Uslovljavanje od strane kompanije da se instalira sumnjivi software "radi sigurnosti"

Pozdrav,

evo napravih ovaj nalog samo za potrebe ove teme. Razlog sto temu postavljam u ovu sekciju je sto ce vise ljudi videti, samo da ne okrenete na zajebanciju :D Naime u kompaniji u kojoj radim su svi zaposleni uslovljeni da instaliraju software po imenu Drata. U pitanju je neki software koji proverava sigurnosne protokole na operativnom sistemu kako bi uverili klijente da smo ozbiljna firma bla-bla. Ono sto sam uspeo da nadjem je da se radi o nekoj start-up kompaniji sa namestenim review-ima, kako je to prava stvar (veruj mi brate samo instaliraj) bez ijednog negativnog komentara.

Trazi se od nas da bez pogovora instaliramo pomenuti software na licnim racunarima jer radimo remote i on ce ko zna sta da radi tu u pozadini, kao sve je sigurno nema nista da brinete, samo je bitno da ga sinhronizujete svaki dan sa vasim sistemom. Radi kao i svaki drugi program mozete da ga zaustavite kada hocete i ne zahteva admin privilegije.

Ali taj .exe mora da se instalira ili cao ne zelis da budes deo sistema ispadas. Sad ja kapiram ako instaliram taj exe i krene da skenira redom sta ja sve drzim na svom kompu mozda i odustanu od te ideje :D Problem je ocigledno rusenje privatnosti nas zaposlenih koji koristimo privatne racunare za komercijalne svrhe. Inace posto je velika kompanija u pitanju poklonice nam windows kljuceve (verovatno one po 2 dolara) cisto da ne bude da nemamo legalan win.

Resenje ovde vidim u virualbox-u, da instaliram virtuelnu masinu i stavim na nju taj tracking software ali zelim da cujem vase misljenje jer u firmi nece niko da kaze ne, a ja iskreno nisam dovoljno placen da radim sve sto mi se kaze. Tako da ljudi, kapiram da niko ne zna o kakvom se softveru radi, ali sta biste uradili u ovoj situaciji?

I meni je virtuelna masina prva pala na pamet. Mada ja kod takvih stvari imam princip da ako hoce tako nesto da se instalira onda neka mi daju poslovni kompjuter. Doduse, dobio sam poslovni za remote rad bez da je doslo do toga na ovaj nacin, ali u hipotetickom slucaju.
Isto tako ako trebam za posao koristiti telefon, jos pogotovo ako treba kojesta da se instalira - super, dajte mi poslovni telefon i nema problema.

Potpis

Nebojsa Milanovic:
-Trumpa smatram vrhunskim predsednikom i voleo bih da živim u državi na čijem je on čelu
-Rusija ne laže, ne vodi osvajačke ratove
-Trump je svetla tačka u USA blatu
-Elon Musk, možda najpametniji i najtrezveniji Amerikanac

https://www.stat.gov.rs/sr-Latn/oblasti/cene/potrosacke-cene

verovatno ima neki relevantniji sajt, ali eto ovaj za pocetak

Bas neke saljivdzije ta IT ekipa iz tvoje firme - hoce da uvere klijente da je firma ozbiljna dr*ajuci LICNE RACUNARE zaposlenih. Pa majku mu bozju to je daleko veci problem od bilo cega drugog.

Ja bi im ponudio 2 opcije:

1. Da posalju svoju IT opremu koja je u MDM sistemu firme, na kojoj ces ti raditi za vreme radnog vremena
ili
2. Da odje*u (ako ti se bas ostaje tu na finjaka)

Eventualno, ako bas insistiras, mozes da im predlozis to sa VM-om - ali sve na papiru, crno na belo - sve dokumentovano kako predlog tako i odobrenje i protokol kako ce se to izvesti. Gledaj da to samo bude >predlog< - nikako angazovanje osim ako ti IT infra nije posao.

Kriti tako nesto je besmisleno posto taj softver najverovatnije detektuje da radi u VM-u + to je osnova za disciplinsku opomenu ili otkaz (koji bi onda morao na sudu da obaras, mislim.. cemu)

Potpis

DigiCortex (ex. SpikeFun) - Cortical Neural Network Simulator:
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey

Hvala puno na odgovorima, nisam iskreno znao da software moze da zna da radi unutar VM-a. Ostaje mi onda ili da se pobunim i dobijem otkaz ili da uzmem neki stari komp i stavim windows 10 za potrebe te sinhronizacije. Ono sto meni smeta u celoj prici je sto se radi o softveru o kome niko nista ne zna, nego se to namece kao obavezan korak ako zelim da nastavim sa radom. Software od kompanije koja nije stara ni godinu dana, ima jedan clanak o njoj na netu, namesteni review-i i zabranjeni komentari na YT-u su nesto sto sigurno ne uliva poverenje :)

Tema je zanimljiva, ali je naslov nejasan. Preformulisaću na dva načina:

1. "Uslovljavanje od INOSTRANE kompanije da se instalira ..."
2. "Kompanija uslovljava da se instalira ..."

Ono šta je meni prvo palo na pamet, da je to "nadzorni softver".
Tj. softver koji će povremeno i nasumično da uradi screen shot i da prosledi poslodavcu.
Zavijen u "oblandu" security ... ovoono ...

Potpis

OTPOR blokadi ulica, OTPOR blokiranom Beogradu, OTPOR blokiranoj Srbiji

Lici mi na ono sto apvork i slicni koriste za nadgledanje iznajmljenih programera ... Kupac moze povrsno pogledati dali si i sta radio za to vreme koje zelis da naplatis. Tu obicno bude: 5-6 printa ekrana na sat, brojanje pritisnutih tastera, merenje perioda neaktivnosti i slicno ... Neki ti daju mogucnost da vidis sta ce biti poslato kupcu, eventualno da izbrises nesto sto smatras privatnim ...

>> duplirasmo ...

Potpis

U padu jednog carstva stradaju svi, tako je uvek bilo, tako će biti i sada. Verovatno će posle svega ovoga
biti formirani neki novi blokovi, nova uređenja. A mi? Eh, a mi..

Navodno se radi o SOC 2 sertifikaciji, a za te potrebe mora da se koristi softver koji prati protokole koji se koriste i eventualno obezbeđuje ugroženost podataka klijenta, ali podataka same firme (koji mogu imati veze sa podacima klijenata), i tome ima pristup treća firma koja radi sertifikaciju, tj. odobrava sertifikat.

Sve je zamišljeno lepo za firme gde imate firmin računar, pa firma ima pravo da na taj računar instalira šta hoće (jednostavno dobijete računar sa instaliranim alatima), ali ako morate da radite sa privatnog računara, to je već problem, jer će i taj softver da otkrije ko zna kakve probleme, jer način na koji se koristi privatan računar može biti ocenjen kao nebezbedan po pitanju zahteva za SOC 2 sertifikaciju.


P.S. Ako je problem VM, možeš da instaliraš Win na drugu particiju i njega koristiš samo za posao, s tim što u tom Win-u sakriješ sve ostale particije.

Potpis

Blessed are those who can laugh at themselves, for they shall never cease to be amused.

Meni ovo deluje kao najbolja opcija.

S tim što, s moje tačke gledišta, nema razloga da se kriju ostale particije.

Moj komp, moj disk, "napravio sam particije pre 10 godina" ... Šta smeta? Kakve veze ima ?!? Dok radim, aktivan je ovaj Win, protokoli su takvi i takvi ... sve uredno.

E, sad, ako će kompaniji da smeta i boja kućišta mog desktopa ... onda jbg.

Potpis

OTPOR blokadi ulica, OTPOR blokiranom Beogradu, OTPOR blokiranoj Srbiji

Kako znate da taj program neće da brlja po ostalim particijama?

Ma kakve sertifikacije, trice i kucine - onog momenta kad se pomene privatna svojina treceg lica (u ovom slucaju radnika) - bas bih voleo da vidim tu sertifikaciju koja ce to da pusti, a da je neki iole ozbiljan kupac (banka, veliki proizvodjac, itd.) prihvati. Bog te je*o mene pre 10 godina od jednog poveceg igraca driblali o air-gap mrezama, sertifikatima, kontrolom inventara, ovakvom i onakvom bezbednoscu... mogu misliti da sam im rekao "a da imamo i flotu bog te pita kog hardvera na mrezi, u vlasnistvu individua koje rade za nas".

Ocigledno je da je ovo nesto drugo - sto je Java pomenuo, verovatno pracenje rada zaposlenih.

Ali, nebitno - sustina je da nije profesionalno uopste dozvoljavati tako nesto, da ne pricam o svim mogucim problemima.



Mislim da moras prvo sa sobom na cisto da izadjes: da li se bojis otkaza i da li si spreman da radis sve sto ti firma kaze?

Ako je odgovor na to "da" - onda brate stavi to sto ti traze nemoj se zezas sa VM-om ako ne planiras da im kazes - detekcija VM-a je trivijalna a ako je firma takva da se za ovakve stvari fasuje otkaz, to sto si pokusavao da ih radis bi ti bila express karta. NARAVNO za bilo kakvu akciju instalacije firminog softera, trazices od firme da zvanicno napisu zahtev i da im zvanicno odgovoris i oni posle zvanicno potvrde da je sve instalirano kako treba.

Zasto? Osiguranje za tebe - ako jednog dana, dodje murija u njihove prostorije - ti nemas nista sa tim. Radio si svoj posao, sef ti poslao zahtev, evo papir.

U svakom drugom slucaju: nije OK da firma ima bilo kakav pristup tvojoj privatnoj svojini. Ne samo da nije OK, vec u gomili drzava bi to bilo prakticno odmah nelegalno. Prihvatanjem toga ne cinis dobro ni sebi a boga mi ni firmi cak i ako to ne kontaju.

Svaka normalna firma obezbedjuje svoju opremu za rad. Pricam o zaposlenima, ne konsultantima i sl. Onda imas lepo inventar, imas 100% kontrolu nad masinom, imas 100% kontrolu nad softverom. Ako su jeftine 3.14cke imaju one "thin" barebone Gateway/Dell/... kutijice koje se preko RDP-a kace na neki server.

ALI ako su bas odlucili da se izlazu riziku - tvoja prica treba da bude: VM resenje ima smisla samo ako je transparentno - znaci predlozeno firmi i ona to usvoji i odobri eksplicitno. Inace u svakom drugom slucaju je to samo akt zaposlenog protiv nekog propisa firme.

Potpis

DigiCortex (ex. SpikeFun) - Cortical Neural Network Simulator:
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey

Ako se ne radi o nekoj preskupoj opremi, meni izgleda najjednostavnije da kupiš još jedan računar koji ćeš da koristiš samo za posao.

Najbolje rešenje po zaposlenog, tj. pokretača teme, jeste da traži kompjuter od firme i da na njemu radi sve što treba za firmu. A na privatnom kompu nek radi šta 'oće... Sa zadrškom da pokrije kameru i mikrofončić kad mu ne trebaju. Kad može Zukenberg to da radi može i pokretač teme. Zukenberg ne radi to što hoće, nego što mora.

Evo ja i Buzzy se saglašavamo :)

Zašto to sve što si ispisao lepo ne pitaš tu firmu koja ti to nameće da ti objasne?

Potpis

Nemoj da pricas?

Zašto to sve što si ispisao lepo ne pitaš tu firmu koja ti to nameće da ti objasne?

Druze bez uvrede ali ako se vec bavis opravljanjem oluka tesko da ces shvatiti sta god da ti napisem. Napisao sam gore sta je njihovo objasnjenje, a moje je da se raspitam na vise strana. Njihovo objasnjenje je da to svakako nije stvar oko cega treba mi radnici da se opterecujemo, nego samo da instaliramo softwer i "da se nista ne brinemo".

Hvala svima, pre svega Ivanu Dimkovicu na korisnim odgovorima, svakako cu nesto od toga uraditi, samo da vidim kako se razvija situacija jer je rok jos nedelju dana da se to odradi.

Pozdrav svima

Sa druge strane ... svašta sam ja u životu "progutao" zarad plate, po principu "veži konja gde ti gazda kaže".


A, verovali ili ne, kad sam bio deo menadžmenta, u jednom periodu života i rada, i očekivao sam da radnici urade ono šta im se kaže.
Kasnije, kad više nisam bio u menadžmentu, (promenio firmu) mnogo sam lakše prihvatao zadatke tipa "veži konja gde ti gazda kaže".

---

Sve u svemu, ako je plata dobra, ako je posao OK, ako su drugi uslovi zaposlenje dobri, instaliraj fuckin' softver, i ne misli više o tome.

Potpis

OTPOR blokadi ulica, OTPOR blokiranom Beogradu, OTPOR blokiranoj Srbiji

Ma kakva uvreda, nego ti nisi obavešten, mi što opravljamo oluke uvek sve najbolje shvatamo. A ja sam ranije radio šta mi se kaže, a promenivši par poslova navikao da pitam šta me zanima, pogotovo ako sam zabrinut, safety first ..

A tvoj izveštaj je malo kontradiktoran, "velika firma" ali daju bedne ključeve od 2$ i sumnjiv softver? Kontam ako pitaš, i na osnovu tog odgovora možeš da upravljaš svoje akcije ..

Ili recimo ako ti se ne sviđa softver Drata, da li znaš da postoji neki sličan softver, ali koji ima rivjue i koji su radnici koje kontroliše pozitivno ocenili? :) Da predložiš firmi da uzmu taj bolji? Čim to predložiš neko će primetiti tvoju inicijativu, pa ćeš već u sledećem ciklusu možda biti team leader, a možda i ne.

Potpis

Nemoj da pricas?

Rekao je "verovatno one od 2$" aludirajući na to da firma štedi na svemu, pa i na tome da zaposlenima kupi računare (npr. ovde kod mene firma koja radi razvoj za iOS zaposlenima kupuje MacBook Pro 16" računare od pola miliona dinara, a ta "velika firma" ne može ljudima da kupi ni laptop od 500€?
Možda firma ima neke VLK, ali im nisu to dali jer koriste privatne računare?

Možda firma i ima budžet da kupi programerima laptop/desktop računare za rad od kuće, ali pošto neki tamo menadžment ima pravo da odlučuje kako hoće, oni taj novac lepo podele sebi kao bonuse...

Potpis

Blessed are those who can laugh at themselves, for they shall never cease to be amused.

Ne slazem se sa ovim. Bio i radnik i vlasnik i suvlasnik i menadzer. Godina je 2021, nisu ovo neke 90-te - jedino ako covek nema izbora, nema izbora to je to.

Ali principijelno ovo nije OK. Kolika god da je plata, davanje pristupa privatnom racunaru JE JE*ENO LOSA STVAR.

- Otkud ti znas kakve su namere menadzmenta?
- Otkud ti znas kakve su namere IT ekipe? Hoces mozda da ides u Amerike da se ganjas sa njima na sudu (ti placas troskove, btw)?
- Cak i da znas da su namere menadzmenta "ciste" (a nisu, ovo nema nikakvo opravdanje osim ciste nekompetencije, sto je opet lose) - sledeci menadzment ne mora biti
- Da li si svestan da ovo uopste nije po propisima - zato moras traziti sve da se zastitis zato sto ovo prosto priziva probleme (ako ovo rade, rade jos svasta sigurno)

Da li kapiras da mogu bukvalno da ti strpaju kojekakav kriminalni materijal na disk - ko ce da te opere onda? Nece? Kako znas da nece? Odrastao si sa njima, znas ih u dusu?

Ili sve i da nema lose namere - neki virus. Sta ce biti onda? Nista, mora se?

Sta ce biti ako tako zavrnu neku musteriju, ode na sud sve - pa se na sudu ispostavi da radnici drze ko zna sta na privatnim masinama? Sta ako podaci HIPAA (medicinski)? Bole te ti si u Srbiji? Aha, a jel planiras mozda nekad u zivotu da ides u USA - cisto ono, posto ces morati da ih izbegavas.

O cemu pricamo bre - probaj da zamislis OBRNUTU situaciju: ajd idi zamoli firmu u USA da drzi tvoje privatne stvari. Hahahaha, pazi - cak i ako bi to nekako moglo, pre toga bi morao da potpises papir da ces, ako treba, bubrege prodati i goreti u paklu kako bi ih "cuvao od stete" sa kompletnim preuzimanjem svih odgovornosti - poznatih i nepoznatih, do kraja univerzuma.

Ljudi bre... zato postoje advokati i zato postoje zakoni, propisi, ugovori.

Ono, bicu brutalan: kakve god bile pricice, marketing: firmi se iebe za tebe, menadzmentu se mozda iebe za firmu ko zna - jedini kome se iebe za sebe si ti. Ako pustis ovo, samo ima sebe da krivis ako se desi s*anje. A s*anja se desavaju.

Vidi ovu gospodu:



Jedan od ove gospode je danas direktor ugledne banke (UBS). Sta? On te ne bi prodao za kesicu koke?

Tvoje je tvoje, firmino je firmino. Firma hoce da ima tvoje? Ne moze - ima ili da plate rentu ili da ti daju njihovo. Ako je to jedino moguce resenje onda oni treba da izadju sa LEGALNIM resenjem. Nesto sto ima pristup tvom privatnom fajl sistemu je nelegalno u dobrom delu Evrope de-facto, sto znaci da ako posluju sa tim delom sveta i njihov "compliance" ide u qr.

Nece? Hoce da otpuste? Iskreno - divna stvar, sa takvim ne zelis da ostajes - mozes ocekivati samo jos gore stvari.

NEMAS IZBORA? Onda brate nemas izbora - du*pe uza zid i > O B A V E Z N O < dokumentovati sve, sve mora bar preko maila - potvrda za sve. Nisi ti dobrovoljno nista, nego su ti trazili, ti uradio, oni potvrdili da si bio dobar corporate citizen i izvrsio svoj zadatak bez pogovora.



To! :) Sta bre jedan, nek kupi covek i datacentar za firmu i neku zgradu jos... a mogao bi da pocne i racune da im placa.

Potpis

DigiCortex (ex. SpikeFun) - Cortical Neural Network Simulator:
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey

Ono što sam napisao je u slučaju da nema izbora i da mora da zadrži posao. Da ima izbora pretpostavljam da ne bi ni pokretao temu, već bi promenio posao.