Powinien mieć dostęp do komputera, ale nie do kont .

Z twojego opisu wynika, że ​​konkretnie chce mieć dostęp do kont, aby działać w twoim imieniu. Powinno to naruszać zasady działu IT z dwóch powodów.

1. Jego działania będą prowadziły do ​​Ciebie.
2. Twoje czyny sięgają do niego. To powoduje zmętnienie wody i powinno niepokoić go, a nie ciebie. Pobierasz filmy nielegalnie? Cóż, wszyscy wiemy, że Bob regularnie korzystał z twojego komputera ...

Sprawdź swoją politykę IT, w większości miejsc obowiązuje zasada, że ​​nigdy nie jest to w porządku.

Dwie rzeczy do przemyślenia:

1. Gdybyś omawiał skargę na swojego szefa z HR, mogliby się dowiedzieć.

2. Jeśli Twój szef ma dostęp do Twojej maszyny i coś zepsuje, będzie wyglądać, że to Ty to zrobiłeś.

W każdym miejscu, w którym kiedykolwiek pracowałem, takie zachowanie jest całkowicie sprzeczne z polityką firmy z powodów przedstawionych powyżej. Otwiera to firmę na potencjalne problemy prawne, jeśli kiedykolwiek zdecydują się Cię zwolnić.

Rozumiem, że szef przychodzi jako administrator i resetuje twoje hasło, aby mógł się zalogować jako ty. Akt resetowania hasła jest rejestrowany. Konto, które przesłało ponownie hasło, jest rejestrowane wraz z godziną.

To po prostu nie ma sensu. Jeśli może wejść jako administrator, może przeglądać wszystkie pliki. Nie ma powodu, aby logować się jako Ty, chyba że celem jest podszywanie się pod Ciebie.

Powód, który podaje, jest taki, że

Chce wiedzieć, czy jest coś niezobowiązującego w moim komputer, żeby mógł popełnić w moim imieniu.

To nie jest rozsądny cel. Gdyby kod był gotowy do zatwierdzenia, popełniłbyś go. Jeśli chce zatwierdzić kod, powinien zrobić to pod swoim nazwiskiem.

Może dostaję awaryjną kompilację, ale jej odrzucenie powinno zdarzać się regularnie.

Jest to sprzęt firmowy, więc w USA prawdopodobnie legalny. Nie przeszedłby żadnej uzasadnionej polityki IT. Użytkownik spoza działu IT, który ma prawa administratora, nie jest powszechny. W przypadku programistów, którzy czasami są w branży IT, niektórzy zaufani programiści otrzymują prawa administratora, ale oczekuje się, że nie będą używać tych zapisów do zmiany haseł i logowania się jako ta osoba.

Inni już wspominali, dlaczego ktoś popełnił kod, nie wiedząc, dlaczego Ty tego nie zrobiłeś, jest głupi i że korzystanie z Twojego konta jest z dużym prawdopodobieństwem niezgodne z zasadami firmy. W niektórych jurysdykcjach nielegalne.

Ale zasugerowałeś, że Twoim głównym problemem są przechowywane hasła. Umieść je w programie do zarządzania hasłami, który wymaga „hasła głównego” (które tylko Ty znasz), aby się do nich dostać, na przykład hasło1 lub KeePass (lub Firefox). Jeśli to możliwe, umieść tę aplikację i jej bazę danych na pamięci USB.

Jak zauważyłeś, firma jest właścicielem komputera. Ponieważ są właścicielami komputera, Twój kierownik lub każda osoba z uprawnieniami i uprawnieniami administratora może zalogować się do Twojego komputera, o ile nie nadużywa dostępu w sposób zagrażający Twojej pracy. Ogólna zasada brzmi: nie przechowuj osobistych informacji finansowych ani życiorysów na swoim komputerze. Niech praca będzie pracą, aby nie tylko chronić Twoje dane osobowe, ale także ograniczyć szkody, które można wyrządzić, jeśli ktoś z dostępem podejmie próbę złośliwej działalności pod Twoim nazwiskiem.

W jednym z moich poprzednich środowisk często menedżerowie uzyskiwali dostęp do komputerów swoich pracowników, ponieważ ludzie przechowywali lokalnie na swoich komputerach pliki projektów i dokumenty hipoteczne klientów; więc kiedy ta osoba była chora, a klient musiał zmienić datę zakończenia, menedżer musiał uzyskać dostęp do komputera pracowników, aby uzyskać oryginalny dokument. Znany mi archaiczny system, ale to tylko jeden z uzasadnionych powodów, dla których kierownik musiałby uzyskać dostęp do komputera pracowników.

Zależy to od kraju i obowiązujących zasad IT.

W Wielkiej Brytanii domyślnie NIE byłoby to akceptowalne. Twój szef byłby uprawniony do monitorowania twoich działań w pracy, ale gdybyś zalogował się na swoje osobiste konto e-mail, twój szef nie byłby uprawniony do monitorowania tego.

Jednak aby temu przeciwdziałać, standardową praktyką jest umieść w umowie klauzulę lub zasadę dopuszczalnego użytkowania, która mówi, że „sprzęt firmowy nie może być używany do użytku osobistego”. Jeśli taka klauzula jest obecna, twój szef JEST upoważniony do monitorowania całego użytkowania komputera w pracy.

Wiele krajów ma podobne przepisy jak w Wielkiej Brytanii, ale istnieją znaczące różnice. Na przykład w Niemczech masz silniejsze prawo do prywatności.

Źródło: Pracuję w infosec przez kilka lat i nauczyłem się tego na różnych kursach, w których uczestniczyłem (np. SANS). Obawiam się, że nie mam pod ręką linków, ale powinieneś być w stanie je łatwo znaleźć.

Powodem, dla którego to uzasadnia, jest to, że czasami chce wiedzieć, czy w moim komputerze jest coś niezaangażowanego, więc może zatwierdzić w moim imieniu.

Chociaż Wątpię, czy to prawda, gdyby tak było, należałoby to traktować inaczej.

Skonfiguruj dysk współdzielony, na którym znajduje się zawartość związana z pracą. Lub skonfiguruj zasady, zgodnie z którymi pliki związane z pracą na Twoim koncie w specjalnym katalogu będą dostępne tylko do odczytu dla innych pracowników. itp.

Istnieje wiele sposobów umożliwiania dostępu do plików, o których mowa, i nie wymagają podszywania się pod Ciebie w jakikolwiek sposób.

Może rozsądnie jest stworzyć taki system / politykę, aby pliki związane z pracą były dostępne w nagłych wypadkach, na przykład gdy byłbyś niedostępny.

Zapytałbym szefa, dlaczego nie ma takiej możliwości.

Prosta odpowiedź brzmi: nie przechowuj swoich haseł na komputerze ani nie używaj aplikacji do obsługi pęku kluczy, która nie korzysta z systemu haseł logowania.

Jak wspominały inne osoby, Twoim menedżerem jest prawdopodobnie niezgodne z polityką bezpieczeństwa IT. Warto taktownie wspomnieć działowi pomocy technicznej, że hasło zostało wielokrotnie zresetowane i pozwolić im podjąć jakiekolwiek działania.

W pozostałych odpowiedziach brakuje do tej pory tego, że w przypadku niezatwierdzonych zmian , to nie twój szef je popełnia i nie jest to rozsądna wymówka. Myślę w kategoriach systemów tworzenia wersji oprogramowania, ale to samo odnosi się do dokumentów prawnych lub innych „ważnych” prac, które mogą wymagać wykonania w odpowiednim czasie: skąd twój szef wie, że zmiany są kompletne, przetestowane, zweryfikowane gotowe itp.?

Istnieją trzy poziomy.

Poziom 1: Czy mój kierownik ma prawo dostępu do mojego komputera w pracy? To zależy. Twoja firma określi, jakie prawa ma ktoś w firmie. Twój menedżer ma to prawo, jeśli firma twierdzi, że ma prawo, a on nie ma go, jeśli firma twierdzi, że nie. Zgodziłbym się z moim kierownikiem, który uzyskałby dostęp do mojego komputera, powiedzmy, gdybym miał wypadek i ważne informacje byłyby tylko na moim komputerze. Gdyby wydarzyło się to bez bardzo dobrego powodu, byłbym bardzo, bardzo zły, a to nie byłoby dobre.

Poziom 2: A co z moją prywatnością? W zależności od kraju, w którym przebywasz, prywatne informacje mogą być silnie chronione, nawet jeśli znajdują się na komputerze należącym do firmy, a na tym komputerze nie powinien. Lub może być całkowicie niezabezpieczony na twoim komputerze roboczym.

Poziom 3: Legalność. A tutaj mamy wielką, dużą, czerwoną flagę. Prezes Twojej firmy nie ma żadnego prawa dostępu do komputera swojego księgowego. Twój menedżer nie ma żadnego prawa do dokonywania zmian pod Twoim nazwiskiem . Jako programista, niezatwierdzony kod na moim komputerze jest w trakcie opracowywania iw dowolnym momencie może znaleźć się w stanie, który może być kosztowny lub śmiertelny, jeśli zostanie zatwierdzony i wysłany do klientów. (Mógłbym napisać oprogramowanie, które wysyła towary do klientów, wysyła rachunek do klienta i zapisuje, że klient jest winien firmie pieniądze. Jeśli tylko dwie z tych trzech części są skończone, a mój szef wykonuje tę niedokończoną pracę, byłoby to fatalne w skutkach ). Jest wiele branż, w których dostęp do danych jest ściśle kontrolowany, a to, co tu robi szef, może spowodować postawienie zarzutów karnych i ogromną odpowiedzialność dla firmy.

Bzdury związane z naruszeniem bezpieczeństwa to po prostu śmieszne bzdury.

Wprowadzasz hasło na prywatnym komputerze, dlatego może być ono dostępne lub nie dla jego właścicieli. Jeśli istnieje skonfigurowana domena, może ona być już w postaci zwykłego tekstu na kontrolerze domeny lub nie. Hasło nie jest Twoim sekretem, jest ono współdzielone tajne. Wspólne sekrety pozwalają na ustanowienie zaufanych i prawdopodobnie zaszyfrowanych kanałów. To nie twoja tożsamość!

To moja firma, równie dobrze mogę założyć konto z identycznymi nazwami użytkowników i hasłami na każdym z moich komputerów , które wszyscy znają i kto może powiedzieć, że nie mam do tego prawa? Pracowałem w takim środowisku, nie było żadnych kłopotów. To nie twoja sprawa .

Umieszczenie czyjegoś prawdziwego imienia i nazwiska w polu prawdziwego imienia na jakimś koncie domeny nic nie zmienia, nie wystarczy do udowodnienia czegokolwiek w sądzie. Nie, nawet jeśli twój szef nigdy się nie zalogował (co jest zasadniczo możliwe do ulepszenia), ten informatyk, który ma dość głupich rzeczy, prawdopodobnie ma prawa superużytkownika i może robić, co chce, i nikt się nigdy nie dowie.

Pomysł, że wygenerowane przez firmę dane uwierzytelniające automatyzują uwierzytelnianie i dostarczanie dostępu do infrastruktury należącej do firmy oraz informacji, które firma chętnie Ci udostępniła w celu zautomatyzowania niektórych procesów roboczych w sposób, w jaki firma uważa za stosowny w jakiś sposób uprawnia Cię do wszystkiego jest rażąco, niezaprzeczalnie absurdalny.

Firma może ustawić dowolne procedury automatyzacji i uwierzytelniania, które chce i tak, Twój szef może robić, co tylko zechce. O ile, oczywiście, ich szef nie powie, że nie mogą, wtedy udaj się do jego szefa.

Z pewnością nic nie wskazuje na to, czy są to dobre czy złe praktyki w jakimś szczególnym sensie. Decyzja należy do firmy, a nie do Ciebie.

Z pewnością znowu, jeśli mówimy o jakimś rodzaju oszustwa, to zupełnie inna kwestia. Zalogowanie się na konto e-mail dostarczone przez firmę może nie działać poprawnie, ale wysłanie wiadomości e-mail do żony z podpisem na końcu nie.

Uwaga aby to zrobić, nie trzeba logować się na żadne ze „swoich” kont, ale nadal stanowi to wykroczenie.

Przekazanie kodu napisanego w godzinach pracy na prywatnym komputerze firmy, za który zapłacono, na repozytorium należące do firmy i farma kompilacji są OK (z dowolnego konta firmowego, z którego firma chce to zrobić), ale dodanie złośliwego kodu backdoora , a następnie stwierdzenie, że zrobiłeś to jest nie.

Pamiętaj, że nie jest konieczne logowanie się do żadnego z „Twoich” kont, aby to zrobić, ale nadal stanowi to wykroczenie.

Zobacz, dokąd zmierzam?