직장 감시 정책: 실용적인 체크리스트

01직장 감시 정책이 수행해야 하는 작업

실행 가능한 직장 감시 정책에는 회사 자산을 보호하고 직원이 이해할 수 있는 경계를 설정하는 두 가지 작업이 있습니다. 어떤 회사 소유 장치, 네트워크, 계정, 비즈니스 데이터가 업무 목적으로 제공되는지, 어떤 모니터링, 로깅, 제한 또는 검토가 적용되는지 설명하세요. 각 사례를 정의된 운영, 보안, 규정 준수 또는 조사 목적에 연결하세요. 장치를 소유한다고 해서 그 자체로 무제한 감시가 정당화되는 것은 아닙니다.

정책은 불확실성도 제거해야 합니다. 직원은 회사가 화면 활동을 기록하는지, 웹 사이트 및 애플리케이션을 추적하는지, 키 입력을 캡처하는지, 파일 활동을 기록하는지, 오디오를 녹음하는지, 사무실 밖에서 사용하는 장치를 모니터링하는지 알아야 합니다. 기능이 배포되면 명확하게 말하십시오. 숨겨진 가정은 피할 수 있는 분쟁을 일으키고 직원의 인정을 약화시킵니다.

이것은 단지 소프트웨어가 제공한다는 이유만으로 가능한 모든 데이터 포인트를 수집하라는 권유가 아닙니다. 적절한 모니터링 수준은 역할, 데이터의 민감도, 장치 소유권 모델 및 비즈니스 위험에 따라 달라집니다. 급여 데이터를 처리하는 재무 워크스테이션은 공유 회의실 컴퓨터보다 더 엄격한 제어를 보장할 수 있습니다. 홈 오피스에서 사용하는 회사 노트북에는 제한된 액세스를 위해 등록된 개인 소유 장치와 다른 경계가 필요합니다.

02사용할 기기, 사람, 시간 정의

보험이 적용되는 자산 및 활동부터 시작하십시오. 회사 소유 컴퓨터, 모바일 장치, 서버, 이메일 계정, 공동 작업 플랫폼, VPN 연결, 클라우드 애플리케이션, 이동식 미디어 및 회사 네트워크에 대해 구체적으로 설명합니다. 회사에서 개인 장치를 허용하는 경우 관리되는 직장 프로필, 가상 데스크톱 또는 승인된 비즈니스 애플리케이션 내에서만 모니터링을 적용할지 정의합니다. 해당 직원 그룹과 위치도 명시하십시오. 귀하의 기술 설정이 귀하가 설명하는 경계를 시행할 수 있는지 확인하십시오. 소프트웨어가 개인 장치 전체를 캡처하는 경우 직장 프로필 약속은 유용하지 않습니다.

건전한 정책은 비즈니스 활동과 개인 공간을 구별해야 합니다. 예를 들어, 회사는 승인된 작업 환경 외부의 개인 장치 또는 개인 계정에 대한 감시를 피하면서 원격으로 사용되는 경우를 포함하여 회사 장비 및 회사 시스템에 대한 모니터링이 수행된다고 명시할 수 있습니다. 정책에서 경계를 명시적으로 만들고 실제 배포에서 확인합니다.

근무 외 시간 사용도 해결해야 합니다. 직원이 회사 노트북을 개인적으로 사용하도록 허용된 경우 해당 사용 중에 모니터링이 계속되는지 여부와 장치에서의 개인 활동이 표시되어야 하는지 여부를 알려주세요. 많은 조직에서는 사후에 비즈니스 활동과 개인 활동을 분류하는 대신 회사 장비의 개인적인 사용을 제한하여 위험을 줄입니다. 개인 활동이 표시될 수 있다는 알림이 모든 컬렉션을 적절하게 만드는 것은 아닙니다. 장치가 다시 연결되거나 직원이 다른 교대 근무를 할 때 발생하는 상황을 포함하여 허용된 모니터링 기간을 설정하고 테스트합니다.

03직원 모니터링에서 수집하는 항목을 정확히 명시

광범위한 법적 언어로 수집 관행을 묻어두지 마십시오. 화면 이미지 또는 녹화, 활성 애플리케이션, 방문한 웹사이트, 검색 활동, 파일 전송, 로그인 및 로그아웃 시간, 프로세스 활동, 장치 연결, 보안 이벤트 등 배포된 시스템이 실제로 수집하는 정보의 범주를 식별합니다. 각 범주가 지속적으로 수집되는지, 일정에 따라 수집되는지, 아니면 승인된 조치 후에만 수집되는지 설명합니다. 저장된 녹화물과 실시간 보기를 구별하고 직원들이 원격으로 작업하는 동안 정보가 수집되는지 여부를 알려줍니다.

오디오 녹음, 웹캠 사용 및 키 입력 로깅은 비공개 대화, 자격 증명 및 기타 민감한 정보를 캡처할 수 있으므로 별도로 검토할 필요가 있습니다. 덜 침해적인 방법이 동일한 목적을 달성할 수 있는지 평가하십시오. 문서화된 정당성, 엄격하게 통제된 액세스, 필요한 법적 검토, 통지 및 권한이 있는 경우에만 기능을 활성화하십시오. 정책에 기능을 나열하는 것만으로는 해당 기능을 사용할 수 있는 권한이 충분하지 않습니다.

정책에는 회사가 웹사이트, 애플리케이션, 외부 저장소, 승인되지 않은 소프트웨어 또는 안전하지 않은 기기 기능을 차단할 수 있다는 점을 분명히 명시해야 합니다. 시행하지 않고 모니터링하면 관리자는 동일한 문제를 반복적으로 보게 됩니다. 소셜 미디어, 게임 사이트, 승인되지 않은 클라우드 저장소 또는 원격 제어 도구가 위험을 야기하는 경우 제한을 승인할 수 있는 사람, 영향을 받는 장치, 직원이 합법적인 업무에 대한 예외를 요청하는 방법을 정의하세요.

보고 설정과 별도로 Desktop Recorder 설정을 확인하세요. 화면 녹화 일정 자체만으로는 웹 사이트, 애플리케이션 또는 키 입력 보고서에 대한 수집 기간을 설정하지 않습니다. 기기 제한의 경우 도구 및 제한 도움말에서는 선택한 컴퓨터에 대한 즉각적인 조치와 직원 컴퓨터에 전체적으로 적용되는 지속적인 제한 간의 차이점을 설명합니다.

04모든 컨트롤에 대한 비즈니스 목적 설정

직원들은 감시를 실제 비즈니스 요구와 연결하는 정책을 따를 가능성이 더 높습니다. 의도된 결과를 명시합니다. 작업 활동 확인, 기밀 데이터 보호, 무단 소프트웨어 감지, 사고 조사, 허용 가능한 사용 규칙 시행, 관리 조치가 필요한 경우 기록 유지.

이 목적은 배포를 안내해야 합니다. 실시간 화면 보기는 관리자가 신입 직원을 지원하고, 원격 워크스테이션이 작동하는지 확인하거나, 의심되는 정책 위반을 조사하는 데 도움이 될 수 있습니다. 웹사이트 및 애플리케이션 보고서는 업무 외 탐색, 승인되지 않은 소프트웨어 또는 작업 흐름 병목 현상을 검토해야 하는 패턴을 식별할 수 있습니다. 보안 시스템이 이를 수집하는 경우 파일 액세스 및 프로세스 로그는 승인된 시스템 외부의 움직임을 조사하는 데 도움이 될 수 있습니다. 활동 기록은 맥락을 추가합니다. 시간 도용이나 파일 전송을 자동으로 증명하지 않습니다.

생산성 보고를 유일한 목표로 삼지 마십시오. 어떤 사람은 열악한 작업을 수행하는 동안 활동적인 것처럼 보일 수 있고, 어떤 사람은 복잡한 고객 또는 기술 문제를 해결하는 동안 키보드 활동이 덜한 모습을 보일 수 있습니다. 보고서는 경영진의 판단을 대체하는 것이 아니라 정보를 제공해야 합니다. 활동 데이터를 저조한 성과의 증거로 취급하기 전에 직원의 역할, 할당된 작업량, 기한, 출력 품질 및 문서화된 기대치를 검토하십시오.

예를 들어, 문제가 무단 파일 공유 소프트웨어인 경우 먼저 응용 프로그램을 식별하고 해당 비즈니스 용도를 평가하고 승인된 응용 프로그램 규칙을 적용하십시오. 지속적인 오디오 캡처는 훨씬 더 방해가 되는 다양한 정보를 수집하므로 해당 애플리케이션 제어 작업을 대체할 수 없습니다. 출시 전에 각 컬렉션 선택 이유를 문서화하세요.

05기록의 접근, 보유, 저장 통제

감시 기록은 민감한 비즈니스 정보입니다. 정책은 실시간 화면 보기, 녹음 검토, 보고서 내보내기, 모니터링 설정 변경, 조사 승인 권한을 부여받은 역할의 이름을 지정해야 합니다. 대부분의 소규모 기업에서 해당 그룹은 지정된 IT 관리자, 보안 담당자, 고위 운영 리더 및 알아야 할 문서가 있는 관리자로 제한되어야 합니다.

역할별로 액세스를 제한하면 일상적인 탐색을 방지하고 데이터 모니터링이 내부 개인 정보 보호 문제가 될 가능성을 줄이는 데 도움이 됩니다. 관리자는 가능한 경우 개별 계정을 사용하고, 자격 증명을 보호하고, 관리 작업에 대한 감사 추적을 유지해야 합니다. 관리자는 단지 호기심 때문에 직원 기록을 검토해서는 안 됩니다. 모니터링 도구, 관리자 워크스테이션 및 스토리지 시스템에서 사용할 수 있는 권한에 이러한 책임을 매핑합니다. 원하는 승인 또는 감사 제어 기능이 도구에 내장되어 있지 않은 경우 이를 제공하는 별도의 프로세스를 문서화하세요.

보존 규칙도 중요합니다. 유용할 경우를 대비해 모든 것을 보관하기보다는 목적과 적용 가능한 요구 사항에 따라 각 기록 유형에 대해 정당한 기간을 설정하십시오. 모든 것을 영원히 간직하지 마십시오. 보존 기간이 길어지면 스토리지 비용이 증가하고 침해의 영향이 확대되며 기록 관리가 더 어려워집니다. 일상적인 활동 보고서, 보안 경고, 활성 조사 또는 법적 보존을 위해 보존되는 증거에 대해 다양한 보존 기간을 설정하세요.

분산된 팀의 경우 녹음 및 보고서가 저장되는 위치와 해당 저장소를 제어하는 ​​사람을 결정합니다. 관리자 데스크탑 전체에 걸쳐 통제되지 않은 복사본을 허용하는 대신 정의된 권한으로 승인된 저장소를 사용하십시오. 클라우드 스토리지를 사용하는 조직은 승인된 스토리지 대상, 암호화 요구 사항 및 삭제 절차를 문서화해야 합니다.

Net Monitor for Employees Pro에서 직원 컴퓨터, 콘솔 아카이브 및 승인된 외부 대상에 보관된 사본을 포함하여 녹음 보존 및 보고서 보존을 별도로 확인하세요. 녹화 암호화는 저장 위치와 독립적으로 구성됩니다. 모든 활동 보고서나 내보낸 파일을 암호화한다고 가정하지 마십시오. 삭제를 테스트하고, 주요 백업을 보호하고, 보존된 사건 증거를 관리할 사람을 지정하세요.

06직원에게 통지 및 승인을 실시

모니터링이 시작되기 전, 온보딩 중, 정책이 실질적으로 변경될 때마다 직원에게 정책을 제공합니다. 적절하거나 필요한 경우 직원이 정책을 받았고, 회사 시스템이 모니터링될 수 있음을 이해하고, 허용 가능한 사용 요구 사항을 따르는 데 동의했음을 확인하는 서명 또는 전자 승인을 얻습니다.

승인은 수신을 문서화하고 모호성을 줄이는 데 도움이 됩니다. 이는 자유롭게 제공된 동의와 동일하지 않으며 직원의 권리를 포기하지 않으며 불법적인 모니터링 관행을 허용하지 않습니다. 원격 근무자의 경우 원격 근무 계약 및 장치 할당 양식에 일관된 정보를 포함하세요. 정책 버전, 배송 날짜, 승인 기록을 보관하고 직원에게 질문, 액세스 요청 또는 우려 사항이 있는 연락처를 제공하세요.

미국 연방, 주 및 지방 규칙은 특히 오디오 녹음, 전자 통신, 생체 인식 데이터, 통지 요구 사항 및 회사 본사와 다른 주에 위치한 직원에 대한 모니터링 관행에 영향을 미칠 수 있습니다. 노동조합 계약, 고객 계약, 부문별 규정으로 인해 추가 제한이 추가될 수 있습니다. 특히 모니터링에 오디오, 키 입력, 개인 장치 또는 여러 관할 구역의 직원이 포함되는 경우 자격을 갖춘 고용 및 개인 정보 보호 변호사가 배포 전에 정책과 계획된 구성을 검토하도록 하십시오. 이 가이드는 관할권별 법적 정책이 아닌 운영 프레임워크를 제공합니다.

직원이 일하는 규칙을 확인하세요

요구사항은 다양합니다. 예를 들어, 뉴욕의 전자 모니터링 통지법은 주에 사업장을 둔 해당 민간 고용주가 고용 시 영향을 받는 직원에게 사전 서면 통지를 제공하고 승인을 받고 해당 모니터링에 대한 통지를 게시하도록 요구합니다. 그 범위와 예외가 중요합니다. 해당 사례를 전국적인 규칙으로 간주하지 마세요.

영국 배포의 경우 ICO의 근로자 모니터링 지침은 법적 근거, 투명성, 필요성 및 비례성을 다루고 고용 관계에서 동의가 일반적으로 부적합한 이유를 설명합니다. ICO는 현재 입법 변경에 따라 이 지침을 검토 중인 것으로 표시합니다. 정책 및 구성을 마무리하기 전에 조언자와 함께 현재 요구 사항을 확인하세요.

07정책을 반복 가능한 관리 프로세스로 전환

모니터링이 일관되지 않게 구성되어 있는 동안 직원 핸드북에 정책이 있으면 정책이 실패합니다. 일상적인 검토 및 에스컬레이션을 위한 간단한 프로세스를 구축합니다. 관리자는 비정상적인 시간에 반응하기보다는 패턴을 식별하기 위해 정기적인 보고서를 사용해야 합니다. IT는 보안 지표, 승인되지 않은 애플리케이션, 의심스러운 파일 이동을 조사해야 합니다. 심각한 결과는 문서화하고 보존하여 해당 관리자, HR 리더, 보안 소유자 또는 변호사에게 전달해야 합니다. 검토 이유, 승인 범위, 검토자 및 결과를 기록합니다. 성과 결론을 내리기 전에 직원에게 활동을 설명할 적절한 기회를 제공하십시오.

문제가 고의적인 위법 행위가 아닌 일반적인 오용인 경우 단계적 조치를 사용하십시오. 과도한 업무 외 브라우징의 첫 번째 사례에는 코칭과 정책 알림이 필요할 수 있습니다. 반복적인 행동은 더 엄격한 제한이나 공식적인 징계를 정당화할 수 있습니다. 데이터 도난, 자격 증명 공유, 악성 코드 설치 또는 의도적인 기록 삭제에 대한 신뢰할 수 있는 증거가 있으면 더 빠른 보안 대응이 필요합니다.

정책은 권한과 검토 경계를 할당합니다. 관찰 내용, 직원 설명, 조사 결과를 기록하는 별도의 작업에 대해 사고 문서 예시를 사용하세요.

최소한 1년에 한 번, 그리고 원격 근무 관행, 장치 소유권, 보안 사고 또는 모니터링 기술에 큰 변화가 발생한 후에는 정책을 검토하십시오. 최선의 정책은 가장 긴 정책이 아닙니다. 이는 관리자가 일관되게 적용할 수 있고, 직원이 이해할 수 있으며, IT가 새로운 위험을 발생시키지 않고 시행할 수 있는 것입니다. 소유자와 검토 날짜를 지정합니다. 새로운 기능이 활성화되거나 새로운 직원 그룹이 추가될 때마다 설정과 문구를 다시 확인하십시오.

08출시 전 직장 감시 정책 체크리스트

이 개요를 사용하여 IT, HR, 개인 정보 보호 및 고용 요구 사항을 담당하는 사람들과 함께 초안을 검토하세요. 광범위한 약속을 팀이 확인할 수 있는 결정으로 바꾸세요.

• 목적 및 소유권: 비즈니스 문제, 정책 소유자, 승인자, 발효일 및 다음 검토 날짜를 지정하세요.
• 범위 및 경계: 직원 그룹, 위치, 관리 장치, 원격 액세스, 개인 장치 제외 및 모니터링 기간을 나열합니다.
• 수집 및 제한: 활성화된 각 데이터 카테고리, 빈도, 데이터를 수집하는 시스템, 웹사이트, 애플리케이션 또는 기기 규칙을 식별합니다.
• 통지 및 질문: 직원이 정책을 받는 시기와 방법, 영수증이 기록되는 방법, 질문이나 우려 사항이 있는 곳을 지정하세요.
• 승인된 액세스: 설정을 보고, 내보내고, 변경하거나 조사를 승인할 수 있는 사람과 해당 작업이 문서화되는 방식을 식별합니다.
• 보존 및 보호: 정당한 기간, 승인된 저장, 액세스 제어, 삭제 책임, 관련 사고 기록 보존 프로세스를 설정합니다.
• 검토 및 대응: 에스컬레이션, 직원 설명, 예외 승인 및 비례적인 후속 조치를 정의합니다.

간단한 정책-설정 확인 실행

광범위한 배포 전에 승인된 테스트 장치와 무해한 샘플 활동을 사용하십시오. 어떤 이벤트가 나타나는지, 녹화가 의도한 시간에 시작 및 중지되는지, 보고서를 검색할 수 있는 사람, 다운로드하거나 내보낸 복사본이 저장되는 위치를 확인하세요. 제한된 작업과 승인된 작업을 모두 테스트합니다. 결과가 정책과 충돌하는 경우 롤아웃 전에 설정을 수정하거나 승인된 범위를 다시 확인하세요. 정책 버전으로 테스트 기록을 유지하세요.

문제가 발생하면 명확한 통지, 정의된 통제, 신뢰할 수 있는 기록을 통해 비즈니스가 단호하게 조치를 취할 수 있는 여지를 확보할 수 있습니다. 증거가 이미 문제가 된 이후가 아니라 첫 번째 조사 전에 이러한 규칙을 구축하십시오.

09직장 감시 정책 질문

직장 감시 정책에는 무엇이 포함되어야 합니까?

목적, 해당 인력 및 시스템, 수집 범주, 모니터링 기간, 승인된 검토자, 보관 규칙, 직원 통지 및 에스컬레이션 프로세스를 포함합니다. 원격 근무와 개인 장치의 경계, 직원이 질문하는 방법, 정책 업데이트를 소유한 사람을 설명합니다.

직원 모니터링 정책이 허용 가능한 사용과 동일합니까?

그들은 다른 목적으로 사용됩니다. 허용 가능한 사용은 직원이 회사 자원을 사용하는 방법을 설명합니다. 모니터링 정책에는 회사가 사용을 관찰하고 기록하는 방법, 이를 검토할 수 있는 사람, 수집 한도가 설명되어 있습니다. 제한사항과 적용 방식이 일관되도록 문서를 상호 참조하십시오.

서명된 승인으로 모든 종류의 모니터링이 허용됩니까?

아니요. 직원이 정책을 받았음을 문서화할 수 있지만 해당 통지, 법적 근거, 동의, 상담 또는 기타 요구 사항을 대체하지는 않습니다. 배포 전에 특정 모니터링 활동과 관련된 관할권을 평가합니다.

직원 모니터링 기록을 얼마나 오래 보관해야 합니까?

모든 기록이나 비즈니스에 적합한 단일 기간은 없습니다. 목적, 위험 및 해당 요구 사항에 따라 기간을 설정하고 정당화합니다. 승인된 조사를 위해 관련 증거가 보존되는 방식을 정의한 다음 장치 저장소, 콘솔 아카이브, 내보내기 및 기타 승인된 대상에서 삭제를 확인하세요.

소프트웨어가 정책과 일치하는지 어떻게 확인할 수 있나요?

각 컬렉션 카테고리와 제한사항을 실제 구성에 매핑합니다. 무해한 데이터를 사용하여 선택한 장치, 시간, 보고서 설정, 액세스 권한, 저장 및 삭제 프로세스를 테스트하십시오. 중요한 정책, 인력 또는 소프트웨어가 변경된 후 확인을 반복하십시오.