Gra w pączki!

W obliczu podobnych wyzwań przyjęliśmy w moim miejscu pracy rozwiązanie zwane grą w "pączki". Pamiętaj, że może to nieco rozpraszać. Z tego powodu nie biegamy w tym roku przez cały rok, tylko w grudniu, kiedy nie ma presji, a w biurze panuje lżejszy nastrój, który chcemy zaszczepić w okresie świątecznym.

Zasady

Gra jest dość prosta - jeśli zostawisz komputer odblokowany, a inny członek zespołu zauważy, że może on swobodnie otworzyć klienta poczty e-mail i wysłać zespołowi e-mail ze słowem „pączki” z Twojego konta . Za każdym razem, gdy ktoś ci to udaje, to jeden punkt przeciwko twojemu imieniu. Osoba pod koniec tygodnia, która ma najwięcej punktów przeciwko swojemu imieniu, musi kupić pączki dla zespołu na nasz występ SCRUM w poniedziałek rano.

Ma to tę zaletę, że rzuca wyzwanie ludziom, aby byli najlepsi może blokować swoje maszyny i tworzy nieformalny system kar dla tych, którym nadal nie udaje się ich zablokować.

Ale czy to działa w Twoim przypadku?

Pamiętaj, że to nie jest dla wszystkich środowisk pracy - mamy zespół, dla którego działa naprawdę dobrze i rozmawialiśmy o tym jako grupa, aby upewnić się, że wszyscy byli na pokładzie przed rozpoczęciem. Zdecydowanie radzę zastanowić się nad swoim zespołem i zaangażowanymi osobowościami przed umieszczeniem czegoś takiego w tym miejscu.

Pamiętaj również, aby rozważyć, czy są jakieś problemy z członkami zespołu używającymi komputera innej osoby, nawet w celu wysłania e-maila. Branża medyczna w wielu lokalizacjach szczególnie temu zapobiegnie (poprzez regulacje lub potrzebę zachowania dużej prywatności), branża finansowa w wielu przypadkach byłaby taka sama. Jeśli to nie przeszkoda - baw się dobrze!

Często zajmuję się tym od strony inżynierii sieci. Programiści mają tu zwykle trochę swobody i szacunku, ponieważ w teorii są profesjonalistami i będą przestrzegać protokołów bezpieczeństwa bez konieczności trzymania ich za ręce. Dlatego najlepszą polityką jest próba skłonienia ich do nieformalnego przestrzegania.

Metody wewnętrznego rozwiązywania problemów służą zespołowi wzajemnemu nadzorowaniu, jak opisano w innych odpowiedziach za pomocą systemu niewielkich nieszkodliwych kar. Ale moim zdaniem lepiej, jeśli menedżer po prostu uczyni to obowiązkowym.

Ale kiedy są oporni, dość łatwo jest to naprawić formalnie.

Rozwiązanie było dla menedżera, aby powiedzieć programistom że albo sami zajmą się bezpieczeństwem, albo inżynierowie przyjdą i zablokują komputery innych użytkowników i egzekwują zasady grupowe ... to zwykle działało dość szybko. Zwykle nie trzeba nawet tego robić.

Sposobem niekonfrontacyjnym, którego często używam, jest nakłonienie menedżera ds. Inżynierii sieci (w tym przykładzie mnie) do wzięcia udziału w spotkaniu i spędzenia kilka minut grzecznie mówiąc programistom kilka domowych prawd. To zdejmuje z menadżera wszelkie niewygodne kwestie, a pochodzenie od osoby trzeciej, która faktycznie może egzekwować pewne rzeczy, jest dobrą strategią. Po prostu przedstawię się, przepraszam za poświęcenie czasu i nakreślę proste zasady bezpieczeństwa sieci, które MUSZĄ być egzekwowane w ramach mojej roli. Traktuj ich jak profesjonalistów, którymi są. Zapytaj, czy ktoś musi wiedzieć, jak zablokować swoją maszynę, odpowiedzieć na wszelkie pytania, podziękować za poświęcony czas i opuścić spotkanie, aby mógł ustalić, jak chce to zrobić (nie chcę wiedzieć o luźnych spodniach lub pączki lub pizzę). Zwykle wystarczy e-mail do menedżera, który może następnie przesłać go do swojego zespołu i omówić go na spotkaniu. Sedno tkwi w tym, że pochodzi od autoryzowanej strony trzeciej.

Rzadko kiedy musiałem to zrobić, dotyczy to każdej grupy profesjonalistów lub elit w firmie. Używałem tej metody z pilotami, lekarzami i prawnikami, a także programistami.

Tam, gdzie pracuję, nieoficjalnie przestrzegam, że każdy, kto pozostawi swój komputer wystarczająco długo odblokowany, będzie miał kogoś, kto podejdzie do niego i wyśle ​​wiadomość e-mail z ofertą przyniesienia pizzy lub ciastek dla wszystkich następnego dnia.

W rezultacie ktoś musi przyznać się do pozostawienia swojego komputera odblokowanego i bycia tanim, lub podążyć za tym i przynieść trochę jedzenia. Przyznane, od czasu do czasu przynoszenie jedzenia / słodyczy do pokoju socjalnego dla wszystkich jest tutaj normalne.

Zaletą tego jest to, że inni pracownicy będą egzekwować to za Ciebie.

Żadna z odpowiedzi sugerujących żartowanie lub takie nie jest odpowiednia w nominalnie bezpiecznym środowisku.

Bezpieczne środowisko ma formalną POLITYKĘ bezpieczeństwa, formalny PROCES przestrzegania tej polityki oraz formalną PROCEDURĘ zajmowanie się niezgodnością. We wszystkich poprzednich odpowiedziach zalecana procedura postępowania w przypadku wygaśnięcia jest sama w sobie naruszeniem polityki bezpieczeństwa ORAZ procesu.

Innymi słowy, gdy obraz na pulpicie leniwego użytkownika zostanie zmieniony na zdjęcie bikini Davida Hasselhoffa lub adres e-mail użytkownika jest używany do wysyłania wiadomości e-mail „zhakowanych pączków” ... z punktu widzenia certyfikacji, nie tylko wystąpiło POTENCJALNE naruszenie bezpieczeństwa, ale teraz wystąpiło RZECZYWISTE naruszenie bezpieczeństwa.

Zakładam, że kwestia bezpieczeństwa nie jest tylko jakimś arbitralnym wymaganiem ... w pobliżu znajdują się informacje umożliwiające identyfikację klienta i / lub zgodność z PCI lub SAX70 lub inny certyfikat zgodności jest zagrożony. Wystarczy uzasadnić (IMHO), że klienci znajdują się w okolicy, w której mogą zobaczyć poufne informacje biznesowe o innych klientach.

Właściwym sposobem radzenia sobie z tym jest, aby pracownicy bezpieczeństwa IT przeszukiwali w biurze podczas zwykłej wędrówki po okolicy, a jeśli przyjdą z odblokowanym, nienadzorowanym komputerem, zmieniają hasło użytkownika i blokują ekran / komputer, pozostawiając użytkownikowi notatkę, że muszą skontaktować się z IT, aby ponownie włączyć swoje konto. Pracownik IT musi oczywiście używać pewnego rodzaju rotacyjnego schematu „resetowania hasła”, aby zmieniony hasło nie mógł zostać po prostu odgadnięty przez powracającego użytkownika.

Czasami przypominałem kolegom, którzy nie blokują, używając skrótu do obracania lub odwracania ekranu, a następnie blokowania (Windows + L). Skrót z klapką zależy od urządzenia, ale ALT + Strzałka lub CTRL + ALT + Strzałka powinny działać na wielu typowych komputerach biznesowych i laptopach.

Zaletą tego podejścia jest to, że jest to prosty podwójny skrót klawiaturowy, więc nie spędzasz zbyt wiele czasu na ich odblokowanym systemie , ze wszystkimi wynikającymi z tego konsekwencjami dla bezpieczeństwa, jednocześnie przypominając im, że zapomnieli ponownie zablokować. Notorycznych przestępców można pozostawić w ciemności, jeśli chodzi o sposób przywrócenia odwróconego ekranu, aby przekazać wiadomość do domu.

Ponieważ w rzeczywistości nie musisz używać odblokowanego systemu kolegi, będzie to prawdopodobnie bardziej akceptowalne rozwiązanie niż faktyczna zmiana ustawień systemu lub wysyłanie wiadomości e-mail z jego konta, ale wciąż są biura, w których nawet to by przekraczać linię lub nawet drobne figle nie pasują do kultury, więc używaj ich ostrożnie. Będziesz także chciał być w pobliżu, gdy twój kolega wróci, gdy robisz to kilka razy, na wypadek, gdyby nie mógł wymyślić sposobu na odwrócenie tego lub, jak wskazuje Dan, biegnie do działu IT twierdząc, że jego komputer został zhakowany.

W mojej firmie mamy strategię „odchodzenia”.

Jeśli zostawisz komputer odblokowany, wygaszacz ekranu, tło i awatary mogą zostać zmienione na różne zdjęcia kóz (a następnie zablokuj komputer) .

Dość szybko nauczyło to ludzi zostawiać swoje komputery zablokowane, ponieważ nie chcieli mieć kłopotów ze zmianą wszystkiego z powrotem.

To było samoregulujące przez zespół programistów i , teraz mamy certyfikat ISO27001, nie ryzykujemy, że ktoś pozostawi odblokowany komputer.

Prostym rozwiązaniem jest tutaj automatyczny wygaszacz ekranu, skonfigurowany domyślnie; pokazując coś pozytywnego i neutralnego dla firmy. Jeśli problemem jest bezpieczeństwo, zablokuj ekran także po pojawieniu się wygaszacza ekranu. Zaproponuj to szefowi działu IT swojej firmy. Jeśli nie chcą tego robić dla wszystkich pracowników, to to nie jest twój problem .

Skonfiguruj to dla siebie i zachęcaj inne osoby, które Ci podporządkowują się to samo. Jeśli w pewnym momencie pojawi się problem, jesteś chroniony i możesz wskazać, jak chronić inne komputery.

Nie upokarzaj, nie twórz kultury kar „pączków”, po prostu łatwo im postąpić właściwie.

Biorąc pod uwagę podany przez Ciebie powód tej polityki, w ogóle nie brałbym jej na poważnie; To, czy podążyłem za tym, będzie wyłącznie funkcją tego, jak bardzo chciałem cię uszczęśliwić, czy też bałem się o swoją pracę.

Jeśli chcesz, aby ludzie postępowali zgodnie z tym, ponownie rozważ motywacje i miej powód, dla którego mogą brać poważnie ! A jeśli nie możesz, możesz znaleźć inny sposób na osiągnięcie pożądanego efektu, na przykład nie umieszczanie monitorów w miejscach, w których odwiedzający mogą zobaczyć, co jest na ekranach. (i tak to prawdopodobnie dobry pomysł)

Żeby było jasne, nie próbuję kpić z twojej sytuacji; w rzeczywistości możesz mieć bardzo realny problem, który próbujesz rozwiązać.

Ale ważne dla zachowania pracowników nie jest rzeczywistość sytuacji, ale to, jak ją postrzegają. Sposób, w jaki jest to prezentowane, brzmi jak odruchowa reakcja, która może nawet nie rozwiązać problemu, który może nawet nie istnieć.

Ponadto możesz nie myśleć, że pytasz o wiele z nich, ale małe przerwy mogą poważnie zakłócić przepływ pracy danej osoby, więc mają rzeczywiste powody, by nie zgadzać się na takie rzeczy.

Zatem potrzeba ponownej oceny motywacji; aby pokazać pracownikom, że jest prawdziwy problem, ta polityka faktycznie go naprawi i nie ma lepszej alternatywy, która nie przeszkadzałaby im tak bardzo, zakładając, że to wszystko rzeczywiście prawda.

Jesteś ich menadżerem. Muszą robić to, co mówisz. Nie zachęcaj ich do zamykania maszyny. Powiedz im, że muszą zamknąć swoją maszynę. Krótko wyjaśnij zagrożenia bezpieczeństwa i potencjalną dezaprobatę interesariuszy i wyjaśnij, że blokowanie ich maszyny nie jest opcjonalne.

Jeśli nie są one zgodne z Twoją dyrektywą, masz znacznie większe problemy niż odblokowane ekrany. Specjaliści powinni być przyzwyczajeni do przyjmowania poleceń od przełożonego i do ich przestrzegania. Nie powinieneś uciekać się do gier, żartów lub chwytania za ręce, aby oczekiwać profesjonalizmu od swojego personelu.

Wspominasz, że poruszyłeś ten temat na spotkaniach, ale nie mówisz, że się udało jasne, że musi się skończyć. Zrób to, co byś zrobił dla każdej innej polityki:

• Wspomnij o tym jeszcze raz podczas następnego cotygodniowego spotkania z załogą.
• Miej oko na ludzi, którzy nie przestrzegają Twojej dyrektywy.
• Porozmawiaj z nimi o tym podczas następnego spotkania jeden na jednego.
• Jeśli pojawi się ponownie, poinformuj ich, że jest to dyrektywa, której muszą przestrzegać, a ciągłe nieprzestrzeganie tej dyrektywy zostanie odnotowane podczas ich następnego przeglądu wyników.
• Jeśli będzie się powtarzać, zapisz to podczas następnego przeglądu wyników.

Może to zabrzmieć ostro, ale nie musi. Zawsze miałem świetne relacje z moimi przełożonymi i podwładnymi i łatwo to zrobić, gdy wszyscy przestrzegają zasad. Kiedy ktoś nie przestrzega zasad, edukujesz go o powodach ich istnienia i ponownie instruujesz, aby przestrzegali zasad. Udokumentuj, co robią, co jest niezgodne z zasadami. To twoja praca jako menedżera.

Cokolwiek robisz, nie zachęcaj ludzi do korzystania z komputerów innych osób z jakiegokolwiek powodu.

Jaka jest polityka firmy? Rozumiem, że chcesz, aby zablokowali swoje maszyny, ale czy naprawdę jesteś za to odpowiedzialny? Twoja rola jako menedżera polega na prowadzeniu pracowników w podejmowaniu decyzji i wykonywaniu zadań. Jeśli nie ma korporacyjnej polityki na ten temat, to potencjalnie nie jest to coś, co musisz egzekwować.

Przyjrzałbym się również ich nawykom przeglądania. Jeśli zdarza się to tak często, jak mówisz, to myślę, że warto się zastanowić, czy może dzieje się to za dużo. Klienci będą patrzeć na swoje ekrany podczas wizyty - nie tylko wtedy, gdy maszyna jest zablokowana.

Workowate spodnie : oryginalne i wciąż najlepsze!

[Georgia Tech] „Workowate spodnie” są używane do upominania hakerów, którzy nieostrożnie zostawiają odblokowane terminale . Poszkodowany użytkownik wróci, aby znaleźć od nich post na wewnętrznych grupach dyskusyjnych omawiający dokładnie, jak workowate są ich spodnie, akceptowany zastępca „nieuważnego użytkownika, który zostawił swoją pracę bez ochrony w klastrach”. Dobrze wykonane luźne spodnie są bardzo kpiące i zabawne. Wysyłanie luźnych spodni do grup dyskusyjnych poza kampusem lub bardziej technicznych, poważnych grup uważa się za złą formę. Szczególnie ładne luźne spodnie można „odebrać” przez natychmiastowe zacytowanie całej wiadomości, a następnie blok sig; ma to dodatkową zaletę polegającą na tym, że zawstydzona ofiara nie może usunąć posta. Powstały ciekawe luźne spodnie, polegające na dodawaniu poleceń do skryptów logowania w celu ponownego wysłania wiadomości za każdym razem, gdy pechowy użytkownik się zaloguje; Skrzynki uniksowe w sieciach domowych, po pęknięciu, często są zastępowane (po grzecznym skopiowaniu ich do innego pliku) wiadomością typu baggy-pants; Pliki .plan są również czasami kierowane. Użycie: „Prof. Greenlee ponownie zasnął w gromadzie Solaris; zapakowaliśmy go do git.cc.class.2430.flame ”.

Źródło: http://www.catb.org/jargon/html/B/baggy -pantsing.html

Możesz użyć tagów NFC, aby wyzwolić blokowanie / odblokowywanie stacji roboczej (w zależności od tego, jak rygorystyczna jest polityka bezpieczeństwa, może być konieczne zachowanie haseł w celu odblokowania komputera) stacji roboczej.

Umieść tag na telefonie komórkowym (zwykle ludzie mają tendencję do chwytania telefonu, gdy odchodzą od biurka). Dostarczone przez firmę telefony z modułem NFC mogą same służyć jako identyfikatory. Alternatywnie, tagi można przyczepić do breloczków, ale to oczywiście nie jest rozwiązanie kuloodporne iz mojego doświadczenia wynika, że ​​ludzie będą po prostu odchodzić od biurka w pośpiechu, bez zabierania telefonów i pozostawiania odblokowanego komputera. Jednak zachowania użytkownika nie można zmienić w ciągu nocy, co może bardzo pomóc w przypadku pozostawienia odblokowanych stacji roboczych. Potraktuj to jako łatwą i skuteczną krótkoterminową naprawę. Właściwe szkolenie pracowników i świadomość bezpieczeństwa to zawsze najlepsze rozwiązanie długoterminowe.

Na zupełnie drugim końcu spektrum firma Microsoft ma zasadę ognia na miejscu, jeśli złapie Cię z odblokowanym komputerem.

Zawsze możesz poinformować ich, że zostaną zwolnieni / upomnieni, jeśli zostawiają odblokowany komputer. Jeśli uważasz, że sytuacja jest uzasadniona (co może nie mieć miejsca w tym przypadku), egzekwowanie polityki firmy, która pociąga za sobą poważne konsekwencje, jest zawsze inną opcją, która zwykle przynosi rezultaty.

Często największą przeszkodą jest to, że blokowanie wymaga zbyt wiele przemyśleń”.

• Informatycy często zapominają, że większość ludzi ma duże trudności pamiętanie , gdzie jest opcja, nie mówiąc już o skrócie klawiaturowym - i w rezultacie szybko się poddaje, gdy uznają coś za zbyt trudne.

  Wydrukuj to jako naklejkę i przyklej do dół monitora ludzi:

  

  Oczywiście możesz potrzebować różnych wersji, jeśli ludzie używają różnych systemów operacyjnych itp.

Pierwsze wykroczenie

Zwykle po prostu otwieram Notatnik (nie klienta poczty e-mail ani nic w tym rodzaju - nie chcę tego widzieć) i zostawiam uprzejme przypomnienie, że powinien zablokuj swój komputer przed odejściem od biurka, aby zachować zgodność z polityką bezpieczeństwa, a następnie zablokuj swój komputer dla nich, aby mogli zobaczyć notatkę po ponownym zalogowaniu.

Późniejsze wykroczenia

Jeśli napotkam to po raz drugi lub trzeci, zablokuję ich hasło, więc trzeba je zresetować (mamy mały, przyjazny zespół tutaj więc nie jest to kłopotliwe).

Dość szybko dowiadują się, że zablokowanie komputera jest szybkie i łatwe i jest mniej kłopotliwe niż wykonanie krótkiej rozmowy telefonicznej w celu odblokowania konta.

Nasza firma ma naprawdę skuteczny sposób na powstrzymanie tego. Jeśli ktoś z działu IT zobaczy, że Twój komputer jest odblokowany, zmieni tapetę lub wygaszacz ekranu na coś głupiego. W ten sposób każdy może stwierdzić, że raz zostawił swój komputer odblokowany. Jest więc zabawny, a jednocześnie zapewnia pewną karę. IT informuje o tym wszystkich pierwszego dnia pracy, więc nie jest zaskoczeniem dla kogokolwiek to się stanie.

Częściowa odpowiedź:

W jednej z moich poprzednich prac mogliśmy wejść na Facebooka, reddit lub farmville, ale musieliśmy to zrobić z osobnego publiczna stacja robocza Chrome Box (Chrome Box jest podobny do Chromebooka, ale w formie komputerowej). To samo dotyczyło osobistych rozmów telefonicznych, był do tego specjalny obszar. Istniał wyraźny rozdział między pracą a sprawami osobistymi.

Korzystanie z Chromebooka / ChromeBoxa w tym celu było świetne. Wystarczyło zalogować się na swoje konto Gmail, a wszystkie osobiste karty, które skonfigurowałeś ostatnio, po prostu wyskakują. A jeśli ktoś się spieszył, mógł po prostu zalogować się w trybie incognito i bardzo szybko znaleźć coś.

To samo dotyczy nocnych dozorców i ochroniarzy. Mogli używać tych stacji Chrome, ale gdyby zostali przyłapani na innej stacji roboczej, byłoby to poważne naruszenie bezpieczeństwa.

I proszę, nie zrozumcie mnie źle, to, co sugeruję, to znowu tylko częściowa odpowiedź na pierwotne pytanie. Dobre zabezpieczenia mają wiele warstw. A to oddzielenie pracy osobistej od pracy jest tylko jedną dodatkową warstwą, którą firma może zastosować, oprócz niektórych innych środków bezpieczeństwa, które zostały już zaproponowane jako odpowiedzi.

Ustaw zasady dotyczące haseł, aby zachować rozsądną równowagę między bezpieczeństwem a możliwością szybkiego ich zapamiętania i wpisania. Jeśli jest to zbyt skomplikowane lub ludzie muszą pomyśleć , jakie jest ich aktualne hasło w tym tygodniu, kusi, aby zostawić otwarty komputer. Rozważ czujniki biometryczne na klawiaturze, jeśli ludzie czują się z nią dobrze.

Następnie przypomnij programistom, że masz zasady bezpieczeństwa z dobrego powodu i że płacą im za ich przestrzeganie.

Najpierw myślę, że powinieneś wyjaśnić swojemu zespołowi , dlaczego muszą to zrobić. Jak wspomniano w innych odpowiedziach, odwiedzający, którzy widzą otwarte karty przeglądarki, nie są największym ryzykiem, naruszenie bezpieczeństwa systemów jest znacznie większym ryzykiem. Tylko wtedy, gdy ludzie zrozumieją, dlaczego, wdrożenie niektórych z sugerowanych gier biurowych ma sens, aby pomóc im stworzyć dobry nawyk blokowania ekranów.

Istnieją również rozwiązania techniczne. Istnieją aplikacje, takie jak BlueProximity, które blokują ekran, gdy urządzenie BlueTooth użytkownika przekroczy pewien próg. Może to być telefon lub, jeśli ludzie nie noszą telefonów przy sobie, latarnia BlueTooth, którą należy trzymać w kieszeni.

Ty i firma musicie zdecydować, czy jest to „poważny” problem, czy nie. Jeśli tak nie jest, najlepiej zapytaj i miej nadzieję, że twoi programiści okażą ci szacunek w tej sprawie. Przypuszczam, że możesz obniżyć ocenę ich recenzji za powtarzające się naruszenia. Powinno to przekonać kilku nonkonformistów, gdy zdadzą sobie sprawę, że traktujesz swoją prośbę poważnie i pociągnie za sobą konsekwencje za nieprzestrzeganie.

Jeśli uważasz, że jest to poważny problem, powinieneś traktować go jako taki. Wiele firm uważa to za zagrożenie bezpieczeństwa i traktuje to w ten sposób. W związku z tym osoby, których terminale zostały wykryte jako odblokowane, otrzymują informację o „naruszeniu bezpieczeństwa”. W firmach, które wymagają „zezwoleń”, kilka z nich i Twoja zgoda zostaną cofnięte. Firmy tego typu są zobowiązane do samodzielnego zgłaszania się, więc nie ma możliwości niezgłaszania naruszenia. To cofnięcie zezwolenia zwykle idzie w parze ze zwolnieniem, ponieważ bez zezwolenia osoba ta nie ma wiele pożytku. Jeśli brzmi to zbyt ekstremalnie w twojej sytuacji, po prostu odłączenie komputera danej osoby od sieci z powodu rażącego lekceważenia bezpieczeństwa i luki, jaką tworzą dla użytkowników sieci, również znacznie zmieniłoby zachowanie.

Jeden Na koniec śmieję się z tego, jak wiele z tych postów zaleca zrobienie czegoś na komputerze „sprawcy” lub podszywanie się pod tego użytkownika. Większość polityk bezpieczeństwa surowo zabrania robienia którejkolwiek z tych rzeczy, a te działania są w rzeczywistości gorszymi wykroczeniami niż pozostawienie odblokowanego ekranu. Zamiast więc mieć jedno stosunkowo niewielkie naruszenie bezpieczeństwa, zintensyfikujmy to i popełnijmy znacznie poważniejsze naruszenia bezpieczeństwa. Co za wspaniały pomysł.