Chính sách giám sát tại nơi làm việc có thể áp dụng

01Chính sách giám sát cần đạt được điều gì?

Chính sách khả thi có hai nhiệm vụ: bảo vệ tài sản công ty và đặt giới hạn nhân viên hiểu được. Giải thích thiết bị, mạng, tài khoản và dữ liệu nào được cung cấp cho công việc, cùng hình thức giám sát, ghi chép, hạn chế hoặc kiểm tra áp dụng. Gắn từng hoạt động với mục đích vận hành, bảo mật, tuân thủ hoặc điều tra cụ thể. Sở hữu thiết bị tự nó không biện minh cho giám sát vô hạn.

Chính sách cũng cần loại bỏ mơ hồ. Nhân viên phải biết công ty có ghi màn hình, theo dõi website và ứng dụng, ghi phím gõ, hoạt động tệp, âm thanh hoặc thiết bị dùng ngoài văn phòng hay không. Có triển khai chức năng nào thì nói rõ. Những giả định không được công bố tạo tranh chấp có thể tránh và làm giảm ý nghĩa của xác nhận đã nhận chính sách.

Không phải cứ phần mềm hỗ trợ là nên thu thập mọi dữ liệu. Mức phù hợp tùy vai trò, độ nhạy cảm, quyền sở hữu thiết bị và rủi ro kinh doanh. Máy tài chính xử lý bảng lương có thể cần kiểm soát chặt hơn máy phòng họp chung. Laptop công ty dùng tại nhà cần giới hạn khác thiết bị cá nhân chỉ được cấp truy cập công việc hạn chế.

02Xác định thiết bị, con người và thời gian áp dụng

Bắt đầu với tài sản và hoạt động thuộc chính sách. Nêu cụ thể máy tính, điện thoại công ty, máy chủ, email, nền tảng cộng tác, VPN, ứng dụng đám mây, phương tiện lưu trữ rời và mạng. Nếu cho phép thiết bị cá nhân, quy định giám sát có chỉ nằm trong hồ sơ công việc được quản lý, desktop ảo hoặc ứng dụng đã duyệt hay không. Nêu nhóm nhân viên và địa điểm. Xác minh kỹ thuật thực hiện được giới hạn: hứa chỉ theo dõi hồ sơ công việc không có ý nghĩa nếu phần mềm ghi toàn bộ thiết bị cá nhân.

Phân biệt hoạt động kinh doanh với không gian riêng tư. Ví dụ, công ty có thể giám sát thiết bị và hệ thống của mình, kể cả sử dụng từ xa, đồng thời loại trừ thiết bị hoặc tài khoản cá nhân ngoài môi trường được duyệt. Viết rõ ranh giới và kiểm tra trong triển khai thực tế.

Quy định cả sử dụng ngoài giờ. Nếu được dùng laptop công ty cho việc riêng, hãy nói giám sát có tiếp tục và hoạt động cá nhân có thể hiển thị không. Nhiều tổ chức giảm rủi ro bằng hạn chế sử dụng riêng thay vì phân loại dữ liệu sau đó. Thông báo rằng hoạt động riêng có thể thấy được không làm mọi việc thu thập trở nên phù hợp. Đặt và thử thời gian được phép, kể cả lúc thiết bị kết nối lại hoặc nhân viên làm ca khác.

03Nêu chính xác dữ liệu được thu thập

Đừng giấu thực hành thu thập trong ngôn ngữ pháp lý chung chung. Xác định những loại hệ thống thực sự ghi: ảnh hoặc video màn hình, ứng dụng hoạt động, website, tìm kiếm, truyền tệp, đăng nhập và đăng xuất, tiến trình, kết nối thiết bị và sự kiện bảo mật. Nêu mỗi loại được ghi liên tục, theo lịch hay sau thao tác được phép. Phân biệt xem trực tiếp và bản ghi lưu trữ, đồng thời thông báo việc thu thập khi làm từ xa.

Ghi âm, webcam và ghi phím gõ cần đánh giá riêng vì có thể thu cuộc trò chuyện riêng, thông tin đăng nhập và dữ liệu nhạy cảm. Xem phương án ít xâm phạm hơn có đạt cùng mục đích không. Chỉ bật khi có lý do được ghi chép, truy cập kiểm soát chặt và đánh giá pháp lý, thông báo, quyền cần thiết. Liệt kê một chức năng trong chính sách không đủ để cho phép sử dụng.

Nêu rõ công ty có thể chặn website, ứng dụng, bộ nhớ ngoài, phần mềm không được phép hoặc chức năng thiết bị không an toàn. Thiếu thực thi khiến quản lý chỉ nhìn cùng vấn đề lặp lại. Nếu mạng xã hội, trò chơi, đám mây chưa duyệt hoặc công cụ điều khiển từ xa gây rủi ro, quy định người phê duyệt, thiết bị bị ảnh hưởng và cách xin ngoại lệ cho công việc hợp lệ.

Kiểm tra thiết lập Desktop Recorder riêng với thiết lập báo cáo. Lịch ghi màn hình tự nó không quyết định thời gian thu thập báo cáo website, ứng dụng hay phím gõ. Trợ giúp Tools and Restrictions giải thích sự khác nhau giữa thao tác tức thời trên máy được chọn và hạn chế duy trì áp dụng chung cho máy nhân viên.

04Đặt mục đích kinh doanh cho từng biện pháp

Nhân viên dễ tuân theo chính sách gắn giám sát với nhu cầu thực. Nêu kết quả mong muốn: xác minh công việc, bảo vệ thông tin mật, phát hiện phần mềm trái phép, điều tra sự cố, thực thi quy tắc sử dụng và có hồ sơ khi quản lý cần hành động.

Mục đích đó định hướng triển khai. Xem màn hình trực tiếp giúp hỗ trợ người mới, kiểm tra máy từ xa hoạt động hay xem xét nghi vi phạm. Báo cáo website và ứng dụng có thể phát hiện xu hướng cần xem lại việc lướt web ngoài công việc, phần mềm chưa duyệt hoặc điểm nghẽn. Khi hệ thống bảo mật có thu thập, nhật ký truy cập tệp và tiến trình hỗ trợ kiểm tra di chuyển ngoài hệ thống cho phép. Hồ sơ hoạt động thêm bối cảnh, không tự động chứng minh gian lận giờ làm hoặc truyền tệp.

Đừng chỉ nhắm đến báo cáo năng suất. Một người có thể trông bận nhưng làm kém; người khác ít gõ khi giải quyết vấn đề khách hàng hoặc kỹ thuật phức tạp. Báo cáo nên hỗ trợ nhận định của quản lý, không thay thế nó. Xem vai trò, khối lượng giao, thời hạn, chất lượng và kỳ vọng được ghi trước khi coi hoạt động là bằng chứng hiệu suất thấp.

Ví dụ, nếu lo phần mềm chia sẻ tệp không được duyệt, hãy nhận diện ứng dụng, đánh giá nhu cầu công việc và áp dụng quy tắc được phê duyệt. Ghi âm liên tục thu thông tin khác, xâm phạm hơn nhiều và không phải giải pháp thay thế tương xứng cho kiểm soát ứng dụng. Ghi lý do mỗi lựa chọn trước triển khai.

05Kiểm soát truy cập, thời hạn giữ và nơi lưu hồ sơ

Hồ sơ giám sát là thông tin doanh nghiệp nhạy cảm. Nêu vai trò được xem trực tiếp, xem bản ghi, xuất báo cáo, đổi thiết lập và duyệt điều tra. Với doanh nghiệp nhỏ, nên giới hạn ở quản trị viên chỉ định, nhân sự bảo mật, lãnh đạo vận hành và quản lý có nhu cầu được ghi chép.

Giới hạn theo vai trò giảm xem vì tò mò và vấn đề riêng tư nội bộ. Yêu cầu tài khoản quản trị cá nhân, bảo vệ thông tin đăng nhập và lưu dấu hành động quản trị khi có thể. Quản lý không được xem hồ sơ chỉ vì hiếu kỳ. Ánh xạ trách nhiệm vào quyền có trong công cụ, máy quản trị và hệ thống lưu trữ. Nếu công cụ thiếu chức năng duyệt hoặc kiểm toán cần thiết, ghi lại quy trình bổ sung cung cấp chức năng đó.

Quy tắc lưu giữ cũng quan trọng. Đặt thời gian có căn cứ cho từng loại theo mục đích và yêu cầu áp dụng, thay vì giữ mọi thứ vì có thể hữu ích sau này. Đừng giữ vô thời hạn. Giữ lâu làm tăng chi phí, tác động rò rỉ và khó quản lý. Phân biệt báo cáo thường kỳ, cảnh báo và chứng cứ đang được giữ cho điều tra hoặc nghĩa vụ bảo toàn pháp lý.

Với đội ngũ phân tán, xác định nơi lưu bản ghi, báo cáo và người kiểm soát. Dùng kho được duyệt với quyền rõ ràng thay cho bản sao không kiểm soát trên desktop quản trị. Nếu dùng đám mây, ghi đích được phép, yêu cầu mã hóa và quy trình xóa.

Trong Net Monitor for Employees Pro, kiểm tra thời hạn giữ bản ghi và báo cáo riêng, kể cả bản sao trên máy nhân viên, kho lưu của console và đích ngoài được duyệt. Mã hóa bản ghi được cấu hình độc lập với vị trí lưu; đừng cho rằng mọi báo cáo hoặc tệp xuất đều được mã hóa. Chỉ định người thử xóa, bảo vệ bản sao lưu khóa và quản lý chứng cứ sự cố.

06Tổ chức thông báo và xác nhận nhận chính sách

Cung cấp chính sách trước giám sát, khi nhận việc và mỗi lần thay đổi đáng kể. Khi thích hợp hoặc bắt buộc, lấy xác nhận bằng chữ ký hay điện tử rằng nhân viên đã nhận, hiểu hệ thống có thể được giám sát và đồng ý tuân thủ quy tắc sử dụng.

Xác nhận có thể chứng minh đã nhận và giảm mơ hồ. Nó không đồng nghĩa sự đồng ý tự nguyện, không từ bỏ quyền của người lao động và không hợp pháp hóa việc giám sát trái luật. Với làm từ xa, thống nhất thông tin trong thỏa thuận và phiếu giao thiết bị. Giữ phiên bản, ngày cung cấp, xác nhận, và cho nhân viên đầu mối hỏi, yêu cầu truy cập hoặc nêu lo ngại.

Quy định liên bang, tiểu bang và địa phương Hoa Kỳ có thể ảnh hưởng giám sát, nhất là âm thanh, truyền thông điện tử, sinh trắc học, thông báo và người làm ở tiểu bang khác trụ sở. Thỏa thuận công đoàn, hợp đồng khách hàng và quy định ngành có thể thêm hạn chế. Nhờ chuyên gia lao động và riêng tư đủ năng lực xem chính sách cùng cấu hình trước triển khai, nhất là âm thanh, phím gõ, thiết bị cá nhân hoặc nhiều khu vực pháp lý. Hướng dẫn này là khung vận hành, không phải chính sách pháp lý riêng cho một nơi.

Kiểm tra quy tắc nơi nhân viên làm việc

Yêu cầu khác nhau theo nơi. Ví dụ, luật thông báo giám sát điện tử của New York yêu cầu chủ sử dụng lao động tư thuộc diện áp dụng và có cơ sở trong tiểu bang cung cấp thông báo trước bằng văn bản khi tuyển dụng, lấy xác nhận và niêm yết thông báo về giám sát thuộc phạm vi. Phạm vi và ngoại lệ rất quan trọng; không coi đây là quy tắc toàn Hoa Kỳ.

Tại Vương quốc Anh, hướng dẫn giám sát người lao động của ICO đề cập căn cứ pháp lý, minh bạch, cần thiết và tương xứng, đồng thời giải thích vì sao sự đồng ý thường không phù hợp trong quan hệ lao động. ICO hiện ghi hướng dẫn đang được rà soát sau thay đổi pháp luật. Kiểm tra yêu cầu hiện hành với cố vấn trước khi chốt chính sách và cấu hình.

07Biến chính sách thành quy trình quản lý lặp lại được

Chính sách thất bại khi chỉ nằm trong sổ tay còn cấu hình không nhất quán. Lập quy trình đơn giản cho rà soát và chuyển cấp. Quản lý nên tìm xu hướng thay vì phản ứng với một giờ khác thường. IT điều tra dấu hiệu bảo mật, ứng dụng không phép và di chuyển tệp đáng ngờ. Ghi, bảo toàn và chuyển phát hiện nghiêm trọng đến quản lý, nhân sự, bảo mật hoặc cố vấn phù hợp. Lưu lý do, phạm vi duyệt, người kiểm tra và kết quả. Cho nhân viên cơ hội giải thích thích hợp trước khi kết luận về hiệu suất.

Áp dụng từng mức cho sử dụng sai thông thường, khác với hành vi cố ý. Lần đầu lướt web riêng quá mức có thể cần hướng dẫn và nhắc lại. Lặp lại có thể cần hạn chế chặt hoặc xử lý chính thức. Bằng chứng đáng tin về trộm dữ liệu, chia sẻ đăng nhập, cài mã độc hoặc cố ý xóa hồ sơ đòi hỏi phản ứng bảo mật nhanh hơn.

Net Monitor for Employees Pro hỗ trợ bằng cách kết hợp xem trực tiếp, ghi desktop, báo cáo website và ứng dụng, quản lý tệp từ xa và kiểm soát thiết bị trong một console. Lợi ích thực tế là tốc độ: quản trị viên có quyền kiểm tra vấn đề, giữ hồ sơ liên quan sẵn có, chặn ứng dụng hay website rủi ro và sửa chữa mà không phải đổi giữa công cụ rời rạc.

Rà soát ít nhất hằng năm và sau thay đổi lớn về làm từ xa, sở hữu thiết bị, sự cố hoặc công nghệ. Chính sách tốt nhất không phải dài nhất, mà được áp dụng nhất quán, nhân viên hiểu và IT thực thi không tạo rủi ro mới. Chỉ định chủ trách nhiệm và ngày rà soát. Kiểm tra cả nội dung và thiết lập khi bật chức năng mới hoặc thêm nhóm nhân viên.

08Danh sách kiểm tra chính sách trước triển khai

Dùng khung này rà bản thảo cùng IT, nhân sự và người phụ trách riêng tư, lao động. Thay lời hứa chung bằng quyết định có thể xác minh:

• Mục đích và trách nhiệm: nêu vấn đề, người phụ trách chính sách, người duyệt, ngày hiệu lực và ngày rà soát tiếp.
• Phạm vi và giới hạn: liệt kê nhóm, địa điểm, thiết bị quản lý, truy cập từ xa, loại trừ thiết bị cá nhân và thời gian.
• Thu thập và hạn chế: xác định từng loại đã bật, tần suất, hệ thống thu thập và quy tắc website, ứng dụng, thiết bị.
• Thông báo và câu hỏi: quy định khi nào, cách nào gửi chính sách, ghi nhận đã nhận và nơi tiếp nhận thắc mắc.
• Truy cập được phép: xác định người xem, xuất, đổi cấu hình hoặc duyệt điều tra và cách ghi hành động.
• Lưu giữ và bảo vệ: đặt thời hạn có căn cứ, kho được duyệt, quyền, trách nhiệm xóa và quy trình giữ chứng cứ liên quan.
• Rà soát và phản ứng: quy định chuyển cấp, giải thích của nhân viên, duyệt ngoại lệ và xử lý tương xứng.

Thử đối chiếu chính sách và thiết lập ở quy mô nhỏ

Trước khi mở rộng, dùng máy thử được cho phép và hoạt động mẫu vô hại. Xác nhận sự kiện hiển thị, thời gian ghi bắt đầu và dừng, người lấy được báo cáo và nơi chứa bản tải hay xuất. Thử cả thao tác hạn chế lẫn công việc được duyệt. Nếu kết quả trái chính sách, sửa cấu hình hoặc xem lại phạm vi phê duyệt trước triển khai. Giữ kết quả cùng phiên bản chính sách.

Khi có vấn đề, thông báo rõ, kiểm soát xác định và hồ sơ đáng tin cho doanh nghiệp khả năng hành động dứt khoát. Đặt quy tắc trước lần điều tra đầu, không phải sau khi chứng cứ bị nghi ngờ.

09Câu hỏi về chính sách giám sát tại nơi làm việc

Chính sách giám sát cần có gì?

Mục đích, người và hệ thống áp dụng, loại dữ liệu, thời gian, người rà soát được phép, lưu giữ, thông báo và chuyển cấp. Nêu ranh giới làm từ xa, thiết bị cá nhân, cách hỏi và người phụ trách cập nhật.

Chính sách giám sát có giống quy định sử dụng được chấp nhận không?

Chúng có mục đích khác nhau. Quy định sử dụng mô tả cách dùng tài nguyên công ty được phép. Chính sách giám sát giải thích cách quan sát, ghi lại, người xem và giới hạn thu thập. Liên kết hai văn bản để hạn chế và cách thực thi nhất quán.

Ký xác nhận có cho phép mọi kiểu giám sát không?

Không. Nó có thể ghi nhận việc đã nhận nhưng không thay thế thông báo, căn cứ pháp lý, sự đồng ý, tham vấn hay yêu cầu khác. Đánh giá hoạt động cụ thể và các khu vực pháp lý trước triển khai.

Nên giữ hồ sơ giám sát bao lâu?

Không có một kỳ hạn phù hợp mọi hồ sơ hoặc doanh nghiệp. Xác định và giải thích theo mục đích, rủi ro và yêu cầu. Quy định giữ chứng cứ cho điều tra được phép, rồi kiểm tra xóa trên máy, kho console, bản xuất và các đích được duyệt khác.

Làm sao bảo đảm phần mềm phù hợp chính sách?

Gắn từng loại thu thập và hạn chế với cấu hình thực tế. Thử thiết bị, giờ, báo cáo, quyền, lưu trữ và xóa bằng dữ liệu vô hại. Lặp lại sau thay đổi đáng kể về chính sách, nhân sự hoặc phần mềm.