Patakaran sa Pagsubaybay sa Lugar ng Trabaho na Maaasahan

01Ano ang kailangang magawa ng patakaran sa pagsubaybay

May dalawang tungkulin ang praktikal na patakaran sa pagsubaybay: protektahan ang mga ari-arian ng kumpanya at magtakda ng mga hangganang mauunawaan ng mga empleyado. Ipaliwanag kung aling mga device, network, account, at datos ng negosyo ang ibinibigay para sa trabaho at anong pagsubaybay, pagtatala, paghihigpit, o pagsusuri ang inilalapat. Iugnay ang bawat gawain sa tiyak na layunin sa operasyon, seguridad, pagsunod sa mga kinakailangan, o imbestigasyon. Ang pagmamay-ari ng device ay hindi sapat na dahilan para sa walang limitasyong pagsubaybay.

Dapat ding alisin ng patakaran ang kawalan ng katiyakan. Kailangang malaman ng mga empleyado kung nagre-record ang kumpanya ng screen, sumusubaybay sa mga website at application, nagtatala ng mga keystroke o aktibidad ng file, nagre-record ng audio, o sumusubaybay sa mga device na ginagamit sa labas ng opisina. Kung may kakayahang ginagamit, sabihin ito nang malinaw. Ang mga palagay na hindi ipinaalam ay nagdudulot ng maiiwasang alitan at nagpapahina sa kabuluhan ng pagkilala ng empleyado sa patakaran.

Hindi ito dahilan para kolektahin ang lahat ng posibleng datos dahil lamang kaya ito ng software. Nakasalalay ang angkop na antas ng pagsubaybay sa tungkulin, sensitibidad ng datos, pagmamay-ari ng device, at panganib sa negosyo. Maaaring mangailangan ng mas mahigpit na kontrol ang workstation ng finance na humahawak ng payroll kaysa sa computer na pinagsasaluhan sa conference room. Iba ang kailangang hangganan para sa laptop ng kumpanya na ginagamit sa bahay kaysa sa personal na device na nakarehistro para sa limitadong pag-access.

02Tukuyin ang mga device, tao, at oras na sakop

Magsimula sa mga ari-arian at aktibidad na sakop ng patakaran. Tukuyin ang mga computer ng kumpanya, mobile device, server, email account, collaboration platform, VPN connection, cloud application, naaalis na storage, at network ng kumpanya. Kung pinapayagan ang mga personal na device, linawin kung sa pinamamahalaang work profile, virtual desktop, o aprubadong business application lamang ang pagsubaybay. Pangalanan din ang mga grupo ng empleyado at lokasyong sakop. Tiyaking kayang ipatupad ng teknikal na setup ang hangganang inilalarawan. Walang saysay ang pangakong work profile lamang ang sakop kung buong personal na device ang kinukuha ng software.

Dapat paghiwalayin ng maayos na patakaran ang aktibidad sa negosyo at personal na espasyo. Halimbawa, maaaring sabihin ng kumpanya na nagaganap ang pagsubaybay sa kagamitan at mga sistema nito, kabilang ang paggamit nang malayuan, habang iniiwasan ang pagsubaybay sa mga personal na device o account sa labas ng aprubadong kapaligiran sa trabaho. Gawing tahasan ang hangganan sa patakaran at tiyakin ito sa aktuwal na pagpapatupad.

Dapat ding talakayin ang paggamit sa labas ng oras ng trabaho. Kung pinapayagang gamitin nang personal ang laptop ng kumpanya, sabihin kung nagpapatuloy ang pagsubaybay at kung dapat asahang makikita ang personal na aktibidad. Binabawasan ng maraming organisasyon ang panganib sa pamamagitan ng paglimita sa personal na paggamit, sa halip na paghiwalayin ang pangtrabaho at pribadong aktibidad pagkatapos makolekta ang datos. Hindi nagiging angkop ang lahat ng pagkolekta dahil lang may abisong maaaring makita ang personal na aktibidad. Itakda at subukan ang pinapahintulutang oras ng pagsubaybay, kabilang ang muling pagkonekta ng device o pagbabago ng shift.

03Sabihin kung ano mismo ang kinokolekta ng pagsubaybay

Huwag itago ang paraan ng pagkolekta sa malawak na pananalitang legal. Tukuyin ang mga kategoryang aktuwal na kinokolekta ng mga sistemang ginagamit: mga larawan o recording ng screen, aktibong application, binisitang website, aktibidad sa paghahanap, paglilipat ng file, oras ng pag-sign in at pag-sign out, aktibidad ng process, koneksyon ng device, at mga pangyayaring may kinalaman sa seguridad. Ipaliwanag kung tuloy-tuloy, naka-iskedyul, o matapos lamang ang awtorisadong pagkilos ang pagkolekta sa bawat kategorya. Ihiwalay ang live na pagtingin sa mga nakaimbak na recording at sabihin kung may pagkolekta habang nagtatrabaho nang malayuan.

Kailangang hiwalay na suriin ang pag-record ng audio, paggamit ng webcam, at keystroke logging, dahil maaari nitong makuha ang pribadong usapan, kredensyal sa pag-access, at iba pang sensitibong impormasyon. Suriin kung may paraang mas kaunti ang panghihimasok ngunit sapat para sa parehong layunin. Paganahin lamang ang isang kakayahan kung may nakatalang katwiran, mahigpit na kontrol sa pag-access, at kinakailangang legal na pagsusuri, abiso, at pahintulot. Hindi sapat na awtorisasyon ang basta pagbanggit sa isang feature sa patakaran.

Dapat linawin ng patakaran na maaaring mag-block ng mga website, application, external storage, hindi aprubadong software, o hindi ligtas na function ng device ang kumpanya. Kung walang pagpapatupad, paulit-ulit lamang na makikita ng mga manager ang parehong problema. Kung may panganib mula sa social media, gaming site, hindi aprubadong cloud storage, o remote-control tool, tukuyin kung sino ang maaaring mag-apruba ng paghihigpit, aling mga device ang apektado, at paano hihiling ng eksepsyon para sa lehitimong trabaho.

Suriin ang mga setting ng Desktop Recorder nang hiwalay sa mga setting ng pag-uulat. Ang iskedyul ng screen recording lamang ay hindi nagtatakda ng panahon ng pagkolekta para sa mga ulat ng website, application, o keystroke. Para sa mga paghihigpit sa device, ipinapaliwanag ng gabay sa Tools and Restrictions ang kaibahan ng agarang pagkilos sa mga napiling computer at ng mga permanenteng paghihigpit na inilalapat sa lahat ng computer ng empleyado.

04Magtakda ng layunin sa negosyo para sa bawat kontrol

Mas malamang na sundin ng mga empleyado ang patakarang nag-uugnay ng pagsubaybay sa tunay na pangangailangan ng negosyo. Sabihin ang nilalayong resulta: beripikahin ang aktibidad sa trabaho, protektahan ang kumpidensyal na datos, tuklasin ang hindi aprubadong software, imbestigahan ang insidente, ipatupad ang katanggap-tanggap na paggamit, at magpanatili ng rekord kapag kailangang kumilos ang pamunuan.

Dapat gabayan ng layuning iyon ang pagpapatupad. Maaaring makatulong ang live na pagtingin sa screen sa pagsuporta sa bagong empleyado, pagtiyak na gumagana ang remote workstation, o pag-imbestiga ng pinaghihinalaang paglabag sa patakaran. Maaaring magpakita ang mga ulat ng website at application ng mga padron na kailangang suriin kaugnay ng pagba-browse na hindi pangtrabaho, hindi aprubadong software, o pagkaantala sa daloy ng gawain. Kung kinokolekta ng mga sistema ng seguridad ang file-access at process log, maaari itong makatulong sa pag-imbestiga ng paglipat sa labas ng aprubadong sistema. Nagdaragdag ng konteksto ang mga rekord ng aktibidad; hindi nito awtomatikong pinatutunayan ang pag-angkin ng oras na hindi ipinagtrabaho o paglilipat ng file.

Huwag gawing tanging layunin ang pag-uulat ng produktibidad. Maaaring mukhang aktibo ang isang tao ngunit mababa ang kalidad ng gawa, habang kaunti ang keyboard activity ng isang empleyadong lumulutas ng komplikadong problema ng customer o teknikal na suliranin. Dapat suportahan ng ulat ang pagpapasya ng manager, hindi palitan ito. Suriin ang tungkulin, nakatalagang trabaho, deadline, kalidad ng resulta, at nakasulat na inaasahan bago ituring ang datos ng aktibidad bilang patunay ng mahinang pagganap.

Halimbawa, kung ang alalahanin ay hindi aprubadong file-sharing software, magsimula sa pagtukoy ng application, pagtatasa ng gamit nito sa negosyo, at paglalapat ng aprubadong tuntunin sa application. Iba at mas mapanghimasok na impormasyon ang makukuha ng tuloy-tuloy na pag-record ng audio, kaya hindi iyon proporsyonal na kapalit ng kontrol sa application. Itala ang dahilan ng bawat pasya sa pagkolekta bago ipatupad.

05Kontrolin ang pag-access, tagal ng pag-iingat, at imbakan

Sensitibong impormasyon ng negosyo ang mga rekord ng pagsubaybay. Dapat pangalanan ng patakaran ang mga tungkuling awtorisadong tumingin sa live screen, magsuri ng recording, mag-export ng ulat, magbago ng setting, at mag-apruba ng imbestigasyon. Sa karamihan ng maliliit na negosyo, dapat limitado ito sa mga itinalagang IT administrator, tauhan ng seguridad, nakatataas na pinuno ng operasyon, at manager na may dokumentadong pangangailangang malaman ang impormasyon.

Ang paglilimita ng pag-access ayon sa tungkulin ay nakakatulong maiwasan ang basta pagtingin at mabawasan ang panganib na maging panloob na problema sa privacy ang datos ng pagsubaybay. Atasan ang mga administrator na gumamit ng sariling account, protektahan ang kredensyal, at magpanatili ng talaan ng mga administratibong pagkilos kung maaari. Hindi dapat makapagsuri ng rekord ang manager dahil lamang sa pag-uusisa. Itugma ang mga responsibilidad sa mga pahintulot ng tool, workstation ng administrator, at sistema ng imbakan. Kung walang nakapaloob na kontrol para sa kinakailangang pag-apruba o audit, idokumento ang hiwalay na prosesong nagbibigay nito.

Mahalaga rin ang mga tuntunin sa pag-iingat. Magtakda ng makatwirang panahon para sa bawat uri ng rekord ayon sa layunin at naaangkop na kinakailangan, sa halip na itago ang lahat sakaling magamit balang araw. Huwag itago ang lahat nang walang hanggan. Tumataas ang gastos sa storage, lumalawak ang epekto ng paglabag sa datos, at humihirap ang pamamahala kapag mas mahaba ang pag-iingat. Magtakda ng magkakaibang panahon para sa karaniwang ulat ng aktibidad, alerto sa seguridad, at ebidensyang pinananatili para sa aktibong imbestigasyon o legal na utos ng pagpreserba.

Para sa mga team na nasa iba’t ibang lugar, tukuyin kung saan nakaimbak ang mga recording at ulat at sino ang kumokontrol sa imbakan. Gumamit ng mga aprubadong repository na may malinaw na pahintulot sa halip na hayaang kumalat ang mga kopya sa computer ng mga administrator. Dapat idokumento ng mga organisasyong gumagamit ng cloud storage ang mga aprubadong destinasyon, kinakailangan sa encryption, at paraan ng pagbura.

Sa Net Monitor for Employees Pro, hiwalay na beripikahin ang pag-iingat ng recording at ulat, kabilang ang mga kopya sa computer ng empleyado, archive ng console, at aprubadong external na destinasyon. Hiwalay na kino-configure ang encryption ng recording sa lokasyon ng storage; huwag ipagpalagay na nae-encrypt nito ang bawat ulat ng aktibidad o na-export na file. Magtalaga ng taong susubok sa pagbura, magpoprotekta sa backup ng mga key, at mamamahala sa pinreserbang ebidensya ng insidente.

06Gawing aktuwal na proseso ang abiso at pagkilala ng empleyado

Ibigay ang patakaran bago magsimula ang pagsubaybay, sa pagpasok sa trabaho, at tuwing may mahalagang pagbabago. Kung naaangkop o kinakailangan, kumuha ng nilagdaan o elektronikong pagkilala na nagpapatunay na natanggap ng empleyado ang patakaran, nauunawaang maaaring subaybayan ang mga sistema ng kumpanya, at sumasang-ayong sundin ang katanggap-tanggap na paggamit.

Nakakatulong ang pagkilala para maitala ang pagtanggap at mabawasan ang kalabuan. Hindi ito katumbas ng malayang ibinigay na pagsang-ayon, hindi nito isinusuko ang karapatan ng empleyado, at hindi nito ginagawang legal ang pagsubaybay na labag sa batas. Para sa mga remote na empleyado, gumamit ng magkakatugmang impormasyon sa kasunduan sa remote work at mga form ng pagtalaga ng device. Itago ang bersyon ng patakaran, petsa ng pagbibigay, at rekord ng pagkilala, at magbigay ng contact para sa mga tanong, kahilingan sa pag-access, o alalahanin.

Maaaring makaapekto ang mga tuntuning pederal, pang-estado, at lokal ng US sa pagsubaybay, lalo na sa audio recording, elektronikong komunikasyon, biometric data, abiso, at mga empleyadong nasa ibang estado kaysa sa punong tanggapan. Maaari ring magdagdag ng paghihigpit ang kasunduan sa unyon, kontrata sa customer, at regulasyon ng industriya. Ipasuri sa kuwalipikadong tagapayo sa batas ng paggawa at privacy ang patakaran at planong configuration bago ipatupad, lalo na kung may audio, keystroke, personal na device, o empleyado sa maraming hurisdiksyon. Nagbibigay ang gabay na ito ng balangkas sa operasyon, hindi ng legal na patakaran para sa isang partikular na hurisdiksyon.

Suriin ang mga tuntunin sa lugar ng trabaho ng empleyado

Magkakaiba ang mga kinakailangan. Halimbawa, hinihingi ng batas ng New York sa abiso para sa elektronikong pagsubaybay na ang mga sakop na pribadong employer na may lugar ng negosyo sa estado ay magbigay sa apektadong empleyado ng paunang nakasulat na abiso sa pagkuha sa trabaho, kumuha ng pagkilala, at magpaskil ng abiso para sa sakop na pagsubaybay. Mahalaga ang saklaw at mga eksepsyon; huwag ituring ang halimbawang ito na pambansang tuntunin.

Para sa pagpapatupad sa UK, tinatalakay ng gabay ng ICO sa pagsubaybay sa manggagawa ang legal na batayan, pagiging malinaw, pangangailangan, at pagiging proporsyonal. Ipinapaliwanag din nito kung bakit karaniwang hindi angkop ang consent sa ugnayang employer-empleyado. Kasalukuyang minamarkahan ng ICO ang gabay bilang sinusuri matapos ang mga pagbabago sa batas. Suriin sa iyong mga tagapayo ang kasalukuyang kinakailangan bago tapusin ang patakaran at configuration.

07Gawing paulit-ulit na proseso ng pamamahala ang patakaran

Nabibigo ang patakaran kapag nasa handbook lamang ito habang hindi pare-pareho ang configuration ng pagsubaybay. Magtatag ng simpleng proseso ng regular na pagsusuri at pag-escalate. Dapat gamitin ng mga manager ang regular na ulat para makita ang mga padron, hindi para agad tumugon sa isang kakaibang oras. Dapat imbestigahan ng IT ang mga indikasyon sa seguridad, hindi aprubadong application, at kahina-hinalang paglipat ng file. Idokumento, panatilihin, at ipadala ang seryosong natuklasan sa angkop na manager, pinuno ng HR, may pananagutan sa seguridad, o legal na tagapayo. Itala ang dahilan ng pagsusuri, aprubadong saklaw, tagasuri, at resulta. Bigyan ang empleyado ng angkop na pagkakataong magpaliwanag bago gumawa ng konklusyon tungkol sa pagganap.

Gumamit ng unti-unting hakbang kung karaniwang maling paggamit ang isyu sa halip na sinasadyang paglabag. Maaaring sapat ang paggabay at paalala sa unang pagkakataon ng labis na pagba-browse na hindi pangtrabaho. Ang pag-uulit ay maaaring magbigay-katwiran sa mas mahigpit na paghihigpit o pormal na disiplina. Nangangailangan ng mas mabilis na tugon sa seguridad ang mapagkakatiwalaang ebidensya ng pagnanakaw ng datos, pagbabahagi ng kredensyal, pag-install ng malware, o sadyang pagbura ng rekord.

Maaaring suportahan ng Net Monitor for Employees Pro ang prosesong ito sa pamamagitan ng pagsasama ng live na pagtingin sa screen, desktop recording, mga ulat ng website at application, remote na pamamahala ng file, at mga kontrol sa endpoint sa isang console. Bilis ang praktikal na bentahe: maaaring siyasatin ng awtorisadong administrator ang isyu, panatilihin ang mga kaugnay na rekord na magagamit, i-block ang mapanganib na application o website, at itama ang problema nang hindi nagpapalipat-lipat sa magkakahiwalay na tool.

Suriin ang patakaran nang hindi bababa sa taun-taon at pagkatapos ng malaking pagbabago sa remote work, pagmamay-ari ng device, insidente sa seguridad, o teknolohiya ng pagsubaybay. Hindi ang pinakamahabang patakaran ang pinakamahusay. Ang pinakamahusay ay naipapatupad nang pare-pareho ng mga manager, nauunawaan ng mga empleyado, at naipapatupad ng IT nang hindi lumilikha ng bagong panganib. Magtalaga ng may pananagutan at petsa ng pagsusuri. Suriin muli ang mga setting at pananalita kapag may bagong kakayahang pinagana o bagong grupong idinagdag.

08Checklist ng patakaran sa pagsubaybay bago ipatupad

Gamitin ang balangkas na ito para suriin ang draft kasama ang IT, HR, at mga responsable sa privacy at kinakailangan sa paggawa. Palitan ang malalawak na pangako ng mga pasyang kayang beripikahin ng team:

• Layunin at pananagutan: tukuyin ang problema sa negosyo, may-ari ng patakaran, tagapag-apruba, petsa ng bisa, at susunod na pagsusuri.
• Saklaw at mga hangganan: ilista ang mga grupo ng empleyado, lokasyon, pinamamahalaang device, remote access, mga hindi sakop na personal na device, at panahon ng pagsubaybay.
• Pagkolekta at paghihigpit: tukuyin ang bawat pinaganang kategorya ng datos, dalas, sistemang kumokolekta, at mga tuntunin para sa website, application, o device.
• Abiso at mga tanong: sabihin kung kailan at paano natatanggap ang patakaran, paano itinatala ang pagtanggap, at saan dinadala ang mga tanong o alalahanin.
• Awtorisadong pag-access: tukuyin kung sino ang maaaring tumingin, mag-export, magbago ng setting, o mag-apruba ng imbestigasyon, at paano itinatala ang kanilang pagkilos.
• Pag-iingat at proteksyon: magtakda ng makatwirang panahon, aprubadong imbakan, kontrol sa pag-access, pananagutan sa pagbura, at paraan ng pagpreserba ng kaugnay na rekord ng insidente.
• Pagsusuri at tugon: tukuyin ang pag-escalate, paliwanag ng empleyado, pag-apruba ng eksepsyon, at proporsyonal na follow-up.

Magsagawa ng maliit na pagsubok ng patakaran at mga setting

Bago ang mas malawak na pagpapatupad, gumamit ng awtorisadong test device at hindi sensitibong halimbawang aktibidad. Tiyakin kung aling pangyayari ang lumilitaw, kung nagsisimula at humihinto ang recording sa tamang oras, sino ang makakakuha ng ulat, at saan nakaimbak ang na-download o na-export na kopya. Subukan ang isang pinaghihigpitang pagkilos at isang aprubadong gawain. Kung salungat ang resulta sa patakaran, itama ang setting o balikan ang aprubadong saklaw bago ilunsad. Itago ang rekord ng pagsubok kasama ng bersyon ng patakaran.

Kapag may problema, nagbibigay sa negosyo ng kakayahang kumilos nang tiyak ang malinaw na abiso, itinakdang kontrol, at maaasahang rekord. Buuin ang mga tuntuning ito bago ang unang imbestigasyon, hindi kapag kinukuwestiyon na ang ebidensya.

09Mga tanong tungkol sa patakaran sa pagsubaybay sa trabaho

Ano ang dapat laman ng patakaran sa pagsubaybay sa trabaho?

Isama ang layunin, mga tao at sistemang sakop, kategorya ng pagkolekta, oras ng pagsubaybay, awtorisadong tagasuri, tuntunin sa pag-iingat, abiso sa empleyado, at pag-escalate. Ipaliwanag ang hangganan sa remote work at personal na device, paraan ng pagtatanong, at kung sino ang may pananagutan sa mga pagbabago.

Pareho ba ang patakaran sa pagsubaybay at katanggap-tanggap na paggamit?

Magkaiba ang layunin nila. Inilalarawan ng katanggap-tanggap na paggamit kung paano maaaring gamitin ang mga mapagkukunan ng kumpanya. Ipinapaliwanag ng patakaran sa pagsubaybay kung paano inoobserbahan at itinatala ang paggamit, sino ang maaaring magsuri, at ano ang limitasyon ng pagkolekta. Iugnay ang dalawang dokumento upang magkatugma ang paghihigpit at pagpapatupad nito.

Pinapayagan ba ng nilagdaang pagkilala ang anumang pagsubaybay?

Hindi. Maaari nitong patunayang natanggap ang patakaran, ngunit hindi nito pinapalitan ang naaangkop na abiso, legal na batayan, consent, konsultasyon, o iba pang kinakailangan. Suriin ang partikular na aktibidad ng pagsubaybay at mga hurisdiksyong kasangkot bago ipatupad.

Gaano katagal dapat itago ang mga rekord ng pagsubaybay?

Walang iisang panahon na angkop sa lahat ng rekord o negosyo. Magtakda at magbigay-katwiran sa mga panahon ayon sa layunin, panganib, at naaangkop na kinakailangan. Tukuyin kung paano pananatilihin ang kaugnay na ebidensya para sa awtorisadong imbestigasyon, pagkatapos ay suriin ang pagbura sa storage ng device, archive ng console, mga export, at iba pang aprubadong destinasyon.

Paano matitiyak na tumutugma ang software sa patakaran?

Itugma ang bawat kategorya ng pagkolekta at paghihigpit sa aktuwal na configuration. Subukan ang mga napiling device, oras, setting ng ulat, pahintulot sa pag-access, imbakan, at paraan ng pagbura gamit ang hindi sensitibong datos. Ulitin ang pagsusuri pagkatapos ng mahalagang pagbabago sa patakaran, mga tauhan, o software.