Kontrola połączeń sieciowych

[Przemysław Maliński]

W dzisiejszych czasach każda firma traktuje dostęp do internetu na równi (a może nawet w sposób ważniejszy) z posiadaniem telefonów, czy programów do zarządzania przedsiębiorstwem. Trudno sobie dziś wyobrazić funkcjonowanie przedsiębiorstwa bez poczty elektronicznej, czy też możliwości wyszukania informacji w internecie. Równie ważnym staje się możliwość udostępniania własnych zasobów kontrahentom zewnętrznym lub też zupełnie obcym osobom (np. firmowe strony WWW). Wykorzystanie internetu znacznie obniża koszty i czas przepływu informacji. Sprzyja to wzrostowi wydajności pracy i zadowolenia pracowników. W efekcie poprawia to bilans firmy i zwiększa jej konkurencyjność. Konieczność posiadania połączenia z Internetem jest więc zatem dziś powszechna i oczywista.
Dostęp do internetu w firmie często nie jest wykorzystywany tylko do obowiązków zawodowych. Pośród dużej popularności serwisów społecznościowych, komunikatorów czy witryn wideo pracodawcy chcą dowiedzieć się jak tak naprawdę zostaje wykorzystany czas każdego pracownika korzystającego z komputera. Chodzi mi tutaj oczywiście o korzystanie w godzinach pracy z portali społecznościowych, dokonywania zakupów przez internet jak również sprawdzanie prywatnej poczty.

Wyniki badań pokazują, że ograniczanie internetowej aktywności osób zatrudnionych w sektorze małych i średnich przedsiębiorstw jest zjawiskiem powszechnym. Według ankiety przeprowadzonej na zlecenie firmy D-Link przez International Data Group ponad 80% firm stosuje różnego rodzaju działania regulujące. Do najczęściej blokowanych aplikacji należą oczywiście programy obsługujące wymianę plików:

Najpopularniejsze spośród blokowanych usług i aplikacji w firmach z sektora MSP (według badania przeprowadzonego przez International Data Group na zlecenie D-Link Polska)

W artykule:
http://webhosting.pl/Na.celowniku..kontrolowanie.aktywnosci.pracown...
możemy również przeczytać o sposobach kontroli pracowników jak i o aplikacjach wykorzystywanych do tego celu.

W punkcie 11.4.6. PN-ISO/IEC 17799 jest mowa o kontroli połączeń sieciowych.
Po przeczytaniu artykułu nasuwa mi się pytanie czy aby kontrola ta nie narusza prywatności pracownika? Czy monitoring miejsca pracy nie wpłynie na efektywność naszego działania?
Jakie zagrożenia, oprócz wymienionych w artykule można jeszcze dostrzec?

[Tadeusz Lemańczyk]

Pani Marto, jeśli dobrze zrozumiałem, powołuje się Pani na art. 267. kk z myślą o pracodawcy kontrolującym połączenia sieciowe w ramach swojego systemu informacyjnego celem zabezpieczenia tegoż. Zacznijmy zatem od zacytowania całego art. 267. kk.

Art. 267.
§ 1. Kto bez uprawnienia uzyskuje dostęp do informacji dla niego nieprzeznaczonej, otwierając zamknięte pismo, podłączając się do sieci telekomunikacyjnej lub przełamując albo omijając elektroniczne, magnetyczne, informatyczne lub inne szczególne jej zabezpieczenie, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2.
§ 2. Tej samej karze podlega, kto bez uprawnienia uzyskuje dostęp do całości lub części systemu informatycznego.
§ 3. Tej samej karze podlega, kto w celu uzyskania informacji, do której nie jest uprawniony, zakłada lub posługuje się urządzeniem podsłuchowym, wizualnym albo innym urządzeniem lub oprogramowaniem.
§ 4. Tej samej karze podlega, kto informację uzyskaną w sposób określony w § 1-3 ujawnia innej osobie.
§ 5. Ściganie przestępstwa określonego w § 1-4 następuje na wniosek pokrzywdzonego.

Czy w czasie pracy może Pani zadzwonić w WAŻNEJ sprawie prywatnej ze swojego telefonu prywatnego? Pomijając niektóre pomieszczenia niektórych zakładów pracy o bardziej rygorystycznych w tym zakresie wymogach, z pewnością tak. Czy może się Pani poczuć pokrzywdzona przez pracodawcę wykorzystującego dzisiejsze możliwości techniczne dla "wejścia" w takie Pani połączenia? Sądzę, że tak, gdyż w tej sytuacji pracodawca byłby właśnie taką, powyżej określoną, osobą "bez uprawnienia". Jednakże jego uprawnienia w odniesieniu do własnego systemu informacyjnego są niepodważalne. I w myśl zasady "ignorantia iuris nocet" ( http://www.zgapa.pl/zgapedia/Ignorantia_iuris_nocet.html ) żaden z pracowników nie powinien okazywać zdziwienia. A pracownik zaznajomiony z PN-ISO/IEC 17799 Technika informatyczna. Techniki bezpieczeństwa. Praktyczne zasady zarządzania bezpieczeństwem informacji. Copyright by PKN, Warszawa 2007 powinien wręcz taką troskę pracodawcy o swój system informacyjny zakładać.

[Tadeusz Lemańczyk]

W trosce o to byśmy w toku dalszej dyskusji nie zagubili istoty tego zagadnienia, zachęcałbym gorąco do postępowania takiego, jakie wynika z treści p. 11.4.6. Już w pierwszym jego zdaniu zawarta jest wyraźna sugestia o tym, aby p. 11.4.6 widzieć jako część całości (11 Kontrola dostępu) zdefiniowanej przez p. 11.1 Wymagania biznesowe wobec kontroli dostępu. W drugim natomiast jego zdaniu sugeruje się nam widzieć p. 11.4.6 przez pryzmat p. 11.1.1 Polityka kontroli dostępu. Mówiąc prościej - bezpieczeństwo systemu informacyjnego organizacji przede wszystkim. Reszta, w tym także ochrona prywatności pracownika, na tyle, na ile nie wchodzi w konflikt z zadaniem podstawowym jakim jest ochrona systemu informacyjnego. Każdy pracownik, który widzi to inaczej, nie zatrudnia się po prostu do wykonywania prac, które dla swej realizacji wymagają aplikowania systemu informacyjnego, ale zatrudnia się do wykonywania prac prostszych, których we współczesnym świecie jeszcze trochę zostało.

[Anita Krotofil]

"Objetivo: Controlar acesso à informação.
Convém que o acesso à informação, recursos de processamento das informações e processos de negócios
sejam controlados com base nos requisitos de negócio e segurança da informação.
Convém que as regras de controle de acesso levem em consideração as políticas para autorização e
disseminação da informação."

Oczywiście, że bezpieczeństwo informacji jest bardzo ważne. Pracuję w takiej instytucji, w której przy zatrudnieniu obiecywałam zachować tajemnicę służbową. Mam więc ograniczony dostęp do internetu, a skrzynka e-mailowa może być wykorzystywana tylko przy kontakcie z innymi pracownikami lub ewentualnie z klientami. Przy przydzieleniu mi adresu e-mail, zostałam poinformowana o możliwości skontrolowania moich korespondencji przez szefa.
Oczywiście, świadoma konsekwencji, nie korzystam ze służbowego e-maila w celach prywatnych. Gdybym jednak naruszyła tajemnicę służbową i , np. przesyłała dane osobom niepożądanym, grozi mi odpowiedzialność karna i, oczywiście zwolnienie dyscyplinarne. Wiem, ponieważ jedną, zatrudnioną niedawno osobę, taki los spotkał.

Uważam, że moja postawa jest dobra i, jeśli każdy miałby taką postawę, myślę, że nie byłby to taki wielki problem. I uważam, że prywatne e- maile powinny być wykonywane tylko w domu, a w pracy należy wykonywać tylko i wyłącznie swoją pracę. Na załatwienie spraw prywatnych przysługuje jedynie ustawowa przerwa w pracy.

A co do pytania kolegi Przemysława ("Po przeczytaniu artykułu nasuwa mi się pytanie czy aby kontrola ta nie narusza prywatności pracownika?"), to odpowiedź jest prosta. Może i narusza to prywatność pracownika, ale tylko za jego wiedzą. Ale o tym radzę przeczytać: http://mojafirma.infor.pl/praca-ubezpieczenia/porady/71932,Granice-...

[Tadeusz Lemańczyk]

"Controlar acesso à informação" - serdeczne dzięki, Pani Anito. Ten portugalski wariant poniższego fragmentu

Cel: Kontrolowanie dostępu do informacji.
Zaleca się, aby dostęp do informacji, środków przetwarzania informacji i procesów biznesowych był kontrolowany na podstawie potrzeb biznesowych i wymagań bezpieczeństwa.
Zaleca się, aby zasady kontroli dostępu uwzględniały politykę dotyczącą rozpowszechniania informacji i przyznawania uprawnień.

punktu 11.1 Wymagania biznesowe wobec kontroli dostępu obecnego w PN-ISO/IEC 27001, portugalski z naleciałościami brazylijskimi, jak mniemam ( http://www.scarniel.com.br/arquivos/Sidimar_Carniel_Firewall.pdf ), pozwolił mi na chwilę z prawdziwą przyjemnością wrócić do rozmowy z pewną Brazylijką zamieszkałą podówczas na Florydzie {459 Portuguese, English, and Polish (I) 03/19/1999 6:25 PM, TadFromPoland; 460 Portuguese, English, and Polish (II) 03/19/1999 6:30 PM, TadFromPoland; 462 Hello Tad 03/20/1999 11:20 PM, Brazilclub; 463 Hi Tad 03/20/1999 11:22 PM, Brazilclub; 466 Hi Kristina 03/21/1999 8:49 AM, TadFromPoland; 468 Yesssssss! Tad 03/22/1999 6:02 PM, Brazilclub [ http://www.lemant.user.icpnet.pl/tad/floor6a.html ], dostępne obecnie pod adresami http://www.lemant.user.icpnet.pl/tad/bbs459.htm ; http://www.lemant.user.icpnet.pl/tad/bbs460.htm ; http://www.lemant.user.icpnet.pl/tad/bbs462.htm ; http://www.lemant.user.icpnet.pl/tad/bbs463.htm ; http://www.lemant.user.icpnet.pl/tad/bbs466.htm ; http://www.lemant.user.icpnet.pl/tad/bbs468.htm }. :-)

[Anna Helwing]

Moim zdaniem to zdecydowanie bardzo mała liczba jak na firmy. Zdziwiły mnie różnice procentowe w poszczególnych kategoriach blokowanych aplikacji. Większość pracodawców nie jest do końca świadoma czym tak naprawdę zajmuję się pracownik podczas korzystania z internetu podczas pracy.
Mam znajomą, która praktycznie cały dzień pracuję korzystając z komputera podczas pracy i zaskakująco dziwi mnie, ile ona ma czasu przebywać np. na gadu-gadu podczas kiedy powinna wykonywać swoje obowiązki.
Myślę, że takie zabezpiczenia przydają się, kontrolując dzięki temu swoich pracownika.

Zastanawia mnie czy tylko małe i średnie firmy korzystają z takich rozwiązań? Czy może większe przedsiębiorstwa bardziej kontrolują wejścia jak i wyjścia przez połączenia sieciowe np. korzystając tylko z połączeń wewnątrz firm? Co o tym sądzicie?

[Tadeusz Lemańczyk]

A co byście o zasadności kontroli połączeń sieciowych [i - co niemniej ważne, ale prowadzące nas już do innego wątku dyskusyjnego, a mianowicie do wątku Volunti non fit iniuria ( http://fedcba.ning.com/group/bi/forum/topics/volunti-non-fit-iniuria ) - wyrażeniu przez zainteresowanych zgody na taką kontrolę] dodali po skrupulatnym przestudiowaniu poniższej wiadomości?

Izraelskie wojsko wprowadza zakaz korzystania z portali społecznościowych przez żołnierzy przebywających w bazach wojskowych - poinformowała agencja Associated Press.
Decyzje podjęto w ramach walki z wyciekami tajnych informacji i pojawianiem się w internecie krępujących filmów.
Jak powiedział podpułkownik Gadi Abudi, chodzi o to, by poufne informacje nie docierały do wrogów m.in. przez takie serwisy jak Facebook czy Twitter.
Abudi dodał, że zakaz będzie dotyczył tylko żołnierzy przebywających w bazach, gdzie odwiedzane przez nich portale mogłyby szkodzić wojskowym komputerom. Używanie telefonów komórkowych zostanie również ograniczone.
Niektórzy wojskowi publikowali na Facebooku zdjęcia, na których znęcali się nad zatrzymanymi Palestyńczykami. W internecie ukazały się także filmy przedstawiające izraelskich żołnierzy tańczących na patrolu, a jedna z operacji wojskowych została odwołana, gdy pewien żołnierz na Facebooku ujawnił jej plan.
Izraelscy żołnierze nie będą mogli korzystać z Facebooka ( http://biznes.onet.pl/izraelscy-zolnierze-nie-beda-mogli-korzystac-... )