Kontrola komputera pracownika przy pomocy keyloggera – czy to bezpieczne i legalne?

Dlaczego mój pracownik nie robi tego, co powinien? Jeśli to pytanie kiedykolwiek przeszło Ci przez głowę, rozważ wprowadzenie dodatkowego środka kontroli. Dzięki niemu uzyskasz pewność, czy rzeczywiście wykonuje swoje obowiązki. Mowa o keyloggerze – specjalnym programie umożliwiającym monitorowanie komputerów zatrudnionych przez Ciebie osób.

Czy keyloggery są zgodne z prawem? Czy ich stosowanie jest ryzykowne? Ten poradnik rozwieje Twoje wątpliwości.

Co to jest keylogger i jak działa?

Spotkałeś się już z terminem keylogger? Jeśli tak, bardzo prawdopodobne, że usłyszałeś o nim w kontekście złośliwego oprogramowania atakującego komputer. Choć jest w tym sporo prawdy, samo pojęcie “keylogger” jest neutralne. Oznacza program lub urządzenie, które monitoruje i rejestruje klawisze naciskane przez użytkownika komputera. Keyloggery sprzętowe występują wprawdzie o wiele rzadziej, niż programowe, ale dobrze, żebyś miał świadomość ich istnienia.

Wiele keyloggerów posiada znacznie więcej funkcji, niż samo rejestrowanie uderzeń klawiszy. Za pomocą zaawansowanego keyloggera skontrolujesz:

• odwiedzane strony internetowe,
• rozmowy w komunikatorach,
• dokumenty, do których uzyskiwano dostęp,
• użyte aplikacje,
• zrzuty ekranów z czynności wykonywanych na komputerze,
• film ukazujący wszystko to, co dzieje się na ekranie,
• zawartość schowka – operacje wytnij, kopiuj i wklej.

To nie wszystko. Sporo keyloggerów pozwala na przypisywanie naciśnięć klawiszy do poszczególnych klatek filmu nagrywanego filmu. Dzięki temu, dokładnie określisz, w jakich programach dane klawisze zostały użyte.

Wiele keyloggerów stworzono właśnie z myślą o bezpieczeństwie firmy. Używając takiego programu, nie tylko uzyskasz pewność, że pracownik rzetelnie wykonuje swoją pracę. Uchronisz się również przed zagrożeniami ze strony podwładnego, np. kradzieżą poufnych danych. W tym celu, niektóre keyloggery dają możliwość skorzystania z uruchomienia nagrywania po zarejestrowaniu określonego słowa kluczowego, a także włączenia alertu, który poinformuje Cię o wykryciu zagrożenia.

Alerty dotyczą nie tylko tego, co pracownik wpisuje, ale też zawartości schowka. Słowa wyzwalające alert możesz oczywiście dowolnie konfigurować.

Czy keylogger jest legalny?

To, czy keylogger jest legalny, zależy głównie od sposobu, w jaki jest używany.

Keylogger jest nielegalny wtedy, gdy służy do celów przestępczych – wykradania poufnych informacji, danych osobowych, loginów i haseł czy informacji finansowych. Takie keyloggery hakerzy instalują na komputerach bez wiedzy użytkownika, co jest niezgodne z prawem.

Kiedy keylogger służy do monitorowania aktywności w celu zapewnienia bezpieczeństwa, możesz go używać legalnie. Takie oprogramowanie kupisz bez problemu na otwartym rynku. Stosuje się go np.:

• do ochrony rodzicielskiej, czyli śledzenia tego, co dziecko robi w internecie,

• w celu zapewnienia bezpieczeństwa w firmie, np. kontrolowania, w jaki sposób pracownik wykorzystuje służbowy komputer podczas pracy i po niej, a także w celu śledzenia wprowadzania kluczowych słów i fraz związanych z informacjami handlowymi, które nie mogą zostać ujawnione,

• przez organy ścigania, w celu ujęcia przestępcy,

• aby potwierdzić zdradę małżonka lub partnera, śledząc jego aktywność w internecie.

Powyższe przykłady użycia keyloggerów uważa się za legalne, jednak w przypadku monitorowania aktywności pracownika musisz spełnić jeszcze kilka warunków. Kwestię tę reguluje art. 22 ze zn. 2 Kodeksu Pracy. Co należy zrobić, aby monitoring był legalny?

• Określ cel, zakres i sposób stosowania monitoringu

Możesz to zrobić w układzie zbiorowym pracy, regulaminie pracy lub w obwieszczeniu, jeśli nie stosujesz regulaminu lub układu zbiorowego.

• Poinformuj pracowników

Zrób to nie później, niż 2 tygodnie przed uruchomieniem keyloggera.

• Nie naruszaj prywatności pracownika

Decydując się na monitoring za pomocą keyloggera, nie możesz odczytywać prywatnych rozmów pracownika ani przeglądać jego prywatnych dokumentów. W przypadku naruszenia dóbr osobistych, pracownik może ubiegać się o odszkodowanie.

Jak widzisz, dobrze użyty keylogger zmniejszy ryzyko wycieku firmowych danych i pozwoli na kontrolę tego, w jaki sposób zatrudnione osoby wykonują swoje obowiązki. Jednak co na to pracownicy?

Czy pracownik musi wyrazić zgodę?

Niektórzy pracownicy mogą nerwowo zareagować na informację o wprowadzeniu monitoringu na ich służbowych komputerach. Odpowiednie przekazanie im tej wiadomości oraz wytłumaczenie, w jakim celu go stosujesz, powinno ich uspokoić – chyba, że mają coś na sumieniu.

Niezależnie od reakcji podwładnych, pamiętaj, że Kodeks Pracy nie daje im możliwości niewyrażenia zgody. Poinformowanie pracownika to czynność jednostronna. Musisz to zrobić, a także w razie konieczności mieć możliwość udowodnienia, że podałeś odpowiednią informację wszystkim zatrudnionym przez Ciebie osobom.

Choć przepisy zobowiązują Cię do poinformowania pracowników posiadających umowę o pracę, dobrze jednak mieć taką praktykę również do osób zatrudnionych w innej formie – na umowę zlecenie czy o dzieło. Przy okazji warto wspomnieć, że informować musisz o każdej formie monitoringu – zarówno o tym tradycyjnym, rozumianym jako kamery, o obserwowaniu poczty elektronicznej, jak i o wszystkich innych rodzajach monitoringu, które służą odpowiedniej organizacji pracy.

Aby mieć pewność, że informacja o wprowadzeniu keyloggera do codzienności biurowej Twojej firmy dotarła do każdego pracownika, warto nie tylko dokonać odpowiedniego zapisu w regulaminie pracy czy układzie zbiorowym. Dobrze oprócz tego rozesłać maila z informacjami o celach, zakresie i sposobie monitorowania. Będziesz mieć pewność, że w razie konieczności dysponujesz dowodem bezpośredniego poinformowania każdego pracownika o istnieniu monitoringu na jego służbowym komputerze.

Czy keylogger stanowi zagrożenie?

Decydując się na wprowadzenie keyloggera, musisz mieć świadomość, że nie daje Ci on uprawnień do nieograniczonego obserwowania pracownika. Łatwo przekroczyć etyczną granicę między uzasadnionym monitorowaniem a szpiegowaniem. Używaj więc programów do monitorowania tylko w uzasadnionych sytuacjach, zgodnie ze stworzonym wcześniej regulaminem.

Niestety, legalne oprogramowanie jest często wykorzystywane do kradzieży poufnych informacji, jak np. dane logowania. Takie sytuacje nie mogą mieć miejsca w Twojej firmie. Kiedy użycie keyloggera nie jest konieczne, spróbuj zastosować również inne metody, np. ograniczenie dostępu do istotnych danych niektórym pracownikom.

Uważaj również, abyś sam nie stał się ofiarą nielegalnie użytego keyloggera. Cyberprzestępcy wykorzystują je głównie do kradzieży danych związanych z różnymi systemami płatności online, aby przejąć kontrolę nad kontem bankowym i wyczyścić je z wszystkich oszczędności.

Wiele keyloggerów ukrywa się w systemie – to tzw. trojany keyloggery. Dzięki nim, hakerzy śledzą aktywność użytkownika, np. uderzenia w klawisze, a uzyskane w ten sposób informacje wykorzystują do różnorakich oszustw internetowych. Nic dziwnego, że wykrywanie tego typu keyloggerów jest priorytetem firm antywirusowych. Ponieważ twórcy wirusów nieustannie tworzą nowe programy, warto wyposażyć się w skuteczne, regularnie aktualizowane narzędzie sprawdzonej firmy, np. Kaspersky, Norton, Panda, Bitdefender lub ESET.