Prijavi se z GoogleID

» »

Omejitve dostopa do interneta na delovnem mestu

Omejitve dostopa do interneta na delovnem mestu

strani: 1 2 »

NeMeTko ::

Invictus je izjavil:

Firma bi plačala kar lepo kazen če bi jih kdo prijavil. Taki podatki se ne smejo zbirat. Samo taki ki ne vsebujejo osebnih podatkov.

Narobe. Prav nikjer ne piše, da se jih ne sme zbirati!

Vendar pa mora biti zadoščeno nekim pogojem in obstojati utemeljen razlog, zakaj se jih zbira.
Še več omejitev pa potem obstaja pri tem, kdo sme dostopati tem podatkom in za kaj se bodo ti podatki uporabili.

Da bi bila zmeda na tem področju še bolj popolna, ni nikjer dejansko predpisano, kaj naj predstavlja ta 'utemeljeni razlog' in katere so oblike 'dovoljene rabe' teh podatkov.

V osnovi je bistveno, da v podjetju obstaja dokument, s katerim se natančno definira zgoraj navedeno 'sivino' in s tem seznani vse zaposlene.

Seveda je tudi tak dokument lahko sporen in pregloboko posega v pravico do zasebnosti, kar pa potem lahko ugotavlja le sodišče na osnovi tožbe prizadete stranke. Pri tem pa bolj ko ne upoštevajo pravilo sorazmernosti, ki pa je lahko zelo zelo elastično.

by00 ::

Mnenje IP pravi takole:

V primeru, da je hramba podatkov o obiskanih spletnih naslovih utemeljena in nujno potrebna, npr. zaradi obravnave varnostnih incidentov, preprečevanja zlorab in napadov na informacijski sistem in podobno, Informacijski pooblaščenec priporoča, da upravljavec o tem predhodno sestavi ali ustrezno dopolni pisni dokument (npr. interni akt, politiko ali pravilnik), v katerem bo natančno opredeljen namen obdelave osebnih podatkov, nabor osebnih podatkov, dostopne pravice do podatkov in opredeljen postopek uporabe osebnih podatkov. Ta dokument naj tako med drugim vsebuje naslednje:
- kakšen je namen zbiranja in hranjenja podatkov,
- nabor osebnih podatkov, t.j. katere osebne podatke bo ta naprave obdelovala (ali bodo to IP naslovi obiskanih strani, IP uporabnika, datum, čas itd.),
- kdo bo imel dostop do teh podatkov in v kakšnih primerih (natančno opredeliti),
- kakšen bo postopek obravnave teh podatkov (npr. ob preiskovanju vdora, kdo kaj stori...).

Rok hrambe mora biti ustrezno kratek glede na namen obdelave podatkov, zato mora upravljavec presoditi, kateri je tisti najkrajši rok hrambe podatkov, v katerem lahko učinkovito doseže opredeljen namen hrambe teh podatkov, pri tem pa se mora zavedati, da si s prekomerno dolgo hrambo povečuje tveganja za morebitne zlorabe podatkov kakor tudi dolžnosti glede zavarovanja in varstva osebnih podatkov.

Kljub takšnemu vnaprejšnjemu dogovoru pa mora biti poseg v komunikacijsko zasebnost (pregled URL obiskanih strani z določenega IP naslova v primeru varnostnega incidenta) utemeljen za konkreten primer, pri sami obdelavi teh podatkov pa mora biti strogo upoštevano načelo sorazmernosti (obdelava minimalnega nabora podatkov, ki so potrebni za obravnavo konkretnega incidenta).
https://www.ip-rs.si/varstvo-osebnih-po...


Nasvet v nekem drugem mnenju pa je naslednji:

Pooblaščenec se v tem delu pridružuje večkrat izraženemu stališču teorije s področja osebnih podatkov, da je najbolj neoporečen način omejevanja uporabe spletnih strani način, da se zaposlenim vnaprej onemogoči (blokira) tiste spletne strani, ki jih pri svojem delu ne potrebuje, oziroma se mu omogoči vpogled samo v tiste spletne strani, ki jih pri svojem delu potrebuje.
https://www.ip-rs.si/varstvo-osebnih-po...

Matthew ::

Pri nas imamo nameščen tale program: http://www.nestersoft.com/worktime/
Sem se že spraševal, če podjetje ima pravico do tega in nisem še prišel do pravega zaključka.

by00 ::

Matthew je izjavil:

Pri nas imamo nameščen tale program: http://www.nestersoft.com/worktime/
Sem se že spraševal, če podjetje ima pravico do tega in nisem še prišel do pravega zaključka.

Imate tudi kak pravilnik?
Kaj pa omejujete/nadzirate?

Lakotnik29 ::

Odvisno kaj se zbira. Če se dela bazo podatkov po zaposlenih, potem je to sporno. Če se zgolj anonimno zbira podatke potem ne.

Bistveno je torej ali se nadzira posameznega uslužbenca.

Če da, potem mora za to obstajat ustrezna pravna podlaga in utemeljitev. Ravno tako mora biti delavec o tem pisno seznanjen, kakor tudi z razlogi za zbiranje pdoatkov.

Nadzor nad zaposlenimi NI zadosten razlog za izdelavo takšne baze.

NeMeTko ::

Če govorimo o varnostnem/administrativnem logiranju prometa, potem neločljivo spadajo skupaj podatki o IP adresi izvora in destinacije, s čemer je v končni fazi identificiran tudi uporabnik.

Kdor tu govori o 'anonimizaciji' podatkov, ta verjetno nima dosti skupnega z upravljanjem omrežij, saj bi bili takšni podatki popolnoma brezpredmetni in neuporabni za kakršnokoli analizo nekega problema, ki nastaja v omrežju. Še manj bi bili uporabni za analizo nekega varnostnega incidenta.

V praksi uporabnik pride do admina in hoče od njega rešitev za problem, ki ga je imel predhodni dan: "Včeraj pa nisem mogel...".
Še takrat, ko sistem logira vse podatke, vključno z uporabniškim imenom, je včasih nemogoče ugotoviti, kaj je botrovalo problemu na omrežju, kako pa si to nekateri predstavljate, da bi se to lahko počelo z 'anonimiziranimi' podatki, mi pa prosim razložite!

Pa ne pozabiti - ne govorimo o podjetju s petimi zaposlenimi, kjer direktor komajda čaka na povod, da bi se lahko znebil kakšnega delavca po kvazi 'lastni krivdi'. Govor je o omrežjih z 20, 50, in več uporabniki, kjer se od admina pričakuje, da bo omrežje DELOVALO. To pa se lahko zagotovi le, če imaš na razpolago čim več informacij.

Mislim, da je potrebno tudi ločiti med pojmom 'logiranje' in 'zbiranje podatkov'. Prvo je čisto tehničen pojem, ki ga opredeljuje tehnologija. ZBIRANJE PODATKOV pa je pravna formulacija za neko zbiranje, ki nima nujno kaj dosti skupnega z vzdrževanjem funkcionalnosti omrežja, ampak je usmerjeno v to, da se čim bolj profilira posameznega uporabnika - kar bi dejansko že lahko predstavljalo poseg v zasebnost.
Na nek način s tehničnega gledišča ni bistvene razlike med 'logiranjem' in 'zbiranjem podatkov', je pa zelo velika razlika v namenu, za katerega se ti podatki zbirajo, načinu, na katerega se analizirajo in interpretirajo, ter v dostopnosti do teh podatkov.

V praksi obstaja območje, ki je matematično gledano nekakšen presek med logiranjem in zbiranjem podatkov. Pri tem se gre predvsem za statistiko uporabe omrežja. Takšna statistika se običajno dela za preventivo, da se odkrije možne težave, še predenj postanejo 'boleče'. Če imamo implementirano analizo in statistiko prometnih podatkov, je to lahko adminu v veliko pomoč pri odkrivanju 'anomalij' na omrežju in hitri odpravi teh. Adminu pri tem nič ne koristi informacija, da je 'nek računalnik' prenesel 'malware.exe' z naslova 'http://malwaresite.com', temveč mora vedeti točno kateri računalnik je tisti, da lahko podvzame dodatne ukrepe. Enako admin potrebuje statistične podatke o časovni obremenitvi omrežja, vpogled v to, če kakšen računalnik izstopa po porabljenem bandwithu, ima nenavadno visoko število povezav na nekem čudnem portu, itd.

Kljub temu, da bi tu načeloma že nekdo skočil v zrak in trdil, da se gre za nadzor uporabnika, je namen povsem drug. Tako je tudi 'publika', ki ima vpogled v te podatke popolnoma druga, kot pri 'protipravnem zbiranju osebnih podatkov'.

Seveda pa vsa stvar postane zelo problematična, če ima do teh podatkov dostop še kdo drug, kot le admin.

Če gledamo na delo admina podobno kot gledamo na delo zdravnika, najdemo veliko vzporednic. Oba za uspešno opravljanje svojega dela potrebujeta dostop do zelo 'intimnih' podatkov, hkrati pa sta oba dolžna poskrbeti, da ti podatki ne zaidejo v roke tretjih oseb, ki bi jih lahko zlorabile.

Zato se v podjetju mora vzpostaviti sistem pravilnikov, v katerih se točno določi, kdo sme kdaj imeti vpogled v te podatke in s tem seznaniti uporabnike. Če si to zdaj kje poenostavijo in v pravilnik napišejo 'mi vse vidimo, mi vse vemo, obnašajte se temu primerno', to zagotovo ni v smislu zakona o varstvu osebnih podatkov.

Se je pa tudi treba zavedati, da vsaka varnostna politika predvideva poročanje admina višjemu nivoju. V primeru, da se gre za anomalije, ki jih povzroča določeni uporabnik (npr. skuša poganjati torrente kljub prepovedi), se bo verjetno vsakdo strinjal, da takšno poročanje ne more bazirati na neimenovanem kršitelju, ki je kršil predpis na neimenovanem računalniku ob nedoločenem času?

by00 ::

Hvala za vpogled z drugega zornega kota :)

Torej je smiselno, da se zapiše nek pravilnik za zaposlene, ki vključuje tudi obveznosti zaposlenih in morebitne posledice. V podjetju, kjer sem nekoč delal, smo o tem vse zaposlene seznanili pred sklenitvijo pogodbe o zaposlitvi. Vsak je dobil kopijo pravilnika in podpisal, da je z njo seznanjen. Vse morebitne spremembe smo obveščali še sproti, preko mailing liste.

Sicer pa menim, da je pomembno zaupanje. Kot rečeno - lenariš lahko na različne načine, podatke pa lahko ukradeš tudi tako, da jih slikaš s svojim osebnim telefonom ali vzameš papirje domov. Teh pa ti noben ne pregleduje (čeprav sem opazil, da npr. trgovkam pregledajo vrečke in torbice pri izhodu, da niso česa ukradle).

Zgodovina sprememb…

  • spremenilo: by00 ()

by00 ::

Še link na dokaj prijazen pravilnik o uporabi interneta:
http://www.rs-rs.si/rsrs/rsrs.nsf/V/K5F...

NeMeTko ::

Če te zanima, kako izgledajo ti 'security policy' dokumenti, lahko najdeš primere na SANS Institute, ki so se potrudili in zbrali vzorčne dokumente, ki jih lahko vsakdo prenese in prilagodi svojim potrebam. Edina pomanjkljivost teh dokumento je, da so v angleščini.

So pa dokaj dobra iztočnica, če želiš nekaj podobnega urediti v podjetju.
Vsekakor se je treba zavedati, da so to potem 'živi' dokumenti, ki se jih neprestano dopolnjuje glede na potrebe podjetja, zakonodaje, itd.

by00 je izjavil:

Še link na dokaj prijazen pravilnik o uporabi interneta:
http://www.rs-rs.si/rsrs/rsrs.nsf/V/K5F...

Točno tako nekako naj bi izgledal tisti del dokumentacije, ki se nanaša na 'uporabo interneta'. Če pogledaš vzorčni dokument na SANS institute, boš videl, da sta si v osnovi precej podobna.

Vendar pa 'Security policy' sestavljajo še drugi dokumenti, ki se nanašajo na druge podsklope/aspekte omrežja.

Zgodovina sprememb…

  • spremenil: NeMeTko ()
strani: 1 2 »


Vredno ogleda ...

TemaSporočilaOglediZadnje sporočilo
TemaSporočilaOglediZadnje sporočilo
»

UNPIS: Ni časti med tatovi (2) (strani: 1 2 3 )

Oddelek: Novice / Zasebnost
12930422 (27056) dela
»

Prikaz IP številk na forumu

Oddelek: Pomoč in nasveti
61050 (796) Cowboy6
»

Kako zapreti dostop do facebooka v enem omrežju?

Oddelek: Omrežja in internet
254121 (3440) Isotropic
»

Izjava o varstvu osebnih podatkov, ki to ni

Oddelek: Problemi človeštva
102057 (1688) Queen
»

Pravilnik o rabi interneta v podjetju - omejevanje?

Oddelek: Omrežja in internet
142029 (1667) harvey

Več podobnih tem