Какво да не правим на служебния компютър

Миналата седмица Кристиян Бойков, човекът, който хакна информационната система на НАП, изнесе на своя Фейсбук профил факти, че от компютри на държавната администрация се теглят пиратски софтуер и нецензурно съдържание. Това не е първият, нито последният път, в който става ясно, че от служебни компютри се вършат дейности, които нямат нищо общо със задълженията на чиновниците. Нито е единствената сфера, в която дигиталната работна дисциплина се нарушава. Проблемът е много по-сериозен и за него трябва да се замисли всеки, който използва предоставен от работодателя компютър – независимо дали е стационарният бръмчащ „сандък“ в офиса, или лаптопът, който ви е зачислен.


Всеки е изкушен да използва служебния компютър за лична работа – да проверява електронната си поща, да съхранява данни на общото пространство в облака или на сървъра, а може просто да върши проект „на частно“. Но все повече компании заделят сериозен ИТ ресурс, който е зает да следи за това какво правят служителите на предоставените им устройства. Основните причини за това са свързани със сигурността, запазването на търговската тайна, както и това дали вършите работата, за която сте наети, а не се занимавате със странични неща. Всеки отделен компютър е част от корпоративната мрежа и ако някой хакер проникне в един, след това достъпът му до цялата система е много по-лесен.

Обикновено работодателите инсталират софтуер, който следи какво се върши на поверения ви компютър. На местата с най-висока степен на сигурност – където се работи с поверителна информация, може да има и т.нар. кийлогър – софтуер, който записва всичко, което въвеждате с клавиатурата. Другата опция е програма, която периодично прави скрийншотове – така много ясно се вижда какво работите, какви приложения използвате и какви прозорци са отворени на интернет браузъра.

Нивото на следене на дигиталното работно място е свързано с големината на компанията и с вида информация, с който работите. По правило, колкото е по-голяма една компания и особено ако е част от международна публична група, контролът е много по-сериозен. Но в държавни и частни учреждения и финансови институции, където се работи с лични и здравни данни, финансова информация или засягаща националната сигурност информация, наблюдението е гарантирано. Нещо повече, това трябва да бъде част от корпоративната сигурност и пропуските в нея водят до сериозни проблеми. И това се вижда както от пробива в НАП, така и с изнасянето на клиентски данни от служител на една от най-големите български банки.


Няколко правила

Независимо че може да сте информирани за политиката за сигурност на вашия работодател, е добре да имате няколко неща предвид и да действате в съответствие с това.

1. Основното правило е да не съхранявате лични файлове и документи на служебното устройство – независимо дали е персонален компютър, лаптоп или друго мобилно устройство. Ако бъдете уволнени или съкратени и имате спор с работодателя, компютърът и мобилните устройства са първото нещо, достъпът до което ще ви бъде отрязан. Съответно и информацията на тях ще бъде използвана срещу вас.

Има и друг момент – при установен пробив в сигурността софтуерът за защита автоматично може да започне да трие всички външни файлове като предпазна мярка. Така цялата ви лична информация ще бъде безвъзвратно загубена.

2. Не използвайте корпоративните акаунти в Google Docs, Slack или други облачни услуги за лични цели. Може да си мислите, че понеже те са онлайн, а не инсталирани на вашия компютър, работодателят няма да ги следи. Но международната Фондация за свобода на пресата (Freedom of the Press Foundation) обръща внимание на няколко причини, за да не употребявате общия Google-ски акаунт за съхранение на лични данни.

Потребителите с администраторски права на корпоративния пакет G Suite, който включва Gmail, Sheets, Docs и други програми, могат да търсят по ключови думи и фрази във всички отделни електронни пощи. Работодателите също така могат автоматично да задават извършване на одити и да създават собствени алгоритми за извличане на данни. Например работодателят може да създаде процес, при който да се копират черновите на имейлите, дори да не сте ги изпращали. Това може да разкрие чувствителни данни, които не искате да вижда – например, че планирате напускане на компанията и подготвяте уведомителен имейл.

Но това правило не се отнася само за Gmail – всички имейли с корпоративен домейн по правило дават възможност за централизирана проверка. Така че много внимавайте, когато ги използвате за лични цели. По същия начин това се отнася и за приложения за комуникация в екип като Slack и други чат апликации – администраторите имат достъп до личните съобщения, като те се архивират на сървъри.

Но дори използването на лични акаунти в различни програми за съобщения е опасно – може да изпаднете в конфузна ситуация, ако правите презентация от компютъра или работите съвместно чрез т.нар. екранно споделяне (screen sharing). Вместо това за връзка използвайте на своя смартфон криптирани системи за съобщение като WhatsApp, Signal, Telegram и други.

3. Винаги предполагайте, че служебният интернет трафик се контролира. Въпреки че възможността да се разбере цялата комуникация не е по силите на всеки, работодателят може да следи колко време губите във Фейсбук, вместо да си вършите работата. Дори и да използвате виртуална частна мрежа (VPN), това не е гаранция, че вашата активност ще бъде скрита.

Много компании използват скрийн шеринг софтуер като VNC или TeamViewer, което дава възможност за дистанционен контрол на ИТ отделите. Сигурно сте забелязвали как от време на време все едно компютърът ви е обсебен, курсорът се движи, кликва и отваря различни приложения. Това е рутинна практика при инсталиране на нови програми или правене на необходими настройки.

Общото правило е дори работодателят да не следи това, да не използвате служебния компютър за личните си дела или хобита. В никакъв случай не теглете филми, музика или какъвто и да е друг софтуер през торент тракерите. Не само че нарушавате авторските права, което е престъпление само по себе си, но и рискувате в един момент това да стане публично известно, с което репутацията на вашата компания ще бъде увредена. Влизайте в социалните мрежи през мобилния си телефон, за предпочитане свързан с мрежата на мобилния ви оператор, а не с корпоративния Wi-Fi.

4. Внимавайте със служебните компютри на обществени места – те са част от активите на вашия работодател и може да съдържат важна информация, която да е изключително привлекателна за хакери, конкуренция и дори медии. Затова не се свързвайте с публични Wi-Fi мрежи. Изключително опасни са тези без парола – всеки с малко по-добри технически познания може да влезе във вашия компютър. Но дори и тези, които имат пароли, например за различни събития и конференции, също крият риск. За да влизате в интернет през такива мрежи, задължително трябва да използвате VPN. Другата опция е да работите с компютъра, използвайки мобилния телефон като хотспот за данни. Ако оставите компютъра без надзор, преди това го заключете с парола, защото може да бъде злоупотребено с намиращите се на него данни.

Въпреки че повечето работодатели уточняват в договорите със своя персонал, че работата на служебните компютри може да бъде следена от разстояние, е препоръчително да знаете какво е инсталирано на него. Софтуерът за следене на работа и трафик може да не се показва в отделна икона на дисплея или списъка с програмите. Но всеки може да провери какво е инсталирано на неговия компютър в Settings и след това в раздела Apps and Features. Там се виждат всички приложения и ако някое ви се стори непознато, може да проверите в интернет за какво е. Но не деинсталирайте софтуер, защото това веднага ще бъде забелязано от ИТ отдела. И




Текстът е публикуван в брой 49/2019 г. на списание "Икономист", който може да купите в разпространителската мрежа. Вижте какво още може да прочетете в броя.