Policy/Begränsning surf på arbetsplats

Börja med att prova deras inbyggda content blocker, kanske duger?

Settings > Networks > ditt nät där användarna finns > Content Filtering > Work

Jag vet varken om det finns en policy om, eller om det praktiskt går att porrsurfa på min arbetsgivares nätverk och det ingår inte i mina arbetsuppgifter att testa, så det har jag naturligtvis inte gjort.

Men jag blir intresserad av hur ni praktiskt löser att ni samlar in personuppgifter automatiserat? Man måste ju ha skriftligt medgivande som förvaras på lämpligt sätt. Medgivandet får ju heller inte inhämtas under något slags tvång, så att knyta villkoren till fortsatt anställning är ju högst tveksamt. Generellt behöver det ju finnas en lag som är mer specifik (lex specialis) än GDPR för att man ska slippa hantera GDPR-kraven och dess potentiella sanktion om 4% av årsomsättningen.

Om ni av säkerhetsskäl samlar in uppgifter går de antagligen att knyta till en enhet och då är kopplingen till person troligen så stark att det rör sig om personuppgifter. Om man tänker använda insamlade uppgifter i ett personalärende kommer denna diskussion som ett brev på posten… Då är det bra att inte ha implementerat något olagligt på eget bevåg. Den enklaste vägen på vanliga arbetsplatser är en policy som inte kontrolleras genom loggning - eventuellt parat med ologgade blockeringsåtgärder.

Det tekniska är ju också ett kul problem. Det är skitsvårt att hindra någon som har administrativ kontroll över sin enhet och generell tillgång till nätverket att tunnla ut (det finns mängder av varianter på det du kallar VPN och hälften ser ut som HTTPS). Om du ska ge dig på DNS-hijacking så bör du brandvägga bort kända DoH- servrar och DoT, men det är knappast idiotsäkert, bara att sätta upp en egen server hemma.

Det enda gångbara för att täppa till alla hål är att spärra allt och sedan vitlista i brandväggen. Lycka till med administrationen runt det.

Man kan göra livet lite svårare för tekniska idioter, men att tro att man hindrar någon som är porr- eller spelberoende från att missbruka är i mina ögon naivt.

Jag vet varken om det finns en policy om, eller om det praktiskt går att porrsurfa på min arbetsgivares nätverk och det ingår inte i mina arbetsuppgifter att testa, så det har jag naturligtvis inte gjort.

Men jag blir intresserad av hur ni praktiskt löser att ni samlar in personuppgifter automatiserat? Man måste ju ha skriftligt medgivande som förvaras på lämpligt sätt. Medgivandet får ju heller inte inhämtas under något slags tvång, så att knyta villkoren till fortsatt anställning är ju högst tveksamt. Generellt behöver det ju finnas en lag som är mer specifik (lex specialis) än GDPR för att man ska slippa hantera GDPR-kraven och dess potentiella sanktion om 4% av årsomsättningen.

Om ni av säkerhetsskäl samlar in uppgifter går de antagligen att knyta till en enhet och då är kopplingen till person troligen så stark att det rör sig om personuppgifter. Om man tänker använda insamlade uppgifter i ett personalärende kommer denna diskussion som ett brev på posten… Då är det bra att inte ha implementerat något olagligt på eget bevåg. Den enklaste vägen på vanliga arbetsplatser är en policy som inte kontrolleras genom loggning - eventuellt parat med ologgade blockeringsåtgärder.

Det tekniska är ju också ett kul problem. Det är skitsvårt att hindra någon som har administrativ kontroll över sin enhet och generell tillgång till nätverket att tunnla ut (det finns mängder av varianter på det du kallar VPN och hälften ser ut som HTTPS). Om du ska ge dig på DNS-hijacking så bör du brandvägga bort kända DoH- servrar och DoT, men det är knappast idiotsäkert, bara att sätta upp en egen server hemma.

Det enda gångbara för att täppa till alla hål är att spärra allt och sedan vitlista i brandväggen. Lycka till med administrationen runt det.

Man kan göra livet lite svårare för tekniska idioter, men att tro att man hindrar någon som är porr- eller spelberoende från att missbruka är i mina ögon naivt.

Det enklaste är väl att bara tillåta arbetsrelaterad användning och inget annat för att slippa detaljstyrning svårare än så behöver policyn inte vara för det är ju inte arbetsgivaren som ska möjliggöra privatsurfning och det bör i vilket fall inte ske på arbetsplatsen.

GDPR är inget problem. Man behöver inte alltid inhämta medgivande från personer vars data man sparar för att kunna samla in den. Det finns tex Berättigat intresse som skulle kunna användas här.

De flesta har väl idag en mobil med datatrafik som man kan använda om man inte håller på med jobbgrejer. Jag ser inte alls varför ett företag behöver erbjuda möjlighet för sina anställda att surfa på vad som helst.

@Mordekai
På mitt jobb verkar vi ha bytt till en modell där man kommer till en speciell sida om man blir blockad. Med hjälp av en knapp på sidan kan man gå förbi blockeringen och det loggas då att man gått runt blockeringen. Jag gillar detta, för det händer enstaka gånger att man faktiskt har anledning att gå till en sida som är blockerad. Nu försöker jag normalt inte accessa väldigt suspekta sidor, så jag vet inte om det finns typ två nivåer av blockering där man bara kan gå förbi den ena.

Ett företag som informerar sina anställda om att deras nätverkstrafik loggas har rätt stora befogenheter att bestämma vad som sker på deras nätverk och utrustning.

Normalt finns någon form av ”acceptable use policy” som tillåter företaget att vidta disciplinära åtgärder mot anställda som grovt bryter mot denna policy. Det handlar alltså inte om att göra det omöjligt för tekniskt kompetent personal att komma runt de staket man satt upp, utan om att ha ett verktyg för att legalt hantera om en anställd sitter med snoppen i handen istället för att jobba på arbetstid, och att kunna lägga ansvaret på folk som brutit mot reglerna om detta regelbrott exempelvis resulterar i produktivitetsbortfall eller haveri (exempelvis i termer av hög bandbreddsförbrukning eller malwareutbrott).