Каждая пятая компания следит за работой своих сотрудников с помощью ПО, и зачастую это делается без ведома людей — такую статистику привел ресурс TechRadar. Однако эксперт по цифровой безопасности Андрей (имя изменено) говорит, что в реальности ситуация намного хуже. Трекеры рабочей активности используют чуть ли не все компании, особенно когда речь заходит о крупном бизнесе. Недавний случай с Xsolla (это где уволенные специалисты «будут получать еще больше, а работать еще меньше») — лишь верхушка, один из множества случаев, который вылез наружу. Мы поговорили со специалистом по защите данных о том, как работодатели следят за сотрудниками, почему в некоторых случаях это нормально и что делать для сохранения приватности переписок.
Зачем подсматривать за сотрудниками
По словам Андрея, мониторинг чаще встречается в крупных компаниях. В то же время как минимум в IT-индустрии регулярно говорят: мол, мы работаем на результат, а не копаем от забора до обеда. Здесь видится явное противоречие, но проблема заключается в специфике отдельных профессий:
— Компании действительно отходят от работы с девяти до шести, особенно когда началась удаленка. Более того, иногда бывает так, что после прихода в компанию человек три-четыре месяца сидит «на бенче» и ничего не делает. Но любая IT-компания, особенно работающая на аутсорс, должна калькулировать стоимость своих услуг. А это рабочие часы: сколько человек отработал и сколько стоил каждый час его труда плюс налог, оборудование, обучение, еда, бенефиты и так далее. Все это прибавляют к стоимости одного часа работы, умножают на свой коэффициент и «перепродают» сотрудника третьим лицам.
Такая бизнес-модель приводит к тому, что работодателю нужно точно знать время, потраченное сотрудником на работу, — по крайней мере в случае с техническими специалистами: тестировщиками, программистами, у которых можно проследить прямую зависимость между количеством потраченного времени и эффективностью, объемом, результатом. Отсюда и появилась необходимость контроля за сотрудниками — отчасти не только для дисциплины, но и для правильного определения стоимости труда.
Как обычно ищет слежка
Некоторые системы контроля рабочего времени задумывались с противоположными целями: следить, чтобы сотрудники не работали слишком много и не выгорали. Однако сейчас эти же инструменты используют для проверки того, не работают ли специалисты слишком мало. В случае с продуктами Microsoft есть Graph API — глобальная система Big Data, которая собирает информацию по любой активности сотрудника на компьютере. Кроме того, у Microsoft есть два продукта: My Analytics и Workplace Analytics.
My Analytics позволяет самому оценить свою эффективность: сколько времени провел в митингах (звонки с коллегами, клиентами), в каких программах был наиболее активным, сколько часов было продуктивных, сколько ушло на отдых. Данные второго продукта Microsoft, Workplace Analytics, могут видеть уже лишь пользователи с правами администратора. Он сохраняет все активности из почтового календаря, переписок и продуктов компании. My Analytics и Workplace Analytics внедрены в Office 365 и Microsoft 365, избавиться от них нельзя.
— Эта аналитика выдается менеджерам и руководству, чтобы они понимали, какие модели работы приводят к выгоранию. То есть, по сути, Workplace Analytics выводит баланс между работой и отдыхом. Как обычно: делалось во благо, применяется во зло, — говорит Андрей. — Это классический Data Science в рамках организаций. Таким решением пользуется огромное количество корпораций.
Аналитика достаточно гибкая и умная, чтобы не повестись на простые попытки пользователя ее обхитрить. Например, если забить весь календарь митингами (звонки с коллегами, клиентами) и рабочими задачами, а самому пойти гулять с детьми или запустить YouTube, система заподозрит манипуляции.
— Да, для календаря ты будешь занят, можешь даже митинг (звонок с коллегами, клиентами) запустить. Но ведь Workplace Analytics видит, что пакеты идут пустые — на уровне трафика заметно, что это фейковый стрим. Печаталось ли что-то на клавиатуре, водил ли ты мышкой — отслеживается совершенно все. Открыть окно в фоне и ничего не делать — так не получится. В Xsolla это и случилось: отдел Big Data собрал датасет, изучил активности и заметил, что условный Вася был на двух митингах вместо запланированных десяти. И встал вопрос: почему человеку платят за десять часов работы, когда по факту он работает два-три часа? На самом деле, я могу понять руководство Xsolla. Но мне не нравится, как это преподнесли. Можно было составить то письмо гораздо тактичнее, — рассуждает Андрей.
Но все можно сделать еще проще, не углубляясь в Big Data:
— Выдается рабочий компьютер, он вводится в домен, корпоративную сетку, подключается к офисным принтерам и так далее. До появления Teams и Slack до 90% корпоративного общения происходило в Skype, да и сейчас он часто используется. Даже несмотря на Telegram. Мало кто знает, но в Skype по умолчанию стоят настройки сохранения чатов минимум на две недели. Все это сохраняется в бэкап — и не на сервера Microsoft, а прямо на жесткий диск. Затем администратор, который видит твой компьютер в сети, просто идет в папку AppData на диске C, проходит в папку Skype и находит там файл main.db. Открыть его можно любым «Блокнотом». А там — все чаты и переписки в незашифрованном виде. Только картинки и скриншоты нельзя будет увидеть, а текстовая информация, включая смайлы, отлично читается.
По словам Андрея, однажды он столкнулся с ситуацией, когда замдиректора компании таким образом собирал информацию и шантажировал сотрудников:
— Люди выходят из переговорки после разноса, начинают обсуждать это все в Skype. И следом он прибегает: «Вы чего это обсуждаете меня, совсем уже того?» А сотрудники не понимали, как начальник видит их переписки. Ставили антивирусы, ходили к сисадмину, запускали веб-версию, заходили с личных устройств — и последнее помогло бы, но ведь у Skype синхронизация. Это совсем простой и абсурдный метод слежки, затраты на который равны нулю.
Решения на уровне железа
В то же время на рынке есть решения для вполне открытого мониторинга за любой активностью — вплоть до скриншотов. Отношение к этому разное, но, если сотрудник соглашается, значит, видимо, его такое положение устраивает. В некоторых случаях ставят коннекторы на роутеры, получается аналог MITM-атаки — когда между компьютерами A и B появляется посредник, способный как перехватывать пакеты данных, так и изменять их. Трафик при этом остается зашифрованным, поэтому почитать те же переписки в Telegram не получится. Но администратор или начальник смогут видеть, куда идут пакеты данных, и даже VPN не спасет. Другой вариант — устройство в виде переходника (кейлогер) для клавиатуры или мышки, которое записывает вообще все, что вы печатаете. Еще одна вариация — изначально дается корпоративная периферия, в которую уже установлен кейлогер. Конечно, в таком случае работодатель не разрешает приносить свои клавиатуры и мышки.
— Вот казалось бы: мы с тобой создаем секретный чат в Telegram, все зашифровано, никто не может прочитать нашу переписку. Но если ты мне начнешь что-то писать, то третье лицо увидит каждый твой символ — только мои сообщения прочитать не сможет. И это делается элементарно, — рассказывает Андрей. — Получается тотальный контроль. Такое обычно практикуется в структурах с высоким уровнем безопасности: банки, военка, оборонка.
Также некоторые компании дают корпоративный смартфон, и нужные для работы приложения запускаются только на нем:
— Там сразу устанавливаются средства защиты. Ты не можешь делать скриншоты, пересылать сообщения людям вне домена. Более того, есть технология генерации белого шума. Хочешь с другого телефона сфотографировать экран рабочего устройства — информацию с него не увидишь, там будет просто белый экран. Да, такие вещи реально существуют, их реализуют на программном уровне.
Плюс дистанционное удаление информации, поиск по устройству, запрет на скачивание файлов и установку сторонних приложений — по сути, получается тотальный контроль над выданным устройством.
При работе со своего компьютера риски все равно остаются. На устройство по-прежнему нужно устанавливать корпоративные сервисы и программы, которые при входе в рабочий аккаунт точно так же собирают сведения о ваших действиях. Как минимум можно определить, сколько времени было активным рабочее приложение. Или администратор говорит, что для работы нужно установить какую-либо программу:
— Ты видишь, что это что-то похожее на Teams или Slack, а по факту там ведется параллельный мониторинг. Причем на такую программу может среагировать антивирус, на что тебе ответят: «Да ничего страшного, просто в исключения добавь, иначе работать не сможешь».
Почему работник не защищен
Андрей отмечает, что небольшой процент компаний открыто заявляют о мониторинге активности. Причем информация об этом может быть, например, в договоре лицензионного соглашения:
— Кто-нибудь их читает? Все пролистывают и ставят галочку «Согласен». Хотя почитать, пожалуй, стоило бы: там много всего интересного бывает написано.
Также наш собеседник рекомендует всегда использовать две учетные записи в мессенджерах и на почте: личную и рабочую. Тогда при увольнении не будет претензий, что вы, например, уводите со своим личным аккаунтом базу клиентов.
Один из самых забавных примеров — кейс с рыбками. Дело было в одной крупной торговой сети. У директора по продажам на рабочем столе была заставка с плавающими рыбами.
— Суть в том, что каждая рыбка — торговая точка. Если она плавает ближе ко дну, то с ней все в порядке. Плывет вправо — идет повышение, влево — снижение продаж и KPI. Рыбка у самого верха — считай, она сдохла, KPI не выполнен. Сторонний человек, глянув на эту заставку, никогда не догадается, что на самом деле он видит.
Этичность скрытой слежки, безусловно, под большим вопросом. Но нужно учитывать условия контракта.
— В договоре обычно прописано рабочее время — условно говоря, с девяти до шести и час на обед. Да, в обед можно заниматься своими делами. Хотя на уровне внутренних инструкций могут написать: «Запрещено использовать корпоративные средства связи для решения личных вопросов». И все, ты попал: запустил YouTube с рабочего компьютера, написал сообщение ребенку — уже нарушил договор. Сотрудник проиграет любой суд, потому что на рабочем месте ты должен именно работать.
Самый надежный способ защитить свою переписку — использовать собственное мобильное устройство и личный интернет, не корпоративный. Несмотря на антиутопичную картину, Андрей говорит, что компании просто ждут от сотрудников честности:
— Если ты проработал два часа и отметил именно это время в трекинговой системе, тебе ничего не предъявят: ну да, зарплата получится меньше, но ведь это по-честному. Внимательно читайте трудовой контракт, и потом не будет претензий.
Источник: TechOnliner
