Απομακρυσμένη παρακολούθηση

Η απομακρυσμένη παρακολούθηση εφαρμόζει την ίδια εποπτεία στην εργασία και στη ψηφιακή δραστηριότητα σε όσους εργάζονται εκτός γραφείου. Η διαφορά βρίσκεται στο σημείο όπου φαίνεται η δραστηριότητα: όχι στο εταιρικό δίκτυο, που πλέον δεν μεταφέρει όλη την κίνηση, αλλά στην ίδια τη συσκευή.

Πριν από το 2020, η παρακολούθηση των εργαζομένων επεκτεινόταν στο εταιρικό δίκτυο. Η κίνηση περνούσε από τοπικούς proxy και συσκευές πρόληψης απώλειας δεδομένων (DLP), τα αρχεία των καρτών πρόσβασης κατέγραφαν την παρουσία και το γραφείο παρείχε άτυπη εποπτεία. Η τηλεργασία αφαίρεσε και τα τρία ταυτόχρονα.

Οι οργανισμοί μετέφεραν την παρακολούθηση στο τελικό σημείο. Οι πράκτορες στους φορητούς υπολογιστές καταγράφουν τη δραστηριότητα όπου κι αν βρίσκεται η συσκευή, και η υβριδική εργασία έκανε αυτή την αλλαγή μόνιμη. Αυτός είναι ο πυρήνας της παρακολούθησης δραστηριότητας χρηστών για κατανεμημένες ομάδες.

Τα κανάλια είναι σε μεγάλο βαθμό τα ίδια με του γραφείου. Αλλάζει ο τόπος της καταγραφής: γίνεται στη συσκευή, επειδή το εταιρικό δίκτυο δεν βλέπει πια την κίνηση.

Η καταγραφή του χρόνου εργασίας ακολουθεί την ίδια λογική με την παρακολούθηση παραγωγικότητας, με τη διαφορά ότι το ρολόι ξεκινά πλέον από τη συσκευή και όχι από το ρολόι κάρτας.

Η καταγραφή γίνεται στο επίπεδο του λειτουργικού συστήματος. Ο πράκτορας αποθηκεύει τα δεδομένα τοπικά και τα στέλνει στον τοπικό διακομιστή του οργανισμού όταν η συσκευή επανασυνδεθεί. Δεν χρειάζεται συνεχής σύνδεση VPN, και ο προμηθευτής δεν έχει πρόσβαση στα δεδομένα.

Ο ίδιος πράκτορας αναφέρει όλα τα δίκτυα Wi-Fi που εντοπίζει η συσκευή, και όχι μόνο αυτό στο οποίο είναι συνδεδεμένη. Έτσι η ομάδα ασφαλείας ξεχωρίζει το δίκτυο του γραφείου, τον οικιακό δρομολογητή και ένα άγνωστο δημόσιο δίκτυο. Οι σταθμοί εργασίας μπορούν επίσης να συγκριθούν με εγκεκριμένες τοποθεσίες μέσω της γεωεντοπισμού, και μια απροσδόκητη μετακίνηση προκαλεί ειδοποίηση.

Η ζωντανή προβολή της επιφάνειας εργασίας και η προγραμματισμένη εγγραφή προέρχονται από τον ίδιο πράκτορα που καλύπτει τους σταθμούς του γραφείου, οπότε δεν υπάρχει ξεχωριστή λειτουργία απομακρυσμένης παρακολούθησης για ενεργοποίηση. Ο ελεγκτής ανοίγει ζωντανή συνεδρία από την καρτέλα παρακολούθησης, και κάθε σταθμός εμφανίζεται στο δικό του παράθυρο.

Οι καταγεγραμμένες συνεδρίες αναπαράγονται πάνω στη χρονική γραμμή δραστηριότητας, ώστε ο ελεγκτής να πηγαίνει απευθείας στη στιγμή που αντιγράφηκε ένα αρχείο, χωρίς να βλέπει ώρες βίντεο. Η εγγραφή είναι η πιο παρεμβατική επιλογή και μένει απενεργοποιημένη όσο η πολιτική δεν την απαιτεί.

Το θεμελιώδες νομικό πρόβλημα είναι ο τόπος. Η παρακολουθούμενη συσκευή βρίσκεται συνήθως στο σπίτι του εργαζομένου, μια προστατευμένη ιδιωτική σφαίρα στις περισσότερες δικαιοδοσίες. Βάσει του GDPR, η παρακολούθηση χρειάζεται νόμιμη βάση, πρέπει να είναι αναλογική προς έναν δηλωμένο σκοπό και να συλλέγει το ελάχιστο δυνατό. Η συνεχής παρατήρηση ενός σπιτιού μέσω webcam, μικροφώνου ή οθόνης είναι δύσκολο να δικαιολογηθεί. Αρκετές πολιτείες των ΗΠΑ απαιτούν γραπτή ενημέρωση για την ηλεκτρονική παρακολούθηση, και στη Γερμανία το συμβούλιο εργαζομένων πρέπει συνήθως να την εγκρίνει.

Οι προσωπικές συσκευές επιδεινώνουν το πρόβλημα: ένας οικογενειακός φορητός υπολογιστής μπορεί να εκθέσει τη δραστηριότητα άλλων μελών του νοικοκυριού. Οι μετριασμοί περιλαμβάνουν την παρακολούθηση μόνο διαχειριζόμενων συσκευών ή εταιρικών προφίλ, τον περιορισμό της καταγραφής στις ώρες εργασίας, την απενεργοποίηση των πιο παρεμβατικών δυνατοτήτων εκτός αν τις δικαιολογεί μια έρευνα, και τον περιορισμό της πρόσβασης στα δεδομένα. Αυτά τα όρια κρατούν το πρόγραμμα προσηλωμένο στον σκοπό της ασφάλειας, δηλαδή στην εσωτερική απειλή που οι απομακρυσμένες συσκευές κάνουν δυσκολότερη να εντοπιστεί.

Η απομακρυσμένη παρακολούθηση βρίσκεται στο κέντρο μιας διαχειριστικής συζήτησης. Όταν εξαφανίζεται η άμεση παρατήρηση, οι διευθυντές πειράζονται να μετρούν τη δραστηριότητα αντί για τα αποτελέσματα, και οι αριθμοί δραστηριότητας μπορεί να μοιάζουν με υποκατάστατο της εμπιστοσύνης. Οι επικριτές υποστηρίζουν ότι η σταθερή παρατήρηση αυξάνει το στρες, διαβρώνει την εμπιστοσύνη και ανταμείβει τον χειρισμό των μετρικών.

Οι οργανισμοί που τη χρησιμοποιούν βιώσιμα την αντιμετωπίζουν ως έλεγχο ασφάλειας και συμμόρφωσης: ως αρχείο για τη διερεύνηση περιστατικών και τον εντοπισμό ασυνήθιστης συμπεριφοράς με την ανάλυση συμπεριφοράς χρηστών και οντοτήτων. Δεν την αντιμετωπίζουν ως παρουσία διοίκησης σε πραγματικό χρόνο. Δηλώνουν τι συλλέγεται και γιατί, εξετάζουν συγκεντρωτικά δεδομένα αντί για άτομα και κρατούν τη στενή εξέταση για τις ενεργοποιημένες ειδοποιήσεις. Ένα αντικειμενικό αρχείο προστατεύει και τους εργαζομένους, γιατί είναι δικαιότερο από μια εντύπωση.

Πέντε στοιχεία κάνουν ένα πρόγραμμα παρακολούθησης ευκολότερο να υπερασπιστεί.

1. 1

   Γραπτή πολιτική και ενημέρωση

   Οι εργαζόμενοι γνωρίζουν τι παρακολουθείται, σε ποιες συσκευές και γιατί. Η κρυφή παρακολούθηση περιορίζεται ή απαγορεύεται σε πολλές δικαιοδοσίες.

2. 2

   Αναλογικότητα ως προεπιλογή

   Ξεκινήστε από την λιγότερο παρεμβατική κάλυψη που εξυπηρετεί τον σκοπό. Ενεργοποιήστε καταγραφή οθόνης, ήχου ή κάμερας μόνο με αιτιολόγηση.

3. 3

   Πειθαρχία σκοπού

   Χρησιμοποιήστε τα δεδομένα για ασφάλεια, συμμόρφωση και δίκαια αρχεία χρόνου. Όχι για μικροδιαχείριση σε πραγματικό χρόνο ή ανοιχτές αναζητήσεις στα δεδομένα δραστηριότητας.

4. 4

   Έλεγχος πρόσβασης και διατήρηση

   Τα δεδομένα παρακολούθησης είναι ορατά μόνο σε καθορισμένους ρόλους και διατηρούνται για συγκεκριμένη, τεκμηριωμένη περίοδο.

5. 5

   Ανθρώπινος έλεγχος

   Ένα άτομο εξετάζει τις αυτοματοποιημένες ειδοποιήσεις πριν από κάθε συμπέρασμα ή κύρωση.

Ξεκινήστε από το ερώτημα που πρέπει να απαντά το πρόγραμμα και έπειτα επιλέξτε τις συσκευές και τα δεδομένα που το απαντούν. Μια κάλυψη ευρύτερη από τον σκοπό προσθέτει νομικό ρίσκο χωρίς να κάνει κανέναν πιο ασφαλή.

Η Anexet λειτουργεί στους διακομιστές του πελάτη, οπότε τα συλλεγμένα δεδομένα παραμένουν υπό τον έλεγχο του οργανισμού. Η σελίδα για την εγκατάσταση on-premise περιγράφει την αρχιτεκτονική.

Περισσότερα: SOC και ασφάλεια πληροφοριών.