Prawdopodobnie nie chce składać wniosku na piśmie, ponieważ wie, że może zostać wezwany później. Myślę, że musisz wykonać dwa kroki:

1. Dokumentuj, o co Cię proszono. Zapisz daty tych dyrektyw i tych rozmów, aby zachować najlepszą pamięć. Powinieneś także wykonać kopię zapasową wymiany e-maili, do której wspomniano, nawet niejasno. Spisane rachunki nie są w 100% kuloodpornym dowodem, ale mają większe znaczenie niż wtedy, gdy próbujesz o tym później przypomnieć.
2. Poinformuj swojego szefa, że ​​uważasz, że to, o co Cię prosi, jest nieetyczne nie chcesz zmieniać raportu ani podpisywać się pod tym, że ktoś inny zmienia raport (lub w jakimkolwiek innym przypadku).

Czuję, że znalazłeś się w takiej sytuacji, ale robisz co słuszne w przestrzeganiu etyki.

Nie jestem prawnikiem, ale wydaje się, że wykracza to poza sferę etyczną, do wymiaru prawnego.

Pracuję w IT, a mój menedżer stara się nakłonić mnie i mojego współpracownika do przesłać fałszywy skan bezpieczeństwa naszemu klientowi.

To brzmi jak oszustwo.

Natychmiast skontaktuj się z prawnikiem, aby ustalić, jak najlepiej możesz się zabezpieczyć i znaleźć jeśli zrobiłeś cokolwiek, co może narazić Cię na odpowiedzialność.

Prawnik może zażądać natychmiastowej rezygnacji.

Dokumentacja jest w porządku, ale nie rób osobistych kopii klienta lub informacje firmowe , takie jak robienie zdjęć telefonem, zapisywanie wątków firmowych wiadomości e-mail lub wysyłanie dokumentów na osobiste konto e-mail. Jeśli już to zrobiłeś, usuń je natychmiast.

Jeśli Twój pracodawca zostanie ujawniony (co mam nadzieję, że tak się stanie), Twój pracodawca może zemścić się, składając przeciwko tobie pozew lub skargę karną ( bez względu na to, jak niepoważne) w oparciu o sposób obsługi danych firmy.

Jak dotąd wszystko, o co poprosił mnie kierownik w związku z tym, zostało wypowiedziane ustnie. Podjąłem kilka nieudanych prób, aby zmusić go do napisania czegokolwiek.

Nie każesz mu niczego pisać. Pisałeś o tym za niego.

Do: Mój szef

Temat: Zlecenie pracy

Cześć Szefie,

Jak już wspomniałem, umieściłem [nieetyczną cechę], o której wczoraj do mnie przyszedłeś, na liście zaległości. Nadal mam kilka pytań dotyczących kwestii prawnych i byłbym szczęśliwy, gdybyśmy mogli omówić je, zanim zaczniemy nad tym pracować.

Najlepsze, człowieku

Możesz wtedy zorganizować spotkanie, na którym powie Ci, abyś kontynuował [nieetyczną funkcję], nie martwił się o stronę prawną, i poinstruuje Cię, abyś nie pisał już e-maili podsumowujących Twoje rozmowy. Zapomnisz o tym, jak nie pisać e-maili i wyślesz coś takiego:

Do: Mój szef

Temat: Zlecenie pracy, kontynuacja

Cześć Szefie,

Podsumowując dyskusję z godziny 14:00: Sprawdziłeś już od strony prawnej i właściwym sposobem jest to, że muszę zrobić [rzecz nieetyczna] i [rzecz nieetyczna]. Prawdopodobnie będę gotowy do jutra po południu.

Najlepsze, koleś

Jeśli jest niejednoznaczny, usuwasz niejednoznaczność w podsumowaniu, co sprawia, że ​​jest on odpowiedzialny aby wyjaśnić, jeśli źle zrozumiałeś.

Nie zapomnij wydrukować wiadomości e-mail i zabrać je do domu (lub po prostu przystawić telefon do ekranu), ponieważ firmy, które chcą łamać prawo, czasami są na to gotowe ” stracić ”e-maile.

Mogę częściowo o tym porozmawiać z mojego doświadczenia jako koordynator infosec w firmie SaaS. (Nie mogę z tym wszystkim rozmawiać, ponieważ mój pracodawca ma kulturę przestrzegania przepisów; nasi kierownicy nigdy nie zagraliby w tę grę).

1. W większości przypadków te żądania pochodzą od część działalności klienta, która po prostu zaznacza pola przed podpisaniem umowy z nowymi dostawcami. W cyniczne dni myślę, że po prostu ważą te raporty lub liczą je.

2. Czasami można przesłać klientowi prawdziwy skan, jeśli dołączysz wyjaśnienie i plan naprawczy. Wielu klientów to zaakceptuje, a to zwiększy Twoją wiarygodność: pracownicy korporacji lubią przejrzystość. (Będą jednak kontynuować, aby upewnić się, że naprawiłeś sytuację.)

3. Całkowicie rozsądne jest przesłanie klientowi samego podsumowania skanu; szczegóły twoich systemów i luk w zabezpieczeniach to nic innego jak twoja, a ujawnienie ich zwiększa powierzchnię ataku.

4. Przypuszczam, że można przesłać klientowi fałszywy skan, aby biznes. Ale mądrze byłoby przygotować plan naprawczy i poprosić szefa, aby zgodził się go wdrożyć, jeśli to zrobisz.

Jeśli wyślesz fałszywy skan, a następnie jakiś cyberprzestępca pomyślnie Cię zaatakuje, co może się stać? Jeśli nie jesteś w służbie zdrowia, przypuszczam, że najgorszym scenariuszem jest Equifax: katastrofalna reklama dla twojego klienta i ciebie. Albo twój właściciel może wysłać twojego CTO do Fox News, aby kłamał na ten temat, tak jak to zrobili, gdy Panera miał naruszenie. Ale prawdopodobnie nie będzie tak źle.

Jeśli jesteś podmiotem biznesowym związanym z ochroną zdrowia HIPAA i masz dane pacjentów, które wyciekają, a ktoś dopuścił się zaniedbania, jest to przestępstwo, które przebija korporacyjną zasłonę , co oznacza, że ​​osoby fizyczne mogą ponosić odpowiedzialność karną i nie mogą chować się za LLC. W takim przypadku rozsądnie byłoby odmówić podpisania umowy.

Słuchaj, ciężko pracuje ... pracować dla firmy, która nie ma kultury przestrzegania prawa. Wiesz to. Ale można to wykorzystać jako wymówkę, aby zacząć naciskać na zmiany w swojej firmie. Moja sugestia numer 4 może być sposobem na osiągnięcie tego celu.

Właściwe pytanie dla Ciebie i dla Twojej kadry kierowniczej brzmi: „Jak możemy zwiększyć bezpieczeństwo danych naszych klientów?” Kompromis w tej sprawie może po prostu poprowadzić cię dalej na tej ścieżce. To tylko coś do przemyślenia.

Jeśli idziesz na kompromis, proponuję napisać „notatkę do akt” opisującą sytuację, otrzymane instrukcje i działania. Wydrukuj i zabierz do domu. To jest tylko dla Ciebie, a nie dla Twojej kadry kierowniczej lub współpracowników. Pomoże Ci to dokładnie zapamiętać, kto co powiedział i kiedy, jeśli będziesz musiał opisać ten incydent za kilka lat.

Niestety, byłem w takiej sytuacji kilka razy w swojej karierze.

Po pierwsze, nie możesz kontynuować pracy dla tej osoby, zacznij szukać innej pracy.

Po drugie , Proponuję zrobić to, co sugerował inny. Napisz to wszystko w e-mailu i poproś o potwierdzenie tak / nie. W tym e-mailu chciałbym wskazać w e-mailu, że to, czego od niego wymaga, jest nieetyczne i prawdopodobnie nielegalne. „Potwierdź za pomocą opcji Tak lub Nie, albo nie zrobię tej nieetycznej i prawdopodobnie nielegalnej rzeczy”. Poprosiłem wcześniej o podpisany dokument lub podpisany cyfrowo e-mail, a oni zawsze odmawiają.

Pewnego razu zostałem poproszony o podpisanie czegoś jako przechodzenie testów podatności, a nie zrobiłem tego, ponieważ nawet mi nie pozwolili uruchomić skanowanie. Kał uderzył później w urządzenie do ruchu powietrza. Około 6 miesięcy później skontaktował się ze mną pułkownik w biurze Generalnego Inspektora z prośbą o pisemne zeznanie, ponieważ nie mogłem sporządzić kopii e-maili (nie mogłem ich zabrać ze sobą) ....... dużo zwolnień, ale już mnie nie było ... Wtedy byłem już na drugim końcu świata.

Dan i dbeer omówili większość moich pierwszych myśli. Skopiuj, jakie elementy możesz, a resztę zarejestruj ręcznie. Niektóre z nich są ryzykowne, ale skupiam się na Twoim zapewnieniu, że jesteś skłonny stracić tę pracę przez to (i brawo Ci za to).

Możesz również odpowiedzieć na jego niezobowiązujący e-mail z kopiami oryginalnego wyniku i spreparowanej wersji roboczej ze znakami wodnymi „DRAFT” i ukrytą wiadomością e-mail.

„Zgodnie z naszą dyskusją, oto oryginał i wersja robocza skanów z zredagowanymi wynikami”. Zakładając, że ustnie powie Ci, że tego chce i wyśle ​​to (i może przestanie wysyłać dowody pocztą e-mail), w tym momencie jesteś nieco osaczony, aby powiedzieć mu, że nie możesz się zgodzić z wysyłaniem fałszywych wyników skanowania. Jeśli chcesz uratować związek, warto porozmawiać o planach naprawczych. Większość audytów, w których brałem udział, jest bardziej zainteresowana prawdą, a następnie planem poprawy ryzyka. Ale to może nie wystarczyć.

Może sprawdzić dzienniki poczty e-mail i wiedzieć, co robisz. Jeśli tak, powinien również wiedzieć, że udokumentowałeś jego przestępstwo. Miejmy nadzieję, że to zatrzyma go, zanim zagrozi ci zrujnowaniem. Może zrobić coś takiego, jak grożenie ci jakąś formą NDA, wysyłając do siebie ten e-mail. Pamiętaj, że to desperacja. Jedynym sposobem, w jaki może to udowodnić, jest przedstawienie dowodów, że próbuje oszukać klienta.

W firmie zajmującej się zaawansowanymi technologiami, w której pracuję, pełnimy rolę w organizacji zwanej Rzecznikiem Praw Obywatelskich. Ich niezależnym obowiązkiem jest udzielanie porad i wskazówek w takich kwestiach etycznych / prawnych jak ta. W naszej firmie może to być w razie potrzeby całkowicie anonimowe. Jeśli Twoja firma ma taką rolę, sugerowałbym skontaktowanie się z nią w celu uzyskania wskazówek, ponieważ jest to ich praca i obowiązek.

Co mi się sprawdziło w przeszłości: Zrób raport, który opisuje, co faktycznie zrobiłeś, w tym fragmenty, które powinieneś zrobić / planujesz zrobić, ale zaznacz je wyraźnie jako „jeszcze nie zrobione”, wyślij je do swojego szefa i powiedz mu, aby zredagował go tak, jak uzna to za stosowne, podpisz go i wyślij do klienta.

Wiele osób nagle staje się znacznie bardziej ostrożne, jeśli to ich podpis, a nie podpis podwładnych (w moim przypadku chodziło o zamówienie u „ulubionego dostawcy” zamiast najtańszego).

Jeśli Twój szef nadal chce to zrobić, uciekaj od tej firmy i w zależności od powagi sytuacji przekaż wiedzę do odpowiednich instytucji (-> pytanie prawne, porozmawiaj z prawnikiem).

Myślę, że jeśli masz oryginalne skany i zmodyfikowane skany, po prostu wypal rzeczywiste skany na płycie CD i wrzuć je pocztą do firmy. Dołącz zaszyfrowany plik tekstowy z frazą kodową, która go identyfikuje. Jeśli kiedykolwiek będziesz musiał stanąć na stanowisku, że tak powiem, możesz opisać, co jest w tym zaszyfrowanym pliku tekstowym, aby mieć miejsce. Świetnie jest też, jeśli szef rzuci cię pod autobus przed firmą i możesz powiedzieć, że dołączyłeś zaszyfrowany plik z frazą kodową, którą tylko Ty znasz. Myślę, że to najlepsze podejście do ubezpieczenia. W przeciwnym razie myślę, że twój szef i jego szefowie mogą wymyślić, co im się podoba, a ty nie masz praktycznie żadnego dowodu, zwłaszcza jeśli powiedzieli ci ustnie.

Myślę, że jest tu inna opcja, której ludzie mogą nie lubić, ale jest ona ignorowana. Obraca się wokół idei, kto jest osobą, która popełnia oszustwo i jak. Jeśli chcesz kontynuować pracę w firmie, ale unikasz robienia czegokolwiek, co mogłoby cię wplątać, polecam poniższe.

Utwórz wersję raportu, o którą poprosił szef, a następnie wyślij go do niego z oryginał załączony i powiedz co następuje.

Utworzyłem raport (z pominiętymi odpowiedziami), o którego przygotowanie poprosiłeś mnie dla {firma}. Znajdziesz go oraz oryginalny raport załączony do tego e-maila dla porównanie. Chcę, abyś wiedział, że przygotowałem raport w nadziei, że wykorzystasz go wyłącznie do celów wewnętrznych. Naprawdę wierzę, że decyzja o udostępnieniu zredagowanej wersji tego dokumentu {firmie} stawia naszą firmę w bardzo niebezpiecznej sytuacji, ponieważ niektóre kwestie zawarte w oryginalnym dokumencie to rzeczywiste kwestie, które mogą zostać wykorzystane. W tym świetle zachęcam do korzystania z oryginału.

Następnie przekierowałbym wiadomość e-mail na osobiste konto e-mail, a także wydrukowałbym całą wiadomość e-mail (nieprzetworzoną wiadomość e-mail z folderu wysłanych z wszystkie nagłówki). Jeśli Twój szef odpowie i każe Ci wysłać wiadomość e-mail do {company}, to jest moment, w którym mówisz

Ze względu na moją osobistą odpowiedzialność nie mogę z czystym sumieniem być osobą, która wyśle ​​to e-mailem do {company} i mam nadzieję, że nie stanowi to dla Ciebie problemu

Powiedziałbym, że powoduje to kilka różnych rzeczy:

a) niezależnie od oszustwa lub sytuacji, w której szef zlecił Ci pracę aby utworzyć raport i może to być sytuacja, w której możesz zostać zwolniony za nie zrobienie tego za tworzenie dokumentu i wywołanie tego, o co proszono, jasno oznacza, że ​​chcesz wykonać zadania od swojego przełożonego (Naprawdę rozumiem, że ludzie się z tym nie zgodzą ale ja postrzegam to jako podejście do etycznej linii bez jej przekraczania)

b) przekazując raport w wiadomości e-mail do swojego kierownika wraz z oryginałem, jasno określa, że ​​dokument powinien być traktowany do celów wewnętrznych. Jeśli Twój przełożony zdecyduje się skorzystać z tego dokumentu, to Twój przełożony popełnił oszustwo, a nie Ty. (Odpowiem, co zrobić, jeśli faktycznie wyśle ​​to później)

c) przesłanie tego do swojego przełożonego daje mu pisemną szansę zrobienia tego, co należy. Twój przełożony może zmienić zdanie ... miejmy nadzieję.

d) UDW drukowanie i zapisanie wiadomości e-mail dostarcza ważnych fizycznych dowodów, które mogą być konieczne, jeśli wystąpią negatywne reperkusje tej czynności.

Na koniec chciałbym argumentować, że sporządzenie raportu nie jest trudną kwestią etyczną. Powiedziałbym, że

za co odpowiadasz, jeśli wiesz na pewno, że Twój kierownik / firma wysłała dokument, popełniając w ten sposób oszustwo?

czy bardzo złożone pytanie, mógłbym sformułować kilka zaleceń w tym duchu, ale prawdą jest, że absolutnie powinieneś to zrobić.

Jeśli Twój szef korzysta ze zredagowanego raportu i jako bezpośredni lub pośredni rezultat, Twoja firma zyskuje lub w inny sposób kontynuuje kontrakty z drugą firmą. Nie publikuj na wymianie stosów, wydawaj kilkaset dolarów i zasięgaj porady prawnika pracy (będzie to rada z ubezpieczeniem od błędów w sztuce)

Dla mnie istnieją dwie możliwości:

1. Zrób to, ale chroń siebie

   Zachowaj dokument z podjętymi działaniami, data utworzenia / modyfikacji młodsza niż wiadomość, którą wyślesz do klienta z wykluczonymi lukami. W tym dokumencie zapamiętaj dyskusje ze swoim przełożonym, wykluczone luki i link do prawdziwego raportu.

   Następnie wykonaj czynności, które zostały Ci polecone, i wyślij wiadomość e-mail ze zmodyfikowanym raportem do swojego menedżer ostrzegający go o lukach w zabezpieczeniach (lub znajdź inną wiadomość, którą już wysłałeś, mówiąc o tym).

   Jeśli klient wykryje to, będziesz chroniony (i nawet jeśli zapytają cię, dlaczego to zrobiłeś rzecz nieetyczna ze świadomością, możesz powiedzieć, że byłeś naciskany).

2. Znajdź nową pracę i wyjdź jak najszybciej

   To jest toksyczne środowisko i / lub toksyczne zarządzanie, które tu masz. Postaraj się wyjść bez podpalania mostów i znajdź wcześniej inną pracę. Wygraj tyle czasu, ile możesz bez konieczności edytowania raportu, więc możesz wyjść, zanim będziesz musiał to zrobić.

َ