Keylogger per controllare attività dei dipendenti

[Daniele Pinna]

Salve a tutti... :-)

Un mio cliente, sospetta che uno due suoi dipendenti, invii informazioni
relative alla sua attività all'esterno della ditta (informazioni sui
possibili clienti che posso essere usate e/o vendute a ditte concorrenti).

L'invio di queste informazioni avviene tramite email e di questi invii
ha trovato qualche traccia.

Per tutelarsi, l'unico modo che ha, pare sia l'installazione di un
KeyLogger. L'ho già avvisato che non è "legale" l'utilizzo di questi
software per spiare i dipendenti.

Preciso che i dipendenti sono stati invitati a NON usare internet e la
posta elettronica se non per motivi strettamente legati al lavoro.

Cercando un po su google, ho trovato molti casi simili, in cui qualcuno
voleva installare un keylogger per "carpire" informazioni da computer
non suoi, o per "spiare" un dipendente durante la navigazione o email
(presumo non legati al lavoro).

Non ho però trovato casi in cui qualcuno voleva installare un keylogger
solo per verificare il comportamento corretto dei dipendenti (lo so non
cambia poi molto...)

Mi sapete indicare i riferimenti di legge?
Che cosa rischia... Sanzione? Galera?


So che ci sono altri sistemi per "bloccare" queste uscite, es mettere un
filtro con un firewall su determinati siti che offrono la webmail, ma
basta nulla per trovarne un'altra non inserita nel filtro che
vanificherebbe il tutto.

Ringrazio Anticipatamente per le risposte

[Apocalysse]

CUT

Cerchi un firewall che abbia un content filter per filtrare tutte le
informazioni che vengono reputate confidenziali dalla ditta.
Nelle email, anche WebMail in genere, il loro contenuto è in chiaro,
e il firewall le filtrerebbe senza problemi.
Se però ci mette un allegato e magari lo cripta ..... bhè non ci puoi
fare niente ^_^

[Daniele Pinna]

Post by Apocalysse

CUT

Cerchi un firewall che abbia un content filter per filtrare tutte le
informazioni che vengono reputate confidenziali dalla ditta.
Nelle email, anche WebMail in genere, il loro contenuto è in chiaro,
e il firewall le filtrerebbe senza problemi.
Se però ci mette un allegato e magari lo cripta ..... bhè non ci puoi
fare niente ^_^

Mi pare di capire che il firewall bloccherebbe l'email con determinate
parole... oppure potrebbe anche semplicemente "rilevare" che è stata
spedita una email ad un determinato indirizzo, sia da un client di posta
che da una WebMail?

Se viene fatto solo il blocco, quelle stesse parole che posso impostare
come filtro, potrebbero bloccare anche delle comuni email usate per
contattare i cliente durante il lavoro regolare...

Come firewall con un "filter content" cosa consiglieresti?
Ora sto "esplorando" il mio firewall, Agnitum Outpost Pro, e ho visto
che ha uno storico dei siti usati e delle mail in arrivo... e altre cose...

Quindi un controllo di questo genere non è illegale?

[Tristan]

On Sat, 18 Mar 2006 13:16:51 +0100, Daniele Pinna

Post by Daniele Pinna

Post by Apocalysse
Cerchi un firewall che abbia un content filter per filtrare tutte le
informazioni che vengono reputate confidenziali dalla ditta.

Non è illegale?
Poi mi sa che è un po' difficile filtrare in base al contenuto
semantico. Bloccando parole chiavi, inoltre, si rischia di bloccare
email utili (in entrata, ad esempio).

Post by Daniele Pinna
potrebbe anche semplicemente "rilevare" che è stata
spedita una email ad un determinato indirizzo, sia da un
client di posta che da una WebMail?

Da un client di posta, sicuramente.
Da una webmail, si può accedere sicuramente al contenuto, ma agli
indirizzi probabilmente no.

Post by Daniele Pinna
Quindi un controllo di questo genere non è illegale?

Secondo me, che esperto legale non sono, sì.
Violano l'informativa sulla privacy del 2003.

Il sospetto - è pratica comune delle dittature, argomentare col sospetto
- non può certo invadere la privacy degli individui. Spero che le pene
siano severe.

Se hai trovato "tracce" legalmente, allora già sei in grado di agire
legalmente o come vuoi. Altrimenti si dice chiaramente ai dipendenti che
le loro email saranno controllate e filtrate. E non so se anche questa
misura sia completamente legale.

Ciao.
Tristan

[Apocalysse]

Post by Tristan
Non è illegale?

No perchè non devi necessariamente avere un LOG di cosa ha filtrato,
non esistendo un LOG non hai nessuna traccia di chi cosa e quando è
stato filtrato.

Post by Tristan
Poi mi sa che è un po' difficile filtrare in base al contenuto
semantico.

E' piuttosto facile invero :)

Post by Tristan
Bloccando parole chiavi, inoltre, si rischia di
bloccare email utili

Questo è vero, dovresti porre attenzione e fare delle prove

Post by Tristan
(in entrata, ad esempio).

Agirebbe solo in uscita :)

Post by Tristan
Da una webmail, si può accedere sicuramente al contenuto, ma
agli indirizzi probabilmente no.

Se il contenuto POST non è criptato, nel POST ci sono anche le info a
chi è stata inviata l'email .... per cui .....

[Tristan]

On 18 Mar 2006 20:05:51 GMT, Apocalysse

Post by Apocalysse

Post by Tristan
Non è illegale?

No perchè non devi necessariamente avere un LOG di cosa
ha filtrato, non esistendo un LOG non hai nessuna traccia
di chi cosa e quando è stato filtrato.

Un'azione è illegale indipendentemente dall'aver tracce. Un furto
rimasto impunito non è meno furto di un altro. Non credi? :-)

Diciamo che è illegale, ma che difficilmente si può dimostrare il reato.
Epperò se è illegale, a quanto ne so va a finire che non verrebbe
accettata come prova in un eventuale processo. Correggimi se sbaglio.

Post by Apocalysse

Post by Tristan
Poi mi sa che è un po' difficile filtrare in base al
contenuto semantico.

E' piuttosto facile invero :)

A quanto ne so, fino ad oggi nessun programma di AI ha mai superato il
test di Turing. Tu ne conosci qualcuno?

E anche quando sarà creato, non so se riuscirà a distinguere quando si
sta facendo spionaggio industriale e quando si sta descrivendo il
prodotto al cliente. :-)

Post by Apocalysse

Post by Tristan
(in entrata, ad esempio).

Agirebbe solo in uscita :)

Vero. :-)

Post by Apocalysse
Se il contenuto POST non è criptato, nel POST ci sono
anche le info a chi è stata inviata l'email ....

Ti ripeto, e parlo da web developer :), che in genere (almeno nei casi
delle webmail progettate con una logica) gli indirizzi email non vengono
di certo inviati al client: non è necessario, dato che il server già li
conosce.

Ciao.
Tristan

[Apocalysse]

Post by Tristan
Un'azione è illegale indipendentemente dall'aver tracce. Un
furto rimasto impunito non è meno furto di un altro. Non credi?
:-)
Diciamo che è illegale, ma che difficilmente si può dimostrare
il reato. Epperò se è illegale, a quanto ne so va a finire che
non verrebbe accettata come prova in un eventuale processo.
Correggimi se sbaglio.

Mio parare:
L'azione non è illegale: Io azienda compro e attuo dei dispositivi
per l'accesso a internet, questi dispositivi sono miei, sono legali,
e li uso piu mi aggrada. Se impostassi il firewall per bloccare tutto
il traffico internet eccetto la posta, effettuando un accesso a
internet differente a seconda della postazione, anche qui non mi
potrebbero dire niente: Sono sempre io azienda che decido cosa fare
delle mie risorse aziendali

Da quello che ho capito leggendo lucrando l'NG, è illegale monitorare
quello che fa il dipendente di nascosto, non rispettando determinate
regole e non dandone comunicazione preventiva.

Dato che nel caso sopracitato: Non monitori il dipendente, ne di
nascosto ne altro, ma ti limiti ad un'azione di filtraggio che non
tiene traccia di niente, il dipendente non puo dire niente !

Post by Tristan
A quanto ne so, fino ad oggi nessun programma di AI ha mai
superato il test di Turing. Tu ne conosci qualcuno?

Non so a cosa ti riferisci, ma oramai anche i router di medio/basso
livello hanno un filtro sul contenuto dei pacchetti.
Libero usa un filtro per capire se stai usando Emule oppure no e
quindi segarti la banda, lo fa mediante l'uso di dispositivi CISCO

Post by Tristan
E anche quando sarà creato, non so se riuscirà a distinguere
quando si sta facendo spionaggio industriale e quando si sta
descrivendo il prodotto al cliente. :-)

Ah questo è un altro discorso :)
Però finchè i termini o la frase descivono il prodotto lo puoi dire
anche a tutto il mondo, è pubblicità per me :P
Mentre invece il tread starter parlava di informazioni sui clienti,
quindi potrebbe bloccare tutte le parole chiave che riguardano questi
clienti proveniente da quella postazione ma senza tenerne traccia
(per ricollegarmi al discorso di prima) ^_^

Post by Tristan
Ti ripeto, e parlo da web developer :), che in genere (almeno
nei casi delle webmail progettate con una logica) gli indirizzi
email non vengono di certo inviati al client: non è necessario,
dato che il server già li conosce.

Ma se devi mettere a mano il campo TO .... :)

[Tristan]

On 19 Mar 2006 07:37:57 GMT, Apocalysse

Post by Apocalysse
L'azione non è illegale: Io azienda compro e attuo dei dispositivi
per l'accesso a internet, questi dispositivi sono miei, sono legali,
e li uso piu mi aggrada.

No, non come più ti aggrada, ma nel rispetto delle leggi.
Esiste la legge della privacy che non ti permette (almeno credo e spero)
di elaborare il contenuto di corrispondenza privata - a meno di non
averlo specificato chiaramente, penso.

Post by Apocalysse
Se impostassi il firewall per bloccare tutto
il traffico internet eccetto la posta

Bloccare indiscriminatamente è una cosa, filtrare è un'altra. Per
bloccare determinate parole nelle email hai bisogno di elaborare
informazioni strettamente confidenziali, e questo è vietato.

Post by Apocalysse
Da quello che ho capito leggendo lucrando l'NG, è

^^^^^^^^
Forse intendevi "lurkando". :-)

Post by Apocalysse
illegale monitorare quello che fa il dipendente di
nascosto, non rispettando determinate
regole e non dandone comunicazione preventiva.

E secondo te elaborare le email personali senza dirlo non è equivalente
a monitorare il dipendente di nascosto?

Post by Apocalysse
ma ti limiti ad un'azione di filtraggio che non
tiene traccia di niente, il dipendente non puo dire niente !

Per sostenere che non tiene tracce di niente, sarebbe necessario usare
un content filter open source e bisognerebbe dare ai dipendenti la
possibilità di verificare che effettivamente non logghi alcunché.
Ma, a quel punto, il dipendente lo sa che le proprie email saranno
elaborate, e quindi si è già rientrati nella legalità.

Post by Apocalysse

Post by Tristan
A quanto ne so, fino ad oggi nessun programma di AI ha mai
superato il test di Turing. Tu ne conosci qualcuno?

Non so a cosa ti riferisci, ma oramai anche i router di medio/basso
livello hanno un filtro sul contenuto dei pacchetti.

Se ho parlato di contenuto *semantico*, ci sarà un motivo...

Post by Apocalysse
Mentre invece il tread starter parlava di informazioni sui clienti,
quindi potrebbe bloccare tutte le parole chiave che riguardano questi
clienti proveniente da quella postazione ma senza tenerne traccia
(per ricollegarmi al discorso di prima) ^_^

L'OP parlava di [sospetti di] invio da parte di un dipendente di
"informazioni relative alla sua attività all'esterno". In generale
troverei alquanto difficile bloccare una tale astratta attività. Poi è
ovvio che se il dipendente è tenuto a non parlare di un progetto segreto
con un nome ben definito, allora è facile bloccare quel nome.

Post by Apocalysse

Post by Tristan
Ti ripeto, e parlo da web developer :), che in genere (almeno
nei casi delle webmail progettate con una logica) gli indirizzi
email non vengono di certo inviati al client: non è necessario,
dato che il server già li conosce.

Ma se devi mettere a mano il campo TO .... :)

Eheh, è vero. :-) Ma vuoi che l'eventuale dipendente non abbia già in
rubrica l'indirizzo a cui invia tonnellate di info segretissime? ;-)

Secondo me in genere non esiste alcun dipendente: c'è solo la volontà di
controllo universale del datore di lavoro. Controllo che può effettuare
illegalmente senza grossi rischi: per questo sarebbe necessario
obbligare all'uso di prodotti open source ogniqualvolta si devono
trattare dati personali.

Ciao.
Tristan

[Apocalysse]

CUT

Ma il punto è che tu non tratti niente, è un sistema automatico SENZA
TRACCIATURA che (ripeto) in modo del tutto automatico elimina certe
cose, senza elaborare o curarsi di loggare niente !!

Non credo ci sia una violazione della Privacy in quanto non viene
trattato niente, non viene archiviato niente, nessuno sa del
contenuto dell'email di caio ! :)

[Candido]

Post by Tristan
Epperò se è illegale, a quanto ne so va a finire che non verrebbe
accettata come prova in un eventuale processo. Correggimi se sbaglio.

Perché no? Al massimo ci sarà una sanzione a parte, no?

[Apocalysse]

Post by Daniele Pinna
Mi pare di capire che il firewall bloccherebbe l'email con
determinate parole...

Cancellerebbe solo quelle parole lasciando inalterato il resto del
contenuto

Post by Daniele Pinna
oppure potrebbe anche semplicemente
"rilevare" che è stata spedita una email ad un determinato
indirizzo, sia da un client di posta che da una WebMail?

Questo dipende dal filtro che adotti, ma immagino di si

Post by Daniele Pinna
Se viene fatto solo il blocco, quelle stesse parole che posso
impostare come filtro, potrebbero bloccare anche delle comuni
email usate per contattare i cliente durante il lavoro
regolare...

Il filtro è stupido, va impostato correttamente e va analizzato se vi
è la possibilità di usarlo, ovviamente ^_^

Post by Daniele Pinna
Come firewall con un "filter content" cosa consiglieresti?

A livello aziendale non saprei

Post by Daniele Pinna
Quindi un controllo di questo genere non è illegale?

Finchè non hai un LOG che tiene traccia che il dipende X alle ore Y
ha fatto Z, direi di no ........ ma non sono esperto in materia ^_^

[Aragorn]

Post by Daniele Pinna
Un mio cliente, sospetta che uno due suoi dipendenti, invii informazioni
relative alla sua attività all'esterno della ditta (informazioni sui
possibili clienti che posso essere usate e/o vendute a ditte concorrenti).

Questo non va bene...

Post by Daniele Pinna
Per tutelarsi, l'unico modo che ha, pare sia l'installazione di un
KeyLogger. L'ho già avvisato che non è "legale" l'utilizzo di questi
software per spiare i dipendenti.

Vabbe' lo installa e vede se effettivamente invia informazioni
riservate... se le invia lo sa ma non puo' fare niente al max puo'
isolae il suo pc.

Post by Daniele Pinna
Preciso che i dipendenti sono stati invitati a NON usare internet e la
posta elettronica se non per motivi strettamente legati al lavoro.

Despoti del caxxo dove lavoro io posso navigare e cazzeggiare in totale
trasparenza quando mi pare... di certo non invio dati sensibili ad
aziende concorrenti.

Post by Daniele Pinna
Non ho però trovato casi in cui qualcuno voleva installare un keylogger
solo per verificare il comportamento corretto dei dipendenti (lo so non
cambia poi molto...)

se non lo scoprono lo puo' fare tranquillamente! pero' poi nel qualcaso
lo voglia licenziare non puo' usare i dati carpiti illegalmente con il
keylogger!

Post by Daniele Pinna
So che ci sono altri sistemi per "bloccare" queste uscite, es mettere un
filtro con un firewall su determinati siti che offrono la webmail, ma
basta nulla per trovarne un'altra non inserita nel filtro che
vanificherebbe il tutto.

Esistono i sistemisti per fare cio'... tuttavia sappi che esistono
sempre delle scappatoie e un minimo tocca fidarsi dei dipendenti...

Ciao

[Daniele Pinna]

Post by Aragorn
Vabbe' lo installa e vede se effettivamente invia informazioni
riservate... se le invia lo sa ma non puo' fare niente al max puo'
isolae il suo pc.

I dipendenti usano un unico PC... e credo anche un unico account...

Post by Aragorn

Post by Daniele Pinna
Preciso che i dipendenti sono stati invitati a NON usare internet e la
posta elettronica se non per motivi strettamente legati al lavoro.

Despoti del caxxo dove lavoro io posso navigare e cazzeggiare in totale
trasparenza quando mi pare... di certo non invio dati sensibili ad
aziende concorrenti.

:-)
Mi pare normale ed in effetti in molte aziende ho visto che fanno così...

Questo mio cliente, che forse sta un pò esagerando, ha una "scusante":
si è già trovato in una situazione simile... tempo fa un suo dipendente
ha fatto una cosa simile (invio di determinati dati all'esterno) e dopo
poco tempo il dipendente si è licenziato ed ha aperto una attività
simile portandosi dietro tutto il portafoglio clienti.

Post by Aragorn

Post by Daniele Pinna
Non ho però trovato casi in cui qualcuno voleva installare un keylogger
solo per verificare il comportamento corretto dei dipendenti (lo so non
cambia poi molto...)

se non lo scoprono lo puo' fare tranquillamente! pero' poi nel qualcaso
lo voglia licenziare non puo' usare i dati carpiti illegalmente con il
keylogger!

Certo... il problema non è quello. E' sotto i 15 dipendenti credo non
occorra la "giusta causa" per mandarne a casa qualcuno.

Grazie per le risposte :-)

[Stefano]

Il Sat, 18 Mar 2006 02:10:00 +0100, Daniele Pinna

Post by Daniele Pinna
Un mio cliente, sospetta che uno due suoi dipendenti, invii informazioni
relative alla sua attività all'esterno della ditta (informazioni sui
possibili clienti che posso essere usate e/o vendute a ditte concorrenti).
L'invio di queste informazioni avviene tramite email e di questi invii
ha trovato qualche traccia.
Per tutelarsi, l'unico modo che ha, pare sia l'installazione di un
KeyLogger. L'ho già avvisato che non è "legale" l'utilizzo di questi
software per spiare i dipendenti.

Installare un serve email locale verso cui tutti i PC inviano la posta
e che poi ne afa il relay all'esterno no? In tal modo sul server
rimarrebbe una copia di tale email, se i dipendenti già devono
utilizzare la mail solo per lavoro mantenerne una copia è
perfettaemnte lecito come si tiene una copia della normale
corrispondenza.

Ovvio che potrebbe usare una webmail se il web è abilitato.

[OneNET Trieste]

Post by Daniele Pinna
Salve a tutti... :-)
Un mio cliente, sospetta che uno due suoi dipendenti, invii informazioni
relative alla sua attività all'esterno della ditta (informazioni sui
possibili clienti che posso essere usate e/o vendute a ditte concorrenti).
L'invio di queste informazioni avviene tramite email e di questi invii
ha trovato qualche traccia.
Per tutelarsi, l'unico modo che ha, pare sia l'installazione di un
KeyLogger. L'ho già avvisato che non è "legale" l'utilizzo di questi
software per spiare i dipendenti.

[snip]

A parte le giuste risposte che già ti sono state date, tecnicamente ti
faccio osservare come un keylogger verrebbe probabilmente rilevato e
bloccato dall'antivirus/antimalware installato sul pc (oddio, se è
Norton non so se lo becca, ehehehe).

Perciò direi che è meglio se prendi un bel firewall hardware e il
controllo lo fai da lì, oppure se avete uno switch managed con uno
sniffer su un pc dedicato.

Una domanda: ma sto dipendente usa una sua e-mail personale via web o
una casella aziendale per fare ste robe ?

Gabriele

[Daniele Pinna]

Post by OneNET Trieste

Post by Daniele Pinna
Per tutelarsi, l'unico modo che ha, pare sia l'installazione di un
KeyLogger. L'ho già avvisato che non è "legale" l'utilizzo di questi
software per spiare i dipendenti.

[snip]
A parte le giuste risposte che già ti sono state date, tecnicamente ti
faccio osservare come un keylogger verrebbe probabilmente rilevato e
bloccato dall'antivirus/antimalware installato sul pc (oddio, se è
Norton non so se lo becca, ehehehe).

Non se usa il Norton, eventualmente prenderi la palla al balzo per
Vendergli un Antivirus serio (es. NOD32 :-) ) che fra le altre cose
posso impostare per Ignorare un determinato eseguibile (il Keylogger) e
cmq bloccare le impostazioni con una pwd.

Post by OneNET Trieste
Perciò direi che è meglio se prendi un bel firewall hardware e il
controllo lo fai da lì, oppure se avete uno switch managed con uno
sniffer su un pc dedicato.

Ha un comunissimo Modem/Router di Telecom, Smart Gate con la schedina...

Post by OneNET Trieste
Una domanda: ma sto dipendente usa una sua e-mail personale via web o
una casella aziendale per fare ste robe ?

Credo che usi Hotmail. Nel mio PC, ho provato, con explorer, ha filtrare
hotmail.com/, login.passport.net/ ma cmq compare sempre il riquadro in
cui mettere user e pwd.

In ogni caso, anche riuscendo a bloccare hotmail, potrebbe usare Yahoo,
Gmail, Tiscali e chissà quali altre. Le potrei bloccare tutte, ma poi
basterebbe un qualunque dominio con accesso ad una webmail e il tutto
verrebbe vanificato.

[Lord Arthur / Inverse]

On Sun, 19 Mar 2006 17:07:55 +0100, Daniele Pinna

Post by Daniele Pinna
posso impostare per Ignorare un determinato eseguibile (il Keylogger) e
cmq bloccare le impostazioni con una pwd.

...
quindi stai spiegando come avresti deciso di delinquere?

[nielj]

Post by Daniele Pinna
Salve a tutti... :-)

ciao

Post by Daniele Pinna
Un mio cliente, sospetta che uno due suoi dipendenti, invii informazioni
relative alla sua attività all'esterno della ditta (informazioni sui
possibili clienti che posso essere usate e/o vendute a ditte concorrenti).

da cosa lo sospetta?

Post by Daniele Pinna
L'invio di queste informazioni avviene tramite email e di questi invii
ha trovato qualche traccia.

se ha sgarfato fra le cose del dipendente ci sono già problemi. Il capo
può avere il controllo della mail aziendale ma non di quelle private del
dipendente.

Post by Daniele Pinna
Per tutelarsi, l'unico modo che ha, pare sia l'installazione di un
KeyLogger. L'ho già avvisato che non è "legale" l'utilizzo di questi
software per spiare i dipendenti.

è illegale punto e basta anche se dovesse aver ragione. Che si legga
l'ultimo
caso del Garante di febbraio.

Post by Daniele Pinna
Preciso che i dipendenti sono stati invitati a NON usare internet e la
posta elettronica se non per motivi strettamente legati al lavoro.

semplice. Fai firmare ai dipendenti uno scritto in cui riepiloghi le cose.
Poi il capo con quello scritto può leggere anche le mail aziendali dei
dipendenti.
Inoltre fai installare un proxy server (tipo squid) che tenga traccia dei
log dei dipendenti.
Naturalmente neanche il capo può sbirciare i logs però può consegnarli alla
magistratura per
aprire un caso.

Post by Daniele Pinna
Cercando un po su google, ho trovato molti casi simili, in cui qualcuno
voleva installare un keylogger per "carpire" informazioni da computer
non suoi, o per "spiare" un dipendente durante la navigazione o email
(presumo non legati al lavoro).

sono azioni ignobili e poco professionali. Se un'azienda non sa difendersi
da casi
simili è un'azienda ridicola. Che spendano un po' ed assumano un EDP
competente che
regoli la situazioni degli accessi aziendali. Sono veramente stufo di
sentire storie simili.
Ci si lamenta che i dipendenti scarichino film? si installa un firewall e si
bloccano le relative porte.

Post by Daniele Pinna
Non ho però trovato casi in cui qualcuno voleva installare un keylogger
solo per verificare il comportamento corretto dei dipendenti (lo so non
cambia poi molto...)

perché è una cragnata da lamer.

Post by Daniele Pinna
Mi sapete indicare i riferimenti di legge?
Che cosa rischia... Sanzione? Galera?

documento sulla privacy.

Post by Daniele Pinna
So che ci sono altri sistemi per "bloccare" queste uscite, es mettere un
filtro con un firewall su determinati siti che offrono la webmail, ma
basta nulla per trovarne un'altra non inserita nel filtro che
vanificherebbe il tutto.

Con un firewall ben configurato puoi bloccare qualsiasi sito tu voglia.
Basta
che crei una lista di siti ed è fatta. A questo punto fai prima a togliere
al dipendente
l'accesso ad internet. In ogni caso se uno vuol far uscire delle
informazioni può farlo
anche stampandole!

Post by Daniele Pinna
Ringrazio Anticipatamente per le risposte

prego.

[Daniele Pinna]

Post by nielj

Post by Daniele Pinna
Un mio cliente, sospetta che uno due suoi dipendenti, invii informazioni
relative alla sua attività all'esterno della ditta (informazioni sui
possibili clienti che posso essere usate e/o vendute a ditte concorrenti).

da cosa lo sospetta?

Ha trovato tracce di utilizzo di una Webmail (hotmail) e prove di
utilizzo della posta sul client, da e verso l'indirizzo hotmail.
Essendoci stato un precedente, dato che ha vietato l'utilizzo di Web e
posta per usi personali, ha iniziato a sospettare.

Post by nielj

Post by Daniele Pinna
L'invio di queste informazioni avviene tramite email e di questi invii
ha trovato qualche traccia.

se ha sgarfato fra le cose del dipendente ci sono già problemi. Il capo
può avere il controllo della mail aziendale ma non di quelle private del
dipendente.

Secondo le regole che il mio Cliente ha imposto, il dipendente NON può
avere o utilizzare Mail sul PC aziendale.

Post by nielj

Post by Daniele Pinna
Per tutelarsi, l'unico modo che ha, pare sia l'installazione di un
KeyLogger. L'ho già avvisato che non è "legale" l'utilizzo di questi
software per spiare i dipendenti.

è illegale punto e basta anche se dovesse aver ragione. Che si legga
l'ultimo
caso del Garante di febbraio.

Si infatti è la prima cosa che gli ho detto.
Ma dato che pare intenzionato a metterlo lo stesso... mi chiedevo cosa
rischia: Multa? Galera?

E io, che dovrò installarlo, cosa rischio? Multa Galera o nulla?
Ovviamente mi asterrò dal guardare i risultati ma gli spiegherò come
leggerli... anzi se dovesse esserci un rischio anche per me, gli dirò
solo che programma deve scaricare ed installare, giusto per tenermi
"pulito".

Post by nielj

Post by Daniele Pinna
Preciso che i dipendenti sono stati invitati a NON usare internet e la
posta elettronica se non per motivi strettamente legati al lavoro.

semplice. Fai firmare ai dipendenti uno scritto in cui riepiloghi le cose.
Poi il capo con quello scritto può leggere anche le mail aziendali dei
dipendenti.
Inoltre fai installare un proxy server (tipo squid) che tenga traccia dei
log dei dipendenti.
Naturalmente neanche il capo può sbirciare i logs però può consegnarli alla
magistratura per
aprire un caso.

Ho appena letto un pò di cose su Squid, sicuramente non abbastanza per
installarlo e configurarlo, ma per ora mi bastano per capire che non è
idoneo al caso del mio cliente... anche perchè c'è un solo PC che viene
utilizzato per internet (a meno che non si può installare sullo stesso
PC di lavoro... )

Post by nielj

Post by Daniele Pinna
Cercando un po su google, ho trovato molti casi simili, in cui qualcuno
voleva installare un keylogger per "carpire" informazioni da computer
non suoi, o per "spiare" un dipendente durante la navigazione o email
(presumo non legati al lavoro).

sono azioni ignobili e poco professionali. Se un'azienda non sa difendersi
da casi
simili è un'azienda ridicola. Che spendano un po' ed assumano un EDP
competente che
regoli la situazioni degli accessi aziendali. Sono veramente stufo di
sentire storie simili.

Posso capire una tale scelta in una grande azienda, non in una piccola,
con 2 o 3 dipendenti ed un unico PC.

Post by nielj
Ci si lamenta che i dipendenti scarichino film? si installa un firewall e si
bloccano le relative porte.

Concordo...

Post by nielj

Post by Daniele Pinna
Non ho però trovato casi in cui qualcuno voleva installare un keylogger
solo per verificare il comportamento corretto dei dipendenti (lo so non
cambia poi molto...)

perché è una cragnata da lamer.

Post by Daniele Pinna
Mi sapete indicare i riferimenti di legge?
Che cosa rischia... Sanzione? Galera?

documento sulla privacy.

Il punto è... se i dipendenti Viene esplicitamente vietato l'uso di Web
e Mail, per cose personali, se vengono controllati, viene violata la
loro Privacy?

Post by nielj

Post by Daniele Pinna
So che ci sono altri sistemi per "bloccare" queste uscite, es mettere un
filtro con un firewall su determinati siti che offrono la webmail, ma
basta nulla per trovarne un'altra non inserita nel filtro che
vanificherebbe il tutto.

Con un firewall ben configurato puoi bloccare qualsiasi sito tu voglia.
Basta
che crei una lista di siti ed è fatta.

Ok... però per quanto può essere lunga la lista, ci sarà sempre un
dominio che offre una webmail da usare... tipo mail.miodominio.it
e se anche filtro i siti che hanno nel nome la parola mail e webmail
mi basta mettere l'indirizzo IP per risolvere.
(anche se credo che, nel caso del mio cliente, questo filtro sia
sufficiente, e che probabilmente il dipendente NON ha le conoscenze per
aggirare i filtri usando l'IP)

Post by nielj
A questo punto fai prima a togliere
al dipendente
l'accesso ad internet.

Parte del suo lavoro per l'azienda consiste nell'uso di internet.
Come si dice... La Botte piena è la Moglie ubriaca ;-)))

Post by nielj
In ogni caso se uno vuol far uscire delle
informazioni può farlo
anche stampandole!

Non possono portare dentro/fuori nessun foglio.
E credo non possano neppure portare il cellulare.

[nielj]

Post by Daniele Pinna
Ha trovato tracce di utilizzo di una Webmail (hotmail) e prove di
utilizzo della posta sul client, da e verso l'indirizzo hotmail.
Essendoci stato un precedente, dato che ha vietato l'utilizzo di Web e
posta per usi personali, ha iniziato a sospettare.

beh va stabilito perché il dipendente ha utilizzato hotmail. Ci sono
alcune pagine internet che aprono automaticamente la pagina di hotmail.
Oppure
può dar la causa ad uno spyware.

Post by Daniele Pinna
Secondo le regole che il mio Cliente ha imposto, il dipendente NON può
avere o utilizzare Mail sul PC aziendale.

ma neanche la mail aziendale? quindi a cosa vi serve la connessione ad
internet?

Post by Daniele Pinna
Si infatti è la prima cosa che gli ho detto.
Ma dato che pare intenzionato a metterlo lo stesso... mi chiedevo cosa
rischia: Multa? Galera?

multa e galera. Rischia anche di dover risarcire il dipendente per
violazione della
privacy. Scaricati dal sito del garante uno degli ultimi casi (mi pare di
febbraio 2006).
E' quasi paradossale.

Post by Daniele Pinna
E io, che dovrò installarlo, cosa rischio? Multa Galera o nulla?
Ovviamente mi asterrò dal guardare i risultati ma gli spiegherò come
leggerli... anzi se dovesse esserci un rischio anche per me, gli dirò
solo che programma deve scaricare ed installare, giusto per tenermi
"pulito".

anche tu multa e galera perché ti sporchi dello stesso reato anche se puoi
eventualmente dire che sei stato "obbligato" ottenendo delle attenuanti.
Non dovresti neanche dire che programma scaricare. Ricorda che i "capi"
quando sono presi per la coda fanno di tutto per liberarsi, magari finirebbe
per
dire che lui è ignorante in materia informatica e l'hai consigliato tu!
Guarda sono in una situazione simile alla tua. Mi sono state fatte delle
richieste
simili ma ho rifiutato categoricamente. Inoltre nel mio caso non esistono
nemmeno
i presupposti per procedere. Quella del capo sarebbe solo una morbosità di
spiare
i dipendenti.

Post by Daniele Pinna
Ho appena letto un pò di cose su Squid, sicuramente non abbastanza per
installarlo e configurarlo, ma per ora mi bastano per capire che non è
idoneo al caso del mio cliente... anche perchè c'è un solo PC che viene
utilizzato per internet (a meno che non si può installare sullo stesso
PC di lavoro... )

no allora non è il tuo caso. Io uso squid ma con 50 computer connessi ad
internet
ed inoltre squid è installato su un server linux dedicato.

Post by Daniele Pinna
Posso capire una tale scelta in una grande azienda, non in una piccola,
con 2 o 3 dipendenti ed un unico PC.

ok allora. Però se il tuo cliente ha di questi problemi è messo molto male.
Farebbe
meglio a parlare con questo dipendente e chiarire la cosa verbalmente.

Post by Daniele Pinna
Il punto è... se i dipendenti Viene esplicitamente vietato l'uso di Web
e Mail, per cose personali, se vengono controllati, viene violata la
loro Privacy?

ma scusa come si fa a mettere internet e poi vietare tutto l'uso per scopi
personali? è molto difficile. Internet non è come il telefono e viene preso
più come un gioco oltre al fatto che ha un costo inferiore. Sarebbe come
mettere una scatola di cioccolatini in una stanza di bambini e dire di non
tocccarli finché non abbiano finito i compiti! secondo me il punto sbagliato
è lasciare la connessione attiva.

Post by Daniele Pinna
Ok... però per quanto può essere lunga la lista, ci sarà sempre un
dominio che offre una webmail da usare... tipo mail.miodominio.it
e se anche filtro i siti che hanno nel nome la parola mail e webmail
mi basta mettere l'indirizzo IP per risolvere.
(anche se credo che, nel caso del mio cliente, questo filtro sia
sufficiente, e che probabilmente il dipendente NON ha le conoscenze per
aggirare i filtri usando l'IP)

qui si sconfina decisamente. A questo punto basta. Se si sa che i dipendenti
sono
birichini si chiude internet punto e basta. Se veramente vi serve internet
invece
si predispone un punto d'accesso limitato ai soli siti da utilizzare.

Post by Daniele Pinna
Parte del suo lavoro per l'azienda consiste nell'uso di internet.
Come si dice... La Botte piena è la Moglie ubriaca ;-)))

boh allora non capisco. Mi sa che il tuo cliente ha le idee un po' confuse.
Cmq una soluzione potrebbe essere quella di installare una stampantina tipo
quelle degli internet point. Ad ogni dipendente viene rilasciato una user e
una password
e se non ha quelle non si connette ad internet (inoltre si può bloccare
l'accesso a determinate ore del
giorno). Poi ogni log viene registrato direttamente sul pc così in caso di
contestazioni ci sono le prove.

Post by Daniele Pinna
Non possono portare dentro/fuori nessun foglio.
E credo non possano neppure portare il cellulare.

sempre più strano...mi sembra un lager non un'azienda.
Ma la radio possono ascoltarla almeno?

[Daniele Pinna]

Post by nielj

Post by Daniele Pinna
Ha trovato tracce di utilizzo di una Webmail (hotmail) e prove di
utilizzo della posta sul client, da e verso l'indirizzo hotmail.
Essendoci stato un precedente, dato che ha vietato l'utilizzo di Web e
posta per usi personali, ha iniziato a sospettare.

beh va stabilito perché il dipendente ha utilizzato hotmail. Ci sono
alcune pagine internet che aprono automaticamente la pagina di hotmail.
Oppure
può dar la causa ad uno spyware.

Non so... non mi occupo io della sua sicurezza informatica...

Post by nielj

Post by Daniele Pinna
Secondo le regole che il mio Cliente ha imposto, il dipendente NON può
avere o utilizzare Mail sul PC aziendale.

ma neanche la mail aziendale? quindi a cosa vi serve la connessione ad
internet?

La mail aziendale si.

Post by nielj

Post by Daniele Pinna
Si infatti è la prima cosa che gli ho detto.
Ma dato che pare intenzionato a metterlo lo stesso... mi chiedevo cosa
rischia: Multa? Galera?

multa e galera. Rischia anche di dover risarcire il dipendente per
violazione della
privacy. Scaricati dal sito del garante uno degli ultimi casi (mi pare di
febbraio 2006).

Ho letto... grazie per la segnalazione.

Post by nielj
E' quasi paradossale.

Post by Daniele Pinna
E io, che dovrò installarlo, cosa rischio? Multa Galera o nulla?
Ovviamente mi asterrò dal guardare i risultati ma gli spiegherò come
leggerli... anzi se dovesse esserci un rischio anche per me, gli dirò
solo che programma deve scaricare ed installare, giusto per tenermi
"pulito".

anche tu multa e galera perché ti sporchi dello stesso reato anche se puoi
eventualmente dire che sei stato "obbligato" ottenendo delle attenuanti.

Be per la verità il mio cliente non mi può obbligare. Non sono un suo
dipendente e sono il titolare della mia ditta :-)

Post by nielj
Non dovresti neanche dire che programma scaricare. Ricorda che i "capi"
quando sono presi per la coda fanno di tutto per liberarsi, magari finirebbe
per
dire che lui è ignorante in materia informatica e l'hai consigliato tu!
Guarda sono in una situazione simile alla tua. Mi sono state fatte delle
richieste
simili ma ho rifiutato categoricamente. Inoltre nel mio caso non esistono
nemmeno
i presupposti per procedere. Quella del capo sarebbe solo una morbosità di
spiare
i dipendenti.

Se deciderò di installarlo, mi farò firmare un foglio dove, per
tutelarmi, lo metto a conoscenza che l'uso di un keylogger per spiare il
comportamento di un dipendente è, in ogni caso, un reato e che non mi
assumo nessuna responsabilità.

Post by nielj

Post by Daniele Pinna
Ho appena letto un pò di cose su Squid, sicuramente non abbastanza per
installarlo e configurarlo, ma per ora mi bastano per capire che non è
idoneo al caso del mio cliente... anche perchè c'è un solo PC che viene
utilizzato per internet (a meno che non si può installare sullo stesso
PC di lavoro... )

no allora non è il tuo caso. Io uso squid ma con 50 computer connessi ad
internet
ed inoltre squid è installato su un server linux dedicato.

Post by Daniele Pinna
Posso capire una tale scelta in una grande azienda, non in una piccola,
con 2 o 3 dipendenti ed un unico PC.

ok allora. Però se il tuo cliente ha di questi problemi è messo molto male.
Farebbe
meglio a parlare con questo dipendente e chiarire la cosa verbalmente.

Per la verità non sai qual'è dei dipendenti... :-)

Post by nielj

Post by Daniele Pinna
Il punto è... se i dipendenti Viene esplicitamente vietato l'uso di Web
e Mail, per cose personali, se vengono controllati, viene violata la
loro Privacy?

ma scusa come si fa a mettere internet e poi vietare tutto l'uso per scopi
personali? è molto difficile. Internet non è come il telefono e viene preso
più come un gioco oltre al fatto che ha un costo inferiore. Sarebbe come
mettere una scatola di cioccolatini in una stanza di bambini e dire di non
tocccarli finché non abbiano finito i compiti! secondo me il punto sbagliato
è lasciare la connessione attiva.

La connessione server per lavoro, altrimenti gli basterebbe staccare la
smart card inserita nel modem SmartGate quando è fuori.

Post by nielj

Post by Daniele Pinna
Ok... però per quanto può essere lunga la lista, ci sarà sempre un
dominio che offre una webmail da usare... tipo mail.miodominio.it
e se anche filtro i siti che hanno nel nome la parola mail e webmail
mi basta mettere l'indirizzo IP per risolvere.
(anche se credo che, nel caso del mio cliente, questo filtro sia
sufficiente, e che probabilmente il dipendente NON ha le conoscenze per
aggirare i filtri usando l'IP)

qui si sconfina decisamente. A questo punto basta. Se si sa che i dipendenti
sono
birichini si chiude internet punto e basta. Se veramente vi serve internet
invece
si predispone un punto d'accesso limitato ai soli siti da utilizzare.

Questa è una soluzione a cui non ho pensato seriamente... in effetti non
so se i siti che gli servono sono sempre gli stessi o possono variare.

Post by nielj

Post by Daniele Pinna
Parte del suo lavoro per l'azienda consiste nell'uso di internet.
Come si dice... La Botte piena è la Moglie ubriaca ;-)))

boh allora non capisco. Mi sa che il tuo cliente ha le idee un po' confuse.
Cmq una soluzione potrebbe essere quella di installare una stampantina tipo
quelle degli internet point. Ad ogni dipendente viene rilasciato una user e
una password
e se non ha quelle non si connette ad internet (inoltre si può bloccare
l'accesso a determinate ore del
giorno). Poi ogni log viene registrato direttamente sul pc così in caso di
contestazioni ci sono le prove.

Non credo che sia una soluzione adatta :-(

Post by nielj

Post by Daniele Pinna
Non possono portare dentro/fuori nessun foglio.
E credo non possano neppure portare il cellulare.

sempre più strano...mi sembra un lager non un'azienda.
Ma la radio possono ascoltarla almeno?

Non lo so :-)))

Cmq ti ringrazio per i suggerimenti e le risposte :-)

[Lord Arthur / Inverse]

On Mon, 20 Mar 2006 00:21:21 +0100, Daniele Pinna

Post by Daniele Pinna
Se deciderò di installarlo, mi farò firmare un foglio dove, per
tutelarmi, lo metto a conoscenza che l'uso di un keylogger per spiare il
comportamento di un dipendente è, in ogni caso, un reato e che non mi
assumo nessuna responsabilità.

le scritture private non hanno forza di legge. Se il giudice dovesse
venire a conoscenza di questo foglio lo considererebbe una aggravante:
avresti confessato nero su bianco di essere l'esecutore materiale del
reato sapendo perfettamente cosa stavi facendo.
Non e' cosi' che si scaricano le colpe...

Se per soldi deciderai di delinquere spera solo che il keylogger non
porti a nulla di fatto... o non ti bastera' un bancale di fazzoletti
per asciugarti le lacrime.

[h***@lycos.com]

Tutto del keyloggers: www.keylogger.org

[VV]

Post by Daniele Pinna
Per tutelarsi, l'unico modo che ha, pare sia l'installazione di un
KeyLogger.

No, per tutelarsi c'è la legge.
ciò che lui sta sospettando gli darebbe facoltà *come* *minimo* di
licenziarlo in tronco, e se osa lamentarsi c'è pure la denuncia. Perchè
dici che "per tutelarsi" debba scendere a questi mezzucci che lo mettono
dalla parte del torto anche se avesse pienamente ragione? Se ha motivo
di sospettare allora domattina stessa lo chiama in ufficio e glie lo
spiega a quattr'occhi.

Lo so, per parlare chiaramente con le persone ci vogliono LE PALLE, cosa
che il tuo capo come molti altri non ha, piuttosto che parlare con un
dipendente a quattr'occhi preferiscono cercare il mezzuccio (anche
illegale) per pugnalarlo alle spalle.

Post by Daniele Pinna
L'ho già avvisato che non è "legale" l'utilizzo di questi
software per spiare i dipendenti.

Avvertilo solo che ha i dipendenti che merita. Che vuoi che facciano? Il
capo tace, è ovvio che glie lo mettono nel bocciolo.

[Daniele Pinna]

Post by VV

Post by Daniele Pinna
Per tutelarsi, l'unico modo che ha, pare sia l'installazione di un
KeyLogger.

No, per tutelarsi c'è la legge.
ciò che lui sta sospettando gli darebbe facoltà *come* *minimo* di
licenziarlo in tronco, e se osa lamentarsi c'è pure la denuncia. Perchè
dici che "per tutelarsi" debba scendere a questi mezzucci che lo mettono
dalla parte del torto anche se avesse pienamente ragione? Se ha motivo
di sospettare allora domattina stessa lo chiama in ufficio e glie lo
spiega a quattr'occhi.

Il problema è che è solo un sospetto. Magari ha solo mandato una mail
alla fidanzata/o. Questo non si sa.

Post by VV
Lo so, per parlare chiaramente con le persone ci vogliono LE PALLE, cosa
che il tuo capo

Non è il mio capo. E' un cliente.

Post by VV
come molti altri non ha, piuttosto che parlare con un
dipendente a quattr'occhi preferiscono cercare il mezzuccio (anche
illegale) per pugnalarlo alle spalle.

Post by Daniele Pinna
L'ho già avvisato che non è "legale" l'utilizzo di questi
software per spiare i dipendenti.

Avvertilo solo che ha i dipendenti che merita. Che vuoi che facciano? Il
capo tace, è ovvio che glie lo mettono nel bocciolo.

Be per la verità, dopo aver parlato con me qualche giorno fa, ha riunito
i dipendenti e ha ribadito che è vietato usare per uso personale mail e web.

[nielj]

Post by Daniele Pinna
Il problema è che è solo un sospetto. Magari ha solo mandato una mail
alla fidanzata/o. Questo non si sa.

beh metti caso che il tuo capo "spii" il dipendente e lo denunci per l'uso
della mail
se poi venisse fuori che ha solo mandato una mail di quel tipo finirebbe di
sicuro nei guai.
Rimando sempre a quel caso del garante in cui addirittura il dipendente
aveva fatto dei danni...

Post by Daniele Pinna
Be per la verità, dopo aver parlato con me qualche giorno fa, ha riunito
i dipendenti e ha ribadito che è vietato usare per uso personale mail e web.

Sì ma instaurare un regime del genere è controproducente. A quel punto se
non
ci si fida dei dipendenti meglio chiudere internet e dare la smartcard solo
con autorizzazione
scritta. Se alla fine uno manda qualche mail alla famiglia non è che fa un
danno incalcolabile all'azienda.
Bisogna tener conto che poi la repressione creerà un clima di lavoro poco
auspicabile.

[Candido]

Post by Daniele Pinna
Per tutelarsi, l'unico modo che ha, pare sia l'installazione di un
KeyLogger. L'ho già avvisato che non è "legale" l'utilizzo di questi
software per spiare i dipendenti.

Visto che in questo caso si tratta di compiere un'indagine nei confronti
di un dipendente forse infedele, il mio consiglio è quello di sentire,
prima di tutto, il proprio legale di fiducia per esporgli la situazione.

Solo un legale che conosca il caso nel dettaglio potrà suggerirvi fino a
che punto indagare senza commettere a vostra volta uno o più illeciti
(alcuni dei quali potrebbero essere anche aggravati).

[Lord Arthur / Inverse]

On Sat, 18 Mar 2006 02:10:00 +0100, Daniele Pinna

Post by Daniele Pinna
Per tutelarsi, l'unico modo che ha, pare sia l'installazione di un
KeyLogger. L'ho già avvisato che non è "legale" l'utilizzo di questi
software per spiare i dipendenti.

e' totalmente illegale ed e' meglio che non ci pensi nemmeno..