Frage Vertrauliche Dokumentation und die Rolle des Sysadmin


Ich habe noch einen interessanten.

Ich bin dabei, den Personaladministrator-PC zu sichern und neu zu installieren. Ich vermute, dass der schnellste Weg dazu besteht, das Windows 7-Übertragungstool zu verwenden und ein Backup der gesamten Benutzer- und Einstellungsprofile auf dem NAS zu erstellen.

Ich sehe kein Problem damit.
Sie behauptet, dass niemand sonst die Informationen auf ihrem Computer sehen könnte. Meinetwegen. Ich denke, dass der Systemadministrator (ich) in der Lage sein sollte, ein Backup zu erstellen, keine Fragen zu stellen und das Backup zu löschen, sobald die Aufgabe abgeschlossen ist.

Ihre Ansicht ist, dass niemand (nicht einmal die anderen Direktoren) in der Lage sein sollte, die HR-Dokumentation auf ihrem PC zu sehen.

Wir haben bereits ein Semi-Backup (Dateien, nicht Benutzerstatus) auf box.net, das granularen Zugriff auf verschiedene Benutzer erlaubt.

Fragen:

1) Wer von uns ist verrückt, sie oder ich?

2) Trauen Sie Ihren Systemadministratoren, Sicherungskopien von Unternehmensrichtlinien / HR-Dateien zu erstellen?

3) Hat jemand eine LART?


48
2018-06-14 10:21


Ursprung


das klingt nach einer guten Frage für Informationssicherheit. - AviD
Warte, sie macht sich Sorgen um die Sicherheit dieser Dokumente und sie werden in einem Online-Dienst gespeichert? Oh, und lass sie diese Dateien in einem TrueCrypt-Container speichern. Sie können den Container nach Bedarf sichern und wiederherstellen, und ihre Dokumente sind sicher (r) von anderen. - afrazier
Eine zusätzliche Schicht von Dingen, die schiefgehen können. Auch eine zusätzliche Ebene, mit der ich nicht helfen kann. - Tom O'Connor
@ Tom O'Connor: Um das auf die Spitze zu treiben: Warum nicht eine Schreibmaschine? Ein moderner Computer hat zu viele zusätzliche Schichten, die sowieso schief gehen könnten (beginnend mit der Abstraktion / geteilten Illusion diskreter Bits, und Aufbau von dort) - es ist wie üblich Sicherheit gegen Benutzerfreundlichkeit. Verschlüsselung ist in der Tat die richtige Antwort, auch wenn das unbequem ist. - Piskvor
Ah. Ich bezweifle, dass es Referenzen gibt, die Newsgroups als primäre Quelle angeben ... - Mark Henderson♦


Antworten:


Meine Meinung dazu mag hier nicht populär sein, aber ich denke, sie hat recht, HR ist eine sehr spezifische Rolle in den meisten Unternehmen, die eine sehr wichtige Fähigkeit erfordert - absolute Diskretion. IT-Mitarbeiter müssen eine sehr breite Palette von Fähigkeiten haben, und während Diskretion wichtig ist, ist es nicht das "Alles und alles", was HR betrifft. In der Regel ist die Rekrutierung von IT-Mitarbeitern auch in diesem Bereich weniger gründlich.

Vielleicht gibt es dafür eine technische Lösung. Wie wäre es, wenn Ihre HR-Mitarbeiter ihre eigenen Daten auf verschlüsselte externe Festplatten sichern, die sie besitzen / verwalten / speichern?

Letztendlich müssen Sie sich schützen, wenn Sie keine HR-Daten bekommen, dann sind Sie im Klaren, wenn Ihr Management sieht, dass Sie Ihr Bestes versucht haben und so sicher und privat ein Mittel zur Verfügung stellen, um Ihre Arbeit funktional zu erledigen ohne sich den Vorwürfen der Datenerhebung auszusetzen, werden sie glücklich sein - selbst wenn der Prozess klobig und langsam ist.

Grundsätzlich haben Sie keine Angst, Ihren eigenen Arsch in diesem Bereich zu decken - die meisten Menschen werden es verstehen und die HR-Leute werden es schätzen, dass Sie ihre Rolle und Autorität respektieren. Und natürlich solltest du sowieso niemals HR verärgern, diese Ninny's Hilfe entscheidet dein Schicksal aus irgendeinem verrückten Grund :)


34
2018-06-14 10:33



Ich denke, wir haben tatsächlich eine Lösung gefunden, die auf einer ganzen Reihe von Punkten basiert. 1) Nichts Feines ist auf dem PC selbst gespeichert. 2) Backups werden über DVD im Feuersafe und Box.net durchgeführt. 3) Es stellt sich heraus, dass sie mir vertrauen, aber immer noch sicherstellen müssen, dass sie ihre kollektiven Ärsche verdecken. - Tom O'Connor
"In der Regel ist die Rekrutierung von IT-Mitarbeitern auch in diesem Bereich weniger gründlich." Das ist ein bedeutendes Versagen von HR & Management. In vielen Organisationen (insbesondere kleinen und mittelständischen Unternehmen) verfügt die IT über Zugangsebenen "Schlüssel zum Schloss", mit denen nahezu jedes in der Organisation gespeicherte Dokument und DB gelesen und geändert werden kann. - afrazier
@afrazier - Sie haben absolut Recht, aber ich habe die Einstellung des Senior Managements zu IT-Rekrutierung in einer Reihe von Unternehmen und Ländern im Laufe der Jahre gesehen - die meisten Senior-Leute denken an alle außer ihre Top-IT-Leute als Ware, traurig, aber wahr. - Chopper3
Es deckt nicht immer nur deine ASSets ab. In vielen Staaten (und einigen Ländern) kann das Versagen, Ihre Integrität zu schützen, eine Welt der rechtlichen Verletzungen für Sie eröffnen. - Jim B


Nr. 1:

Sie hat einen Punkt, aber da Sie mit anderen vertraulichen Informationen vertraut werden, sollten Sie auch HR-Informationen vertrauen. Erklären Sie, dass Sie Zugriff auf die Sicherung der Dateien benötigen.

Nr. 2:

Ich habe vollen Lesezugriff auf meine aktuellen Systeme. Alles wird gesichert und der Dateizugriff wird protokolliert. Ich habe wichtigere Dinge zu tun, die mir Sorgen machen, dass ich durch HR-Dateien stochere oder herausfinden würde, wie viel die Schule für das Essen für die Schulkatze ausgegeben hat. An meinem vorherigen Arbeitsplatz konnte ich einige Admin-Bereiche nicht sehen (aber der Netzwerk-Manager konnte das).

Nr. 3:

enter image description here


10
2018-06-14 10:35



Als Systemadministrator haben Sie Zugriff auf die Dateien von Personen, ihre E-Mails und den Netzwerkverkehr. Wenn ein Unternehmen seinen Systemadministratoren nicht vertrauen kann, haben sie bereits ein Problem mit den Einstellungspraktiken. Sie müssen Zugriff auf Dateien haben, um sie zu sichern. Obwohl es gut ist, dass sie ihren Job ernst genug nimmt, um sich Sorgen um Leute zu machen, die auf diese Dateien zugreifen, müssen Sie die Arbeit erledigen. - Bart Silverstrim
Auch diese Dateien sind nicht ihresper se, aber die Firma. Da Sie für die Interessen der Firma und des Unternehmens arbeiten, sollte sie Ihre Arbeit nicht behindern. - Bart Silverstrim
Was würde auch passieren, wenn ihr Computer kaputt geht? Vertraut sie dir, es zu reparieren? Problembehandlung? Zurück in den Arbeitsbereich, an dem gearbeitet werden soll? Vertraut sie darauf, dass Sie Hardware / Daten zerstören, bevor Sie den Computer verschrotten, dass Sie die Richtlinien des DoD zur Datenvernichtung befolgen? Oder nimmt sie den Computer mit, wenn sie in Rente geht? Wenn Sie die Daten haben wollen, zu denen sie Zugang hat, ist sie sogar technologisch kompetent, um zu verstehen, dass sie als Systemadministrator keine Ahnung hat, wie Sie diese Informationen nicht erhalten können? - Bart Silverstrim
Merken. "Zurück vom Mann. Ich bin Informatiker." Dann mach den Job. Wie ein Chef. setzt eine Sonnenbrille auf - Bart Silverstrim
Upvoted für Cat5-of-Nine-Tails. - eckza


Sie hat Recht, und Sie auch.

Sie ist (vielleicht mein Gesetz) verpflichtet, diese Informationen zu schützen, Sie werden angewiesen, Ihre Arbeit zu tun.

Das ist das Dilemma.

Vielleicht solltest du ihr anbieten, ihren PC neu zu installieren, während sie in deiner Nähe ist, damit sie sicher sein kann, dass ihre wertvollen Daten nicht kompromittiert sind


5
2018-06-14 10:27





Systemadministratoren sind hier vertrauenswürdig, aber alle Administratoraktionen werden protokolliert. Ich weiß nicht, wie sehr so ​​etwas sie bestätigen würde - die Protokollierung von Aktionen, so dass gezeigt werden kann, dass nur der Backup-Prozess diese Daten sichert, nicht Sie, um sie zur Unterhaltung zu lesen.

Die anderen Punkte zu machen ist so schlimm wie es sein könnte, wenn Sie dieses Zeug über die Backups gelesen haben, erstens ist sie ernsthaft sagen, dass schlimmer wäre als die Dokumente für immer verloren, weil sie nicht gesichert waren, und zweitens, dass HR Direktorin sollte sie sicherstellen können, dass jeder Missbrauch von Systemadministratorrechten als grobes Fehlverhalten behandelt werden kann.

Zu guter Letzt, sind Sie Mitglied der BCS / anderer IT Professional Association? Wenn ja, haben diese Mitglieder Regeln über Ethik. Wenn Sie Mitglied einer solchen Berufsvereinigung sind, kann es sein, dass Sie sich auf Ihre beruflichen ethischen Anforderungen verlassen.


2
2018-06-14 10:31



Die Sicherheitskopien der kritischen Dateien werden von box.net verwaltet. Das sind alles Sachen vom Typ USMT. - Tom O'Connor
ahh das habe ich verpasst. Kannst du nicht einfach ihre Daten von box.net auf das neue System wiederherstellen? - Rob Moir
Ja. Das ist genau der Punkt. - Tom O'Connor
@Robert - Selbst wenn du die Dateien wiederherstellst, kannst du sie nur lesen, wenn du den Besitz übernommen hast (unter Windows). - Jim B
Die Liga der professionellen Systemadministratoren (welcher Serverfehler Partnerschaft mit eine Weile zurück) hat eine Ethikkodex was hier relevant sein könnte. - Handyman5


Das ist nicht deine Entscheidung. Angenommen, Sie tun dies in einem entwickelten Land, dann gibt es Gesetze zur Offenlegung privater Informationen. Ihr HR-Experte weiß wahrscheinlich mehr über diese als Sie.

Es geht auch nicht darum, Backups zu erstellen, sondern was passiert mit diesen Backups? Wenn sie vertrauliche Informationen enthalten, müssen die Backups selbst besonders sicher sein - sicherer als vertrauliche Informationen anderer Unternehmen. Was machen Sie, wenn jemand eine Datei aus den Backups wiederherstellen möchte? Du wirst sie nicht mehr abgeben können, um von jemand anderem wiederhergestellt zu werden - du musst es selbst tun. Denken Sie daran, dass dies auch Ihre vertraulichen Informationen sind - wen möchten Sie über Ihre disziplinarischen Probleme, Ihre Bezahlung oder die Tatsache, dass Sie eine psychologische Beratung durch Ihre Versicherung erhalten haben, informieren?

EDIT: Um es klar zu sagen, ich sage nicht kategorisch "nur der Leiter der HR sollte diese Dateien sehen". Aber es gibt Vertraulichkeitsprobleme mit HR-Daten, die sich von anderen Unternehmensgeheimnissen unterscheiden. Es geht nicht darum, ob die Systemadministratoren "vertrauenswürdig" sind oder nicht, sondern darum, die Anzahl der Personen zu reduzieren, die Zugriff auf HR-Datensätze haben. Weder der CEO noch die Systemadministratoren benötigen diesen Zugriff unbedingt.

Dazu gibt es technische und verfahrenstechnische Lösungen. Vielleicht sollte die HR-Maschine getrennt von allem anderen gesichert werden und die Backups an einem separaten Ort aufbewahrt werden. Vielleicht geschieht dies bereits und Ihre HR-Person muss nur beruhigt werden, dass sie angemessen betreut wird. Vielleicht können Sie und Sie alleine und nicht Ihre Assistentin, die nächstes Jahr eingestellt wird, mit ihnen arbeiten.

Kurz gesagt, keiner von euch ist verrückt und Sie müssen herausfinden, wie Sie dies für Sie beide tun können, während Sie sich an das Gesetz halten.


2
2018-06-14 15:14



Ich bin mehr als glücklich, mein Gehalt jedem zu offenbaren, der fragt. - Tom O'Connor
Und die psychischen Probleme? :-) - DJClayworth
Wenn es Gesetze gibt, sollte die IT auf diese Gesetze aufmerksam gemacht werden - nicht eine vage Aussage, dass die IT nicht berechtigt ist, mit HR-Daten umzugehen. - blunders
Es gibt keine. - Tom O'Connor
Das sind gute Neuigkeiten. Aber wenn Sie das getan haben, bin ich mir ziemlich sicher, dass Sie wollen, dass so wenige Leute in der Firma über sie Bescheid wissen. Oder es gibt noch eine andere Sache, die Sie nicht unbedingt wissen wollen. - DJClayworth