацніть на ньому, щоб перевірити, які кореневі сертифікати, конфіденційність TCC обходять і фонові агенти, які він використовує на вашому персональному Mac.
2. Відкрийте Термінал (Cmd + Space -> Terminal) і біжіть ls -la /Library/LaunchDaemons /Library/LaunchAgents щоб перелічити всі сторонні кореневі фонові демони та агенти запуску користувача, встановлені на вашому Mac. Шукайте будь-які .plist файл, що містить teramind, activtrak, scthost, veriato, hubstaff, timedoctor, workpuls, insightful, або awarenesstech.
3. Також відкрийте Keychain Access (Cmd + Space -> Keychain Access) -> System Roots і System брелоки та перевірте Certificates вкладка для будь-якого спеціального корпоративного кореневого ЦС, встановленого для розшифровки вашого особистого HTTPS-трафіку Safari та Chrome.

Частина 4: Ізоляція програмного забезпечення роботодавця всередині віртуальної машини (VM) або виділене обладнання¶

Якщо ваша віддалена робота або договір фрілансера вимагає від вас бігти Hubstaff, Time Doctor, Upwork Desktop App, ActivTrak, Teramind, або корпоративної VPN у робочий час, ніколи не встановлюйте його на вашій персональній операційній системі.

+----------------------------------------------------------------------+
|  HOW VIRTUAL MACHINE (VM) ISOLATION CONTAINERS EMPLOYER BOSSWARE     |
|                                                                      |
|  +----------------------------------------------------------------+  |
|  | YOUR PERSONAL HOST COMPUTER (Windows 11 or macOS)              |  |
|  | * Personal Chrome (Banking, Medical, Personal Email, Taxes)    |  |
|  | * Personal Files, Photos, 1Password Vault, & Webcam            |  |
|  |   [ 100% INVISIBLE TO EMPLOYER ACROSS HYPERVISOR BOUNDARY ]    |  |
|  |   +--------------------------------------------------------+   |  |
|  |   | ISOLATED WORK VIRTUAL MACHINE (Hyper-V / UTM / VMware) |   |  |
|  |   | * Employer Bossware (Hubstaff / Teramind / ActivTrak)  |   |  |
|  |   | * Corporate VPN + Work Browser + Slack + VS Code       |   |  |
|  |   | * Bossware Can ONLY Screenshot & Log Inside This VM    |   |  |
|  |   +--------------------------------------------------------+   |  |
|  +----------------------------------------------------------------+  |
+----------------------------------------------------------------------+

Варіант 1: безкоштовна ізольована віртуальна машина (Hyper-V / VMware Workstation / UTM)¶

Створивши гостьову віртуальну машину на вашому комп’ютері та встановивши все програмне забезпечення роботодавця виключно всередині віртуальної машини:

• Ізоляція захоплення екрана: Коли Hubstaff або Teramind робить знімок екрана всередині віртуальної машини, він фіксує тільки віртуальний адаптер дисплея віртуальної машини, тоді як ваш особистий банківський рахунок або другий монітор на хост-ОС залишається на 100 відсотків невидимим за кордоном гіпервізора.
• Ізоляція клавіатурного журналу та буфера обміну: Вимкнути Спільний буфер обміну (Bidirectional Clipboard: Off) і Спільні папки в налаштуваннях вашої віртуальної машини, щоб натискання клавіш, введені в персональний браузер вашої хост-ОС, ніколи не потрапляли у буфер віртуальної USB-клавіатури віртуальної машини.
• Ізоляція сертифіката мережі та HTTPS: будь-який корпоративний VPN (Zscaler, Cisco AnyConnect) або кореневий сертифікат MITM, встановлений усередині віртуальної машини, впливає тільки на мережевий трафік усередині віртуальної машини, залишаючи безпосереднім домашнім підключенням до Інтернету вашого хост-комп’ютера.
• Миттєве відключення о 17:00: Коли ви закінчите роботу о 17:00, натисніть Shut Down на віртуальній машині, тому фонова служба роботодавця припинить існування в оперативній пам’яті, доки ви не завантажите віртуальну машину завтра вранці.

Варіант 2: Присвячений $200 to $300 Відремонтований робочий ноутбук + апаратний перемикач KVM¶

Якщо агент підприємства перевіряє CPUID або рядки BIOS (VMware, VirtualBox, Hyper-V) і блокує віртуальні машини, купіть чистий відремонтований Lenovo ThinkPad T14 або Dell Latitude ($180 to $250) присвячений 100% роботі, підключіть обидва комп’ютери до настільних моніторів і клавіатури за допомогою $35 Апаратний KVM-перемикач HDMI або DisplayPort і підключіть робочий ноутбук до ізольованої гостьової мережі Wi-Fi домашнього маршрутизатора, щоб він не міг сканувати ваші особисті домашні пристрої локальної мережі.

Регіональні номери екстрених служб і протоколи агентств (закони про стеження та прослуховування BYOD)¶

Таємне розгортання клавіатурних шпигунів, захоплення веб-камерою або цілодобове спостереження у позаробочий час на приватній власності працівника (BYOD) комп’ютер без явного розголошення порушує закони про прослуховування, захист даних і трудові закони в багатьох юрисдикціях:

• Європейський Союз і Великобританія (EU/UK GDPR, ECHR Article 8, & UK ICO Employment Practices Code): Наберіть 112 (ЄС) або 999 (Велика Британія) для екстрених випадків. Відповідно до статей 5, 6 і 35 GDPR і вказівок Управління інформаційного комісара Великобританії (ICO) (Керівництво з моніторингу працівників, 2023), прихований моніторинг працівників майже ніколи не є юридично виправданим, а безперервний клавіатурний журнал, запис веб-камерою або моніторинг особистого BYOD-пристрою працівника в його приватному будинку не відповідає GDPR. Тести пропорційності та мінімізації даних. Працівники можуть подати нормативну скаргу до UK ICO (ico.org.uk) або їхній національний Орган із захисту даних ЄС (CNIL, BfDI, AEPD, DPC).
• Сполучені Штати (ECPA, CFAA, і Закони про сповіщення про моніторинг державних службовців): Телефонуйте за номером 911 у разі надзвичайних ситуацій. Закон про конфіденційність електронних комунікацій (ECPA) і Закон про комп’ютерне шахрайство та зловживання (CFAA) регулює несанкціоноване перехоплення, а Національна рада з трудових відносин (NLRB Пам'ятка 23-02) забороняє електронне спостереження, яке пригнічує захищену узгоджену діяльність. Нью-Йорк (NY Civil Rights Law § 52-c), Коннектикут (Conn. Gen. Stat. § 31-48d), Делавер (19 Del. C. § 705) і Каліфорнія (CCPA / CPRA) суворо вимагають від роботодавців попереднього письмового повідомлення перед залученням до електронного моніторингу.
• Канада, Австралія та Нова Зеландія: регулюється Законом Онтаріо про роботу для робітників (вимагає письмову Політику електронного моніторингу для роботодавців із понад 25 працівниками), Квебек Law 25 і Новий Південний Уельс Workplace Surveillance Act 2005 (потрібне письмове повідомлення за 14 днів). див номери екстрених служб для всіх регіонів.

Часті запитання¶

Чи може мій роботодавець бачити, що я роблю на своєму персональному комп’ютері чи телефоні лише тому, що він під’єднаний до моєї домашньої мережі Wi-Fi, а мій робочий ноутбук також підключений до тієї самої домашньої мережі Wi-Fi?¶

Ні, якщо програмне забезпечення для моніторингу вашого роботодавця та VPN встановлено лише на робочому ноутбуці, виданому компанією, а не на вашому персональному комп’ютері чи телефоні. Корпоративний ноутбук, підключений до вашої домашньої Wi-Fi, використовує зашифрований VPN-тунель назад до офісу компанії та не може розшифрувати або побачити HTTPS для веб-перегляду, банківських операцій або програм, запущених на вашому окремому персональному ноутбуці чи iPhone на тому самому домашньому маршрутизаторі Wi-Fi (хоча для найкращої гігієни мережі підключіть свій робочий ноутбук до гостьової мережі Wi-Fi домашнього маршрутизатора).

Чи дозволяє моєму роботодавцю вхід у Slack, Gmail або Microsoft Teams моєї компанії на вкладці веб-браузера бачити інші вкладки мого браузера чи робити знімки екрана мого робочого столу?¶

Ні. Оскільки сучасні веб-браузери застосовують сувору пісочницю з однаковим походженням, веб-сторінка відкривається в одній вкладці веб-переглядача (наприклад, `app.slack.com` або `outlook.office.com`) механізм веб-переглядача забороняє зчитувати URL-адреси, файли cookie або екранні пікселі інших вкладок веб-переглядача чи робочого столу, якщо ви не ввійдете в сам веб-переглядач Chrome за допомогою керованого робочого профілю та не натиснете «Увімкнути синхронізацію» (що дозволяє адміністратору Google Workspace вашого роботодавця надсилати розширення Chrome у цьому профілі веб-переглядача). Завжди відкривайте робочі веб-програми в окремому несинхронізованому профілі браузера без корпоративних розширень.

Чи можуть Hubstaff, Time Doctor або ActivTrak визначити, чи використовую я механічний або USB-пристрій «Mouse Jiggler»?¶

Так, сучасні версії ActivTrak, Teramind, Time Doctor і Hubstaff використовують евристику введення машинного навчання, навчену позначати механічні та USB-миші. Сучасні пакети аналізують ентропію траєкторій миші (позначають повторювані 1-піксельні коливання, кругові петлі зі постійною швидкістю або 45-хвилинні періоди безперервного руху миші, що супроводжуються нульовими клацаннями миші, нульовими змінами фокусу вікна та нульовим введенням з клавіатури) і надсилають автоматичне сповіщення про ймовірне тремтіння миші на інформаційну панель вашого менеджера.

Якщо я використовую особистий ПК з ОС Windows із двома обліковими записами користувачів (одним «Робочим» логіном Windows і одним «Особистим» логіном Windows), чи завадить це програмі Bossware, встановленій на робочому логіні, шпигувати за моїм особистим логіном?¶

Ні, окремі облікові записи користувачів Windows або macOS в одній операційній системі не ізолюють агентів моніторингу на рівні системи (`Teramind`, `ActivTrak`, `Veriato`, `InterGuard`, `CrowdStrike`, `Intune MDM`). Оскільки ці агенти встановлюються як `NT AUTHORITY\SYSTEM` служби, драйвери фільтрів ядра або `/Library/LaunchDaemons` з загальномашинними довіреними кореневими сертифікатами вони працюють у всій операційній системі, незалежно від того, який локальний обліковий запис користувача ввійшов. Тільки віртуальна машина (`Hyper-V / VMware / UTM`), окремий зашифрований диск Dual-Boot або окремий фізичний ноутбук забезпечують справжню ізоляцію.

Чи може програмне забезпечення для моніторингу роботодавця бачити веб-сайти, які я відвідую в режимі інкогніто Chrome або Safari у режимі приватного перегляду?¶

Так, 100 відсотків. Режим анонімного перегляду Chrome і приватний перегляд Safari не дозволяють браузеру зберігати історію та файли cookie на локальному жорсткому диску лише після того, як ви закриєте вікно; вони нічого не роблять, щоб приховати ваш екран, ваші натискання клавіш, ваші пошуки DNS або ваш трафік HTTPS від агента моніторингу співробітників (`Teramind`, `ActivTrak`, `InterGuard`, `Veriato`) або корпоративного кореневого центру сертифікації, що працює на тій же операційній системі.

Мій роботодавець попросив мене встановити програму Microsoft Authenticator або Okta Verify 2FA на моєму особистому телефоні iPhone або Android. Чи може ця програма шпигувати за моїми особистими фотографіями, текстами чи веб-переглядом?¶

Ні. Автономна програма для створення коду багатофакторної автентифікації (MFA) (**Microsoft Authenticator**, **Okta Verify**, **Duo Mobile**, **Google Authenticator**), встановлена ​​з Apple App Store або Google Play Store, працює в суворій ізольованому програмному середовищі для мобільних програм і не має доступу до ваших особистих текстових повідомлень, фотографій, історії веб-перегляду та інших програм. Уникайте лише встановлення повного керування мобільними пристроями (`MDM`) Профіль реєстрації пристрою на персональному телефоні, якщо він запитує дозволи на керування кореневими пристроями та сертифікати.

Пов'язані посібники¶

• Екстрена безпека віддаленої роботи та конфіденційність даних
• Помилка блокування перемикача VPN або карантин завантажувального циклу Zscaler/CrowdStrike Falcon без довіри
• Випадкове показ конфіденційної відомості про зарплату, менеджера паролів або списку звільнених у Zoom або Teams
• Цифровий кочівник або віддалений працівник, який працює з несанкціонованої країни: прапор IP і блокування контролю експорту
• Коворкінг, готель чи аеропорт USB-перетягування, серфінг на плечі та захист DMA із холодним завантаженням

Джерела та офіційне керівництво¶

• Офіс уповноваженого з питань інформації Великобританії (ICO): Практика працевлаштування та захист даних: Рекомендації щодо моніторингу працівників (2023) (Суворі обмеження на прихований моніторинг, безперервне натискання клавіш/зйомку веб-камерою та вимоги до пропорційності на пристроях BYOD у приватних будинках відповідно до GDPR Великобританії).
• Європейська рада із захисту даних (EDPB)/Робоча група зі статті 29: Висновок 2/2017 щодо обробки даних на роботі (WP 249) (Явна заборона непропорційного відстеження співробітників і обов’язкове відокремлення приватних просторів BYOD відповідно до GDPR ЄС).
• Бюро фінансового захисту споживачів (CFPB) і Національна рада з трудових відносин (NLRB): Циркуляр CFPB 2024-06 (Досьє та алгоритмічні оцінки для працівників) & Доповідна записка головного юрисконсульта NLRB GC 23-02 (Електронне управління та алгоритмічне спостереження).
• Electronic Frontier Foundation (EFF): Inside Bossware: технічний аналіз програмного забезпечення для моніторингу співробітників, кейлоггерів і перехоплення кореневого сертифіката TLS.
• NIST (Національний інститут стандартів і технологій): NIST SP 800-114 Rev. 1 (Посібник користувача з дистанційної роботи та безпеки BYOD із власним пристроєм) & NIST SP 800-46 Rev. 2.