Когда под кожей чип
В апреле 2017 появилась новость, что сотрудники шведского бизнес-центра Epicenter согласились на имплантацию микрочипов, которые заменяют пропуски и кредитные карты. По мнению соучредителя и главного исполнительного директора Epicenter, главное преимущество таких чипов — удобство. В директора тоже вживлен имплантат, для демонстрации он машет рукой — и открывает дверь. Таким же взмахом руки включается ксерокс и оплачивается обед.
Технология не новая: компании используют чипы для отслеживания поставок, но никто еще не помечал людей. Вводятся имплантаты предварительно загруженными шприцами в мясистую область кисти, рядом с большим пальцем.
Компания Epicenter начала эксперимент в январе 2015 года — теперь около 150 работников — с чипами. Возникает очевидный вопрос: а нельзя ли отслеживать с его помощью, скажем, передвижения подчиненных?
Бен Либбертон, микробиолог из Каролинского института Стокгольма, подтверждает подозрения — с таких чипов можно получить данные о местонахождении, а также узнать, как долго сотрудник работает или отдыхает.
Если это правда, то имеет ли работодатель право контролировать людей тайно — прячась за формулировками про удобство и не говоря ни слова о функции слежки? И как вообще заниматься мониторингом законно и не раздражая людей?
Что еще?
Чуть ли не каждый аспект жизни офисного сотрудника сегодня измеряется, а все большее число корпораций и учреждений использует измеренную информацию для принятия решений, вплоть до увольнений.
Компания Humanyze производит бейджи с микрофоном и датчиком местоположения. Значки исследуют физические и вербальные взаимодействия людей и преобразовывают их в данные.
Например, бейдж измеряет «латентность» — как долго человек ходит, не произнося ни слова, когда и с кем общается. Компания Boston Consulting Group перепроектировала офис с учетом данных, полученных при мониторинге с помощью таких датчиков.
Однако работодателей в первую очередь интересует, чем занимаются их сотрудники за компьютерами. Отслеживание переписки и интернет-активности — повсеместная практика. Для этого устанавливаются системы контроля персонала: они покрывают общение в мессенджере и соцсетях, могут оснащаться кейлоггером и возможностью удаленного доступа к рабочему столу. А такие комплексные решения, как DLP-системы и вовсе предлагают использовать все эти инструменты вместе.
Последние устанавливают в первую очередь из соображений безопасности — защитить интеллектуальную собственность, коммерческую и конфиденциальную информацию от неправомерного использования и утечек.
А это законно?
Практика мониторинга стала нормой и в российской бизнесе. Правда, до таких изощренных методов, как имплантаты, дело не доходило, зато программы для мониторинга используются вовсю.
Так, в прошлом году lenta.ru писала, о российских работодателях, которые использовали средства контроля для сокращения штата и снижения затраты на выплаты зарплат. Средства мониторинга помогли им оставить наиболее продуктивный и лояльный персонал, «который сможет работать за двоих, совмещая несколько функций».
Да, конституция РФ охраняет право людей на «неприкосновенность частной жизни» (ч.1 ст.23 Конституция РФ), ведь «сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются» (ч.1 ст.24 Конституции РФ). Однако рабочее время и оборудование принадлежат компании.
Когда человек устраивается на работу, вместе с профессиональными услугами он продает личное время. Он выполняет трудовые обязанности и находится под правомерным контролем работодателя. Более того, среди положений для юридически корректного внедрения DLP-системы указывается, что корпоративные каналы связи и средства обработки информации должны использоваться исключительно для служебных целей. Работникам запрещено хранить личную информацию и передавать ее по каналам связи компании.
Как не заставить всех тебя ненавидеть
Хоть закон и позволяет работодателю устанавливать контроль за сотрудником, важно не переусердствовать и не вызвать шквал возмущения, как это вышло у героев следующей истории.
Владельцы газеты Telegraph захотели снизить затраты на электроэнергию и разместили под столами журналистов датчики, которые «видели», когда человек подымается с места. И никого не предупредили. Когда журналисты обнаружили под столами маленькие черные ящики с логотипом OccupEye, поднялся скандал, и после жалобы о вторжении в частную жизнь датчики были удалены.
Ни в коем случае нельзя забывать о социальных нюансах внедрения мониторинга. Сотрудники должны понимать, что мониторинг — часть информационной безопасности компании. Мировая практика рекомендует внедрять процесс «повышения осведомленности об информационной безопасности».
Существенный пункт программы security awareness — преобразование политики «нет» в политику «как». В идеале отделы безопасности должны учить людей правильно взаимодействовать с информацией в офисе и дома.
Специалисты, ответственные за информационную безопасность должны нести просветительскую роль, повышая осведомленность сотрудников в сфере ИБ, причем делать это на регулярной основе и в доступной форме — в виде презентаций, семинаров, но без непонятных рядовому сотруднику документов и выписок из них.
Целесообразно вовлечь в организацию этого процесса специалистов по работе с персоналом, чтобы правильно подать материал и организовать внутреннее обучение. Да, определенные действия, как хранение личной информации на корпоративных ресурсах, должны быть запрещены, но чтобы программа была успешной, лучше меньше принуждать, а больше поощрять.
Кибербез и геймдев
Сегодня в бизнесе популярно применение игровых принципов к ситуации — или Gamification. Это касается и повышения культуры кибербезопасности.
Игровая структура вознаграждения стимулирует людей вести себя правильно: они собирают балы, прочитав, например, публикацию о безопасности или сообщив о фишинге.
Реализация такой программы требует определенных усилий, но компании, повышающие осведомленность сотрудников в области безопасности, застраховывают себя от многих проблемам. Например, от таких скандалов, как с газетой Telegraph. Мониторинг не вызывает отторжения, когда он рассматривается как часть политики кибербезопасности.
Помимо этого, важно не только проверять, но и доверять. Если компания нанимает подходящих людей и дает им ясные, поддающиеся измерению задачи, то логично выстраивать отношения на доверии.
Источник: https://rb.ru/opinion/zabey-na-propusk/
