На моем рабочем месте мой начальник иногда повторно активирует мой компьютер из спящего режима и сбрасывает мой пароль, чтобы войти в мою учетную запись Windows.
Я знаю, что компьютер принадлежит компании, но я привык хранить свои пароли на этом компьютере, и меня беспокоит, что он может с ними сделать.
Причина, которую он использует, чтобы оправдать это, заключается в том, что иногда он хочет знать, есть ли что-нибудь незафиксированное на моем компьютере, чтобы он мог зафиксировать от моего имени.
Он должен иметь доступ к компьютеру, но не к учетным записям .
Судя по вашему описанию, он конкретно хочет получить доступ к учетным записям, чтобы действовать от вашего имени. Это должно нарушать политики вашего ИТ-отдела по двум причинам.
Проверьте свою ИТ-политику, в большинстве мест есть правило, что это недопустимо.
Две вещи, о которых стоит подумать:
если бы вы обсуждали жалобу на своего начальника с HR, они могли бы это выяснить.
если ваш босс имеет доступ к вашей машине и что-то сломает, будет казаться, что это сделали вы.
Везде, где я когда-либо работал, такое поведение полностью противоречит политике компании по причинам, изложенным выше. Это открывает перед компанией потенциальные юридические проблемы, если они когда-нибудь решат вас уволить.
Я так понимаю, босс входит как администратор и сбрасывает ваш пароль, чтобы он мог войти в систему как вы. Акт сброса пароля записывается. Учетная запись, которая повторно отправила вам пароль, записывается вместе со временем.
Это просто не имеет смысла. Если он может войти как администратор, то он может просматривать все файлы. Нет смысла входить в систему как вы, если вы не хотите выдавать себя за вас.
Причина, которую он дает,
Он хочет знать, есть ли что-то незафиксированное на моем компьютере, чтобы он мог зафиксировать от моего имени.
Это не разумная цель. Если бы код был готов к фиксации, вы бы его зафиксировали. Если он хочет зафиксировать код, он должен сделать это под своим именем.
Я получаю, возможно, аварийную сборку, но не принимаю, что это должно происходить на регулярной основе.
Это оборудование компании, поэтому в США, вероятно, законно. Никакая законная ИТ-политика не будет принята. Пользователь, не работающий в ИТ, не имеет прав администратора. Разработчики иногда работают в ИТ, и некоторым доверенным разработчикам предоставляются права администратора, но ожидается, что они не будут использовать эти записи для смены паролей и входа в систему как этот человек.
Другие уже упоминали, почему кто-то вносит код, не зная, почему вы этого не сделали, это глупо и что использование вашей учетной записи с высокой вероятностью противоречит политике компании. В некоторых юрисдикциях незаконно.
Но вы намекнули, что ваша главная забота — это сохраненные пароли. Поместите их в программу менеджера паролей, для доступа к которой требуется «мастер-пароль» (который знаете только вы), например password1 или KeePass (или Firefox). И, если возможно, поместите это приложение и его БД на USB-накопитель.
Как вы указали, компания владеет компьютером. Поскольку они владеют компьютером, ваш менеджер или любой другой человек с авторизацией и правами администратора может войти в ваш компьютер, если они не злоупотребляют доступом таким образом, чтобы поставить под угрозу вашу работу. Эмпирическое правило: не храните личную финансовую информацию или резюме на своем компьютере. Пусть работа остается работой, чтобы не только защитить вашу личную информацию, но и ограничить ущерб, который может быть нанесен, если кто-то, имеющий доступ, попытается совершить злонамеренную деятельность от вашего имени.
В одной из моих предыдущих сред для менеджеров было обычным делом обращаться к компьютерам своих сотрудников, потому что люди хранили файлы проектов и документы по ипотечным кредитам локально на своих машинах; поэтому, когда этот человек был болен, и клиенту нужно было изменить дату закрытия, менеджер должен был получить доступ к компьютеру этого сотрудника, чтобы получить исходный документ. Я знаю архаичную систему, но это всего лишь один случай уважительной причины, по которой менеджеру может потребоваться доступ к компьютеру сотрудников.
Это зависит от страны и конкретной ИТ-политики.
В Великобритании по умолчанию это НЕ приемлемо. Ваш начальник будет иметь право контролировать вашу рабочую деятельность, но если вы вошли в свою личную учетную запись электронной почты, ваш начальник не будет иметь права контролировать это.
Однако, чтобы противостоять этому, стандартной практикой является включение в ваш контракт или политику допустимого использования пункта, в котором говорится, что «оборудование компании нельзя использовать в личных целях». Если этот пункт присутствует, то ваш начальник имеет право контролировать все использование рабочего компьютера.
Законы многих стран аналогичны британским, но есть и заметные отличия. Например, в Германии у вас более сильное право на неприкосновенность частной жизни.
Источник: я работал в области информационной безопасности в течение нескольких лет и узнал об этом на различных курсах, которые я посещал (например, SANS). Боюсь, у меня нет под рукой ссылок, но вы без труда сможете их найти.
Простой ответ: не храните свои пароли на своем компьютере и не используйте какое-либо приложение для связки ключей, которое не использует систему пароля для входа в систему.
Как упоминали другие люди, ваш менеджер, вероятно, не соответствует политике ИТ-безопасности. Возможно, стоит тактично сообщить вашей ИТ-поддержке, что ваш пароль неоднократно сбрасывался, и позволить им предпринять какие-либо действия.
Чего-то, чего пока не хватает в других ответах, заключается в том, что в случае незафиксированных изменений их не должен совершать ваш босс, и это не является разумным оправданием. Я имею в виду системы управления версиями разработки программного обеспечения, но это в равной степени применимо к юридическим документам или другой «жизненно важной» работе, которую, возможно, необходимо будет выполнить своевременно: как ваш начальник узнает, что изменения завершены, протестированы, проверены? , готовы и т.д.?
Причина, которую он использует, чтобы оправдать это, заключается в том, что иногда он хочет знать, есть ли что-нибудь незафиксированное на моем компьютере, чтобы он мог зафиксировать от моего имени.
Хотя я сомневаюсь, что это правда, если бы это было так, с этим нужно было бы обращаться по-другому.
Настройте общий диск, на котором находится рабочий контент. Или настройте политику, согласно которой рабочие файлы в вашей учетной записи в специальном каталоге доступны только для чтения другим сотрудникам. так далее
Существует множество способов разрешить доступ к рассматриваемым файлам, которые не делают необходимым каким-либо образом выдавать себя за вас.
Было бы разумно создать такую систему/политику, чтобы можно было получить доступ к рабочим файлам в случае чрезвычайной ситуации, например, когда вы будете недоступны.
Я бы спросил у босса, почему это не вариант.
Для этого есть три уровня.
Уровень 1. Имеет ли мой менеджер доступ к МОЕМУ рабочему компьютеру? Это зависит от. Ваша компания определит, какие права есть у каждого в компании. У вашего менеджера есть это право, если компания говорит, что он имеет право, и он не имеет права, если компания говорит, что он его не имеет. Я бы согласился с тем, что мой менеджер получит доступ к моему компьютеру, скажем, если бы я попал в аварию и важная информация была только на моем компьютере. Если бы это произошло без очень веской причины, я бы очень, очень разозлился, и это было бы нехорошо.
Уровень 2: Что насчет моей конфиденциальности? В зависимости от страны, в которой вы находитесь, личная информация может быть надежно защищена, даже если она находится на компьютере, принадлежащем компании, и не должна быть на этом компьютере. Или он может быть полностью незащищен на вашем рабочем компьютере.
Уровень 3: Юридические аспекты. И здесь у нас большой, большой красный флаг. Генеральный директор вашей компании не имеет никакого права доступа к компьютеру своего бухгалтера. Ваш менеджер не имеет права вносить изменения от вашего имени . Как разработчик программного обеспечения ,код на моем компьютере находится в стадии разработки, и в любой момент времени он может оказаться в состоянии, которое может оказаться между дорогостоящим и фатальным, если оно будет зафиксировано и отправлено клиентам. (Я мог бы написать программу, которая доставляет товары клиентам, отправляет счет клиенту и записывает, что клиент должен деньги компании. Если только две из этих трех частей будут завершены, а мой начальник завершит эту незавершенную работу, это будет фатально. ). Есть много отраслей, где доступ к данным строго контролируется, и то, что делает босс, может привести к уголовному преследованию и огромной ответственности для компании.
Ерунда с нарушением безопасности — это просто нелепая чепуха.
Вы вводите пароль на частном компьютере, следовательно, он может быть или не быть доступен его владельцам. Если есть настроенный домен, он может быть или не быть уже открытым текстом на контроллере домена. Пароль не является вашим секретом, это общий секрет. Общие секреты позволяют устанавливать доверенные и, возможно, зашифрованные каналы. Это не ваша личность!
Это моя компания, я могу также создать учетную запись с одинаковыми именами пользователей и паролями на каждом из моих компьютеров , которые все знают , и кто сказал, что я не имею на это права? Я работал в такой среде, никаких проблем не было. Это не твой звонок .
Помещение чьего-то реального имени в поле реального имени какой-либо доменной учетной записи ничего не меняет, этого недостаточно, чтобы что-то доказать в суде. Нет, даже если ваш босс никогда не входил в систему (что в принципе невозможно исправить), этот айтишник, сытый по горло всякой ерундой, вероятно, имеет права суперпользователя и может делать все, что захочет, и никто никогда не узнает.
Идея о том, что сгенерированные компанией учетные данные, автоматизирующие аутентификацию и предоставление доступа к принадлежащей компании инфраструктуре, а также информация, которой компания охотно поделилась с вами для автоматизации некоторых рабочих процессов так, как считает нужным, каким -то образом дает вам право на что-либо , вопиюще, неопровержимо абсурдна.
Компания может настроить любые процедуры автоматизации и аутентификации, которые ей нужны, и да, ваш босс может делать все, что захочет. Если, конечно, их босс не скажет, что они не могут, тогда вы идете к их боссу.
Конечно, ничто не подразумевает, являются ли эти методы хорошими или плохими в каком-то определенном смысле. Это решать компании, а не вам.
Конечно, опять же, если мы говорим о каком-то мошенничестве, это совсем другой вопрос. Вход в учетную запись электронной почты, предоставленную вашей компанией , может быть приемлемым, но отправка электронного письма вашей жене с вашей подписью в конце — нет.
Обратите внимание, что для этого не обязательно входить в какую-либо из «ваших» учетных записей, но это все равно является нарушением.
Отправка кода, который вы написали в рабочее время на частном компьютере компании, за который вам заплатили, в принадлежащий компании репозиторий и сборочную ферму — это нормально (из любой корпоративной учетной записи, с которой компания хочет, чтобы он был зафиксирован), но добавление вредоносного бэкдор-кода и тогда утверждать , что вы это сделали , не так.
Обратите внимание, что для этого не обязательно входить в какую-либо из «ваших» учетных записей, но это все равно является нарушением.
Видишь, куда я иду?
Моника Челлио
Стефан Бранчик
Человек в маске
Доктор Дж.
ПризрачныйБрайан
AStopher
Человек в маске
Гонки легкости на орбите
Ник
пользователь42272
эро
Джонбот
Патрис
ЗлоЗакуска
бта
#error "This commit was unauthorized"код для C). Если ваш босс попытается зафиксировать вашу работу, он сломает сборку. Теперь на его спине будут все организации по разработке и тестированию, и не только вы будете доказывать, что ему нужно остановиться.