מערכת שמזהה התחברות חריגה, מתעדת גישה לקובץ רגיש או מספקת תמונת מצב על שימוש בעמדות קצה יכולה להיות כלי אבטחה חיוני. אותה מערכת, כשהיא מופעלת בלי גבולות ברורים, עלולה להפוך למנגנון איסוף מידע אישי שחושף את הארגון לסיכון משפטי, תפעולי ומוניטיני. לכן השאלה האם ניטור עובדים עומד ברגולציה אינה מתחילה בבחירת מוצר, אלא בהגדרת המטרה, המידע הנאסף והשליטה בו.
בארגונים רבים ניטור עובדים נכנס בדלת האחורית: כלי ניהול תחנות קצה, פתרון גישה מרחוק, מערכת מניעת דלף מידע או פלטפורמת אבטחה אוספים לוגים כברירת מחדל. לעיתים הנתונים חיוניים לתחקור אירוע סייבר. לעיתים הם נשמרים חודשים ללא צורך, זמינים ליותר מדי בעלי תפקידים, או משמשים למדידת תפוקה שלא הוגדרה מראש. ההבדל בין שני המצבים הוא לא רק טכני.
האם ניטור עובדים עומד ברגולציה בישראל?
התשובה הקצרה היא: כן, בתנאים מסוימים. מעסיק רשאי להגן על נכסיו, על מערכות המידע שלו, על מידע מסחרי ועל מידע אישי של לקוחות ועובדים. הוא גם נדרש, במקרים רבים, ליישם בקרות אבטחה ולתעד אירועים. אבל זכות זו אינה מעניקה היתר לניטור בלתי מוגבל של עובדים.
בישראל, נקודת המוצא כוללת את הזכות לפרטיות, חוק הגנת הפרטיות, תקנות אבטחת מידע, דיני העבודה והעקרונות שנקבעו בפסיקת בתי הדין לעבודה (הלכת איסקוב). בפועל, בוחנים האם הארגון פעל לתכלית לגיטימית, האם הניטור מידתי, האם נאסף רק המידע הנחוץ, והכי חשוב - האם גובשה מדיניות ברורה והתקבלה הסכמה מדעת ומפורשת של העובדים לניטור.
אין כלל אחד שמתאים לכל כלי. תיעוד התחברויות למערכת פיננסית, למשל, יהיה בדרך כלל קל יותר להצדקה מאשר הקלטה רציפה של מסך העובד. ניטור תעבורת רשת לצורך איתור נוזקה שונה מהקמת דירוג אישי לפי דקות פעילות, צילומי מסך והקלדות. גם עבודה היברידית משנה את התמונה: מחשב ארגוני בבית אינו מבטל את חובת המידתיות, ובוודאי כאשר יש אפשרות לשימוש אישי מוגבל.
קודם מגדירים צורך עסקי ואבטחתי
הטעות הנפוצה היא להתחיל מרשימת יכולות של מוצר: הקלטת מסך, רישום אתרים, צילום מסך, ניטור יישומים, מעקב אחר קבצים או איתור מיקום. הדרך הנכונה היא הפוכה. יש להגדיר אירוע או סיכון שהארגון מבקש לצמצם, ורק אחר כך לבחור את הבקרה המצומצמת שמטפלת בו.
לדוגמה, אם המטרה היא לאתר גישה לא מורשית למערכות קריטיות, לוגי הזדהות, כתובות רשת, אירועי העלאת הרשאות וגישה לקבצים רגישים עשויים להספיק. אין בהכרח צורך לצלם את מסך המשתמש או לתעד את תוכן כל פעילותו. אם המטרה היא תמיכה מרחוק, אפשר להפעיל גישה מאובטחת לפי צורך, עם תיעוד סשן, אישור משתמש והרשאות מוגבלות בזמן, במקום להשאיר גישה קבועה לכל תחנת קצה.
מסמך מטרות קצר, שמאושר על ידי אבטחת מידע, משאבי אנוש, ייעוץ משפטי ובעל המערכת, מונע הרבה בעיות בהמשך. הוא צריך לענות על ארבע שאלות: איזה סיכון מטפלים בו, איזה מידע הכרחי לצורך הטיפול, מי רשאי לצפות בו, ומתי מוחקים אותו.
שקיפות אינה סעיף קטן במדיניות
עובד אינו צריך לגלות בדיעבד שהארגון אוסף מידע על פעולתו. מדיניות שימוש במערכות מידע צריכה להסביר בשפה ברורה אילו מערכות מנוטרות, איזה מידע עשוי להיאסף, לאילו מטרות, מי עשוי לגשת אליו, כמה זמן הוא נשמר ומהן מגבלות השימוש בציוד ארגוני.
לא מספיק להחתים עובד פעם אחת ביום הקליטה על מסמך כללי. כאשר מכניסים כלי חדש, מרחיבים יכולת ניטור, מחליפים ספק או משנים מדיניות, יש לבצע עדכון מסודר. הדבר קריטי במיוחד בכל הנוגע להפרדה הנדרשת בין תכתובות מקצועיות לתכתובות או חשבונות פרטיים של העובד (כגון תיבת דואר אישית), אשר הניטור שלהם אסור בהיעדר נסיבות חריגות ואישור חריג.
שקיפות גם משפרת את איכות הבקרה. כשעובדים מבינים שהארגון מנטר גישות חריגות כדי להגן על נתוני לקוחות ועל סביבת העבודה, ולא כדי לעקוב אחר כל דקה, ההתנגדות נמוכה יותר והדיווחים על חריגות משתפרים.
מידתיות: לאסוף פחות, להגן יותר
מידתיות היא העיקרון המעשי החשוב ביותר. מערכת יכולה טכנית לאסוף הכול, אך זו אינה סיבה להפעיל את כל המודולים. ארגון צריך להבחין בין טלמטריה חיונית לתפעול ואבטחה לבין מידע אישי עודף.
ניטור מאוזן בנוי בדרך כלל משכבות. בשכבה הראשונה אוספים נתונים מערכתיים כגון אירועי כניסה, שינויי הרשאות, התראות אנטי-וירוס, התקנת תוכנה, שימוש בהתקני אחסון ניידים וחריגות גישה. בשכבה השנייה מבצעים בדיקה ממוקדת לאחר התראה או חשד מבוסס. ניטור פולשני יותר, כמו צפייה במסך או איסוף תוכן תקשורת, צריך להיות חריג, מתועד ומוגבל בזמן ובהרשאה.
יש להימנע לחלוטין מאיסוף מידע רגיש או אישי שאינו קשור באופן ישיר ובלעדי לעבודה:
הודעות פרטיות, מידע רפואי, או נתונים הנוגעים לזכות ההתארגנות של העובדים. כאשר עובדים מהבית על מחשב אישי (BYOD), האתגר גדול אף יותר, ויש להקפיד שהכלים מנטרים אך ורק את הפעילות בסביבה הארגונית הסגורה ולא את הפעילות הפרטית של העובד.