Monitoraggio dei Tasti Digitati

L'agente sull'endpoint acquisisce ogni evento di input insieme a metadati di contesto, così un flusso grezzo di caratteri può essere riletto in un ordine sensato. L'acquisizione dei tasti è uno dei tipi di dati del monitoraggio dell'attività degli utenti. Ogni elemento registrato comprende:

• Testo digitato: i caratteri inseriti, inclusi lettere, numeri, simboli e tasti di controllo come Invio o Tab. Insieme ricostruiscono parole, ricerche e messaggi.
• Contesto dell'applicazione: il programma o la finestra del browser in cui sono stati premuti i tasti. Indica dove è avvenuto l'input.
• Marcatori temporali: data e ora di ogni pressione, così l'input si allinea con altre attività, come un accesso, un trasferimento di file o un avviso.
• Ambito dell'acquisizione: secondo la policy, tutti gli utenti in modo continuo, solo gli account segnalati o solo le applicazioni selezionate. Questa scelta incide di più sull'invasività.

L'acquisizione è un'impostazione del profilo agente. Si trova accanto alle statistiche di attività del PC e al controllo degli appunti, quindi il suo ambito segue la policy di monitoraggio. Sotto, la console dei profili mostra l'interruttore di utilizzo del keylogger per il profilo selezionato.

Il valore nasce dalla ricerca e dalla correlazione dei dati di digitazione con gli altri dati di attività. Usi tipici:

• Indagini interne: ricostruire cosa ha cercato o scritto in una chat un sospetto responsabile di fuga di dati nel periodo esaminato, nell'ambito del rilevamento delle minacce interne.
• Controlli su frodi e processi: verificare cosa ha digitato un operatore in una transazione o in una scheda cliente quando se ne contesta l'accuratezza.
• Risposta agli incidenti: recuperare messaggi o comandi digitati in applicazioni che non conservano un log proprio sul server.
• Analisi della produttività: usare il volume di digitazione come indicatore del tempo di lavoro attivo. È un uso controverso che molte organizzazioni evitano.

Tecnicamente, un keylogger è lo stesso meccanismo: software o hardware che registra le pressioni dei tasti. La differenza sta in chi lo installa e con quali vincoli. I rapporti di sicurezza trattano il keylogging come intrinsecamente criminale, ma la stessa acquisizione può essere un controllo legittimo sul lavoro. A decidere sono informativa, finalità e proporzionalità, non la tecnica.

Le tastiere trasportano alcuni dei dati sensibili più critici di un'azienda: password, codici monouso, messaggi personali e dati sanitari o finanziari inseriti nei moduli web. L'acquisizione continua registra inevitabilmente una parte di questi dati, per cui la loro gestione è la questione centrale per la privacy. Misure di tutela comuni:

• Mascheramento o esclusione: i campi password e le applicazioni definite sono esclusi dall'acquisizione, oppure il loro input viene memorizzato mascherato e non in chiaro.
• Limitazione della finalità: le credenziali acquisite sono usate solo per indagini definite, non per la consultazione generale dei log.
• Controllo degli accessi: i dati sono leggibili solo da ruoli di investigatore nominativi, e ogni accesso viene registrato.
• Limiti di conservazione: i record vengono cancellati automaticamente dopo un periodo definito, indicato nella policy di monitoraggio.

La risposta cambia molto da una giurisdizione all'altra, ma lo schema è generale. Il datore di lavoro è più forte sui dispositivi aziendali, con informativa e finalità definite. È più debole quando l'acquisizione è occulta, generalizzata o raggiunge le comunicazioni private.

La maggior parte delle controversie nasce da un passaggio mancato, non dalla tecnologia. Chiarite questi punti per iscritto prima che il primo agente inizi a registrare:

1. 1

   Definire la finalità

   Indicate l'indagine o il controllo a cui serve l'acquisizione. Acquisire per il solo gusto di farlo è la cosa più difficile da difendere.

2. 2

   Limitare l'ambito

   Scegliete utenti, applicazioni e dispositivi inclusi. Escludete i campi password e le comunicazioni private dove la policy lo consente.

3. 3

   Dare informativa scritta

   Descrivete l'acquisizione nella policy di monitoraggio e consultate il consiglio dei lavoratori o un organismo equivalente dove la legge lo richiede.

4. 4

   Stabilire conservazione e accesso

   Definite per quanto tempo si conservano i record, quali ruoli di investigatore possono leggerli e come viene registrato ogni accesso.

Cominciate dai dati la cui fuga causerebbe il danno maggiore, e dai dispositivi che li gestiscono davvero. Un'acquisizione circoscritta, dichiarata e di breve durata è più facile da giustificare verso dipendenti e auditor.

Per approfondire: Profiling.