Aiemmin tänä vuonna kristillisen kustannusyhtiön toimitusjohtaja kokosi joukkonsa kokoukseen, jossa hän raivostui sisäisten lähteiden yrityksestä levittämistä huhuista – ja rankaisi sitten tuntemattomia syyllisiä erottamalla 25 työntekijää. Kokouksen aikana – joka keräsi lehdistössä huomiota, koska yksi työntekijöistä nauhoitti sen salaa – Ryan Tate paljasti, että hän oli seurannut työntekijöidensä tietokoneiden toimintaa yrittäessään selvittää, kuka oli syyllinen.
”Olen katsonut muualle… Olen luottanut sinuun. Hyvä luoja. Haluatko katsoa Netflixiä? Anna heidän katsoa Netflixiä. Antakaa heidän heittää se projektoriin, jos he haluavat. Haluavatko he olla Facebookissa koko päivän? Olkaa Facebookissa koko päivän. Toki maksan sinulle siitä. Se on ihan ok”, hän sanoi.
Ryan Tate, Tate Publishingin toimitusjohtaja (ei pidä sekoittaa Gawkerin/Wiredin… Ryan Tateen)
Hänestä oli ihan ok, että työntekijät hölmöilevät ympäriinsä, mutta ei sitä, että he haukkuvat yhtiötä. ”Sain lukea joitakin Facebook-sivujasi. Suosikkini on se, kun postaatte jotain ja sitten poistatte sen, ettekä usko, että arkistoimme kaiken.”
Otin tuolloin yhteyttä yritykseen kysyäkseni, miten he hoitavat seurantaa, mutta en saanut vastausta. Tatella saattoi olla yrityksen politiikka, jonka mukaan se valvoo työntekijöiden toimintaa sosiaalisissa verkostoissa, tai se saattoi kaapata heidän Facebook-istuntojaan heidän työtietokoneillaan (tai ehkä se oli pelkkää bluffia). Oli miten oli, Tate ei ole läheskään ainoa työnantaja, joka nuuskii työntekijöiden digitaalista toimintaa. FDA taistelee parhaillaan oikeuskannetta vastaan, jonka ovat nostaneet tiedemiehet, jotka väittävät saaneensa potkut, koska he olivat tehneet ilmiantoja, minkä liittovaltion virasto huomasi SpectorSoftin vakoiluohjelman ansiosta, joka kaappasi heidän sähköpostinsa ja tietokoneen toimintansa. Tiedostoja ylläpitävän urakoitsijan sotkun vuoksi vakoiluasiakirjojen 80 000 (!) sivua vuoti tilapäisesti verkkoon, mikä teki selväksi, kuinka laajaa seuranta oli.
Ei ole epätavallista, että työnantajat valvovat työntekijöiden tietokoneita ja jopa älypuhelimia, mutta monet työntekijät eivät ajattele tätä työpäivän aikana, vaan viettävät taukojaan katselemalla mahdollisesti arkaluonteisia henkilökohtaisia sähköposteja, käymällä seksikkäitä keskusteluja, selaamalla (toivottavasti ei liian skandaalinkäryisiä) Facebookin valokuva-albumeja tai kenties jopa tutustumalla työpaikkailmoituksiin muualla. Ennen kuin teet mitään liian törkeää työtietokoneellasi, kannattaa miettiä, valvotaanko sitä. Juttelin tietokonerikostutkija Michael Robinsonin ja tietoturvatutkija Ashkan Soltanin kanssa joistakin kertomuksista, jotka paljastavat, että sinua mahdollisesti tarkkaillaan.
Aluksi kannattaa tarkistaa työntekijän käsikirja tai tietokoneen käyttösopimus. Jos työnantajasi sanoo siinä, että tietokonetoimintaasi voidaan tarkkailla – mikä on melko tavallista – heillä on oikeus kurkistaa. Mutta sitten on kysymys siitä, käyttävätkö he todella tätä oikeutta hyväkseen.
”Se, pystytkö kertomaan, riippuu siitä, missä valvonta tapahtuu”, Robinson sanoo. ”Jos se tapahtuu ylävirtaan, palomuurissa, käyttäjän on vaikea tietää. Se vain kertoo työnantajille, millä sivustoilla työntekijät käyvät, joten he voivat esimerkiksi tarkistaa, kuinka moni työntekijä kävi Monster.comissa kyseisessä kuussa. Mutta jos he haluavat nähdä yksityiskohtaisempaa toimintaa, heidän on asennettava valvontaohjelmisto itse tietokoneelle.”
Turvatutkija Ashkan Soltani sanoo, että netalyzr.icsi.berkeley.edu:n kaltainen työkalu voi kertoa, valvotaanko sinua palomuurissa. ”Se osoittaa, että turvallisen viestinnän tiellä on jotain”, hän sanoo. ”Se ei ole sataprosenttisen luotettava, mutta usein se ”kertoo”.”
Jos olet yritysverkossa, kaikki muu kuin https-viestintä näkyy sille, joka valvoo verkkoa. Jotkut työntekijät luulevat virheellisesti, että jos he ovat Gmailissa tai Facebookissa – jotka tarjoavat https-suojauksen – että heidän viestinsä on salattu eikä kukaan voi lukea niitä. Tämä voi pitää paikkansa, jos valvonta tapahtuu tuotantoketjun alkupäässä, mutta on olemassa menetelmiä, joilla yritys voi nähdä salauksen läpi, koska se hallitsee verkkoa ja usein myös laitetta, jonka kautta käytät henkilökohtaisia tietojasi. Katso esimerkiksi tämä BlueCoatin opas salattujen istuntojen hallinnan saamiseksi. Ja jos ohjelmisto on itse tietokoneellasi, https-ssl ei todellakaan tarjoa suojaa.
Tietokoneen valvontaohjelmisto tallentaa näppäinpainalluksia ja kuvakaappauksia. Se tarkoittaa, että se voi rekonstruoida Gmail- tai Facebook-istuntosi (näin Tate Publishingilla saattoi olla tallenteita siitä, mitä sen työntekijät olivat laittaneet Facebookiin ja myöhemmin poistaneet). Tällaiset ohjelmat eivät näy sovelluksina, mutta ne näkyvät käynnissä olevina prosesseina.
- Jos käytät tietokonetta, voit nähdä käynnissä olevan prosessin painamalla Alt-Ctrl-Del-näppäintä ja avaamalla Tehtävienhallinnan. Siirry ”Prosessit”-välilehdelle.
- Macissa mene ”Launchpadiin”, tuo esiin ”Gadgetit ja vempaimet”, siirry sitten ”Apuohjelmat” -kohtaan ja napsauta ”Activity Monitor”.
Prosessilla on luultavasti harmiton nimi, mutta se on melko kiireinen, koska sillä on paljon toimintaa kaapattavana. Mistä sitten tiedät, onko jokin näistä prosesseista vakoiluohjelma? Yksi vaihtoehto on verrata omia prosesseja kollegan tietokoneella käynnissä oleviin prosesseihin. Jos toista teistä tarkkaillaan ja toista ei, huomaat todennäköisesti joitakin erilaisia prosesseja käynnissä. Jos teitä molempia kuitenkin tarkkaillaan, siitä ei ole paljon apua (”ja sinun pitäisi varmaan hankkia uusi työpaikka”, Robinson sanoo). Onneksi on olemassa toinenkin vaihtoehto tarkistuksen suorittamiseen.
Kummallista kyllä, monet näistä ”vakoiluohjelmista” ovat virustorjunta- ja haittaohjelmat merkitsevät ne haittaohjelmiksi. Hieno juttu. Tämän seurauksena jotkut näitä ohjelmistoja tarjoavat yritykset ovat tehneet ”valkoisia listoja”, jotta niitä ylläpitävät IT-osastot voivat varmistaa, että Symantec, McAfee ja muut tunnistavat niiden prosessit ei-pahiksiksi. Monissa tapauksissa nämä valkoiset luettelot ovat julkisia, joten voit nähdä tarkalleen, mitä tiedostonimet ovat. Jos FDA:n konsultit olisivat tarkistaneet prosessinsa, he olisivat todennäköisesti nähneet joitakin näistä suoritettavista tiedostoista SpectorSoftin valkoisen listan kautta heidän tietokoneillaan käynnissä.
SpectorSoft tarjoaa valkoisen listan vakoiluprosesseistaan, jotta IT-osastot voivat konfiguroida… Virustorjuntaohjelmat jättämään ne huomiotta
Tämän ansiosta, jos googletat näkemäsi oudon prosessin ja se on vakoiluohjelma, se todennäköisesti johtaa sinut takaisin vakoiluohjelmantoimittajan verkkosivustolle.
Kannattaa sanoa, että valitettavasti jotkin vakoiluohjelmat ovat viisaampia kuin toiset. ”Kehittyneemmät niistä käyttäytyvät enemmän kuin rootkitit, koska ne piilottavat itsensä näkyvistä”, Soltani sanoo.
”Työskentelin ennen yrityksessä, jossa irtisanomisen jälkeen henkilöstöhallinto käski IT-osastoa tarkkailemaan sinua varmistaakseen, ettei henkistä omaisuutta varasteta”, Robinson sanoo. ”Irtisanomispäivänäni Windows-päivitys ilmestyi. He luulivat olevansa ovelia. Kirjoitin ruudulle: ’Näen, että katsot minua, kun katsot, kun katsot, kun katsot minua.'”
”Jos pomosi todella avaa sähköpostisi ja lukee sen, voit ehkä upottaa sähköpostiviesteihin seurantamajakoita ja seurata, milloin ne avataan”, Soltani sanoo. Voit käyttää esimerkiksi emailprivacytester.com- tai ReadNotify-ohjelmaa — ohjelmaa, jolla eräs hullu fani tarkisti, lukeeko Jay-Z hänelle lähettämänsä sähköpostit.
Pomot, jotka tekevät täysimittaisia kaappauksia kaikesta, mitä heidän työntekijänsä tekevät, ovat luultavasti harvinaisuus, Robinson sanoo. ”He käyttävät enemmän aikaa valvontaan kuin johtamiseen”, hän sanoo.
Se tapahtuu todennäköisemmin, jos pomo on oikeasti huolissaan jostakin tietystä työntekijästä tai jos hän on huolissaan arkaluonteisten tietojen poistumisesta yrityksestä. FDA:n tapauksessa liittovaltion virasto oli huolissaan siitä, että konsultit vuotavat virastoa kritisoivaa tietoa kongressin jäsenille (ja he olivat oikeassa).
Koska työnantajasi voi vakoilla sinua monin eri tavoin – ja koska niitä kaikkia ei voi havaita – on luultavasti viisainta säästää kaikki liian arkaluonteiset tiedot henkilökohtaiseen laitteeseesi tai kotitietokoneeseesi.
Loppupuheenvuorossaan työntekijöilleen tuossa paljastavassa koko henkilökunnan kokouksessa kustantaja Ryan Tate sanoi: ”Olkaa älykkäitä erityisesti tällä digitaalisella aikakaudella. Ymmärrän, jos olet kotona ja valitat läheisellesi, mutta kuka menee nettiin sitä varten tai lähettää sähköpostia?”
Minä sanoisin, että jokainen. Mutta olkaa fiksuja sen suhteen miltä koneelta teette sen. Ja tietenkin, jos valitset turvallisemman vaihtoehdon eli kotikoneesi, pidä peukkuja, ettei läheisesi nuuski sinua siellä.