Конфіденційна документація та роль сисадміна

У мене є ще одна цікава.

Я збираюся створити резервну копію та перевстановити ПК адміністратора персоналу. Я підозрюю, що найшвидший спосіб зробити це - скористатися інструментом передачі Windows 7 та створити резервну копію всіх профілів користувачів і налаштувань в NAS.

Я не бачу проблем з цим.
Вона стверджує, що ніхто інший не повинен мати можливість бачити інформацію на її комп’ютері. Досить справедливо. Я думаю, що системний адміністратор (я) повинен мати достатньо значний рівень довіри, щоб мати змогу зробити резервну копію, не задавати питань і видалити резервну копію, коли завдання буде виконано.

Її думка полягає в тому, що ніхто (навіть інші директори) не мають змоги переглядати документацію щодо персоналу на своєму ПК.

У нас уже є напівзавантаження (файли, а не держава-користувач) на box.net, що дозволяє детально отримувати доступ до різних користувачів.

Запитання:

1) Хто з нас горіх, її чи я?

2) Ви довіряєте своїм системним адміністраторам робити резервні копії файлів політики компанії / HR?

3) Чи є у кого ВЕЛИКА?

Моя думка з цього приводу може не користуватися популярністю, але я вважаю, що вона права, HR - це дуже специфічна роль у більшості підприємств, що вимагає однієї дуже ключової навички - абсолютного розсуду. ІТ-люди повинні володіти дуже широким спектром навичок, і хоча розсуд важливий, це не "бути всім і закінчити все", що це з HR. Зазвичай набір ІТ-людей також є менш ретельним у цій галузі.

Можливо, для цього є технічне рішення, як щодо того, щоб змусити людей з персоналу створювати резервні копії своїх матеріалів на зашифрованих зовнішніх дисках, якими вони володіють / керують / зберігають?

У кінцевому рахунку вам доведеться захистити себе, якщо немає можливості отримати дані про кадри, то вам ясно, якщо ваше керівництво бачить, що ви постаралися і надаєте як безпечний та приватний засіб для функціонального виконання своєї роботи. не піддаючи себе звинуваченням у доступі до даних, вони будуть раді - навіть якщо процес невпинний і повільний.

В основному не бійтеся прикрити свою власну дупу в цій галузі - більшість людей зрозуміють, а люди з людських прав оцінять, що ви поважаєте їхню роль та авторитет. Плюс, звичайно, ніколи не варто піклуватися про HR, все-таки допомога ніні вирішить вашу долю з якоїсь божевільної причини :)

№ 1:

У неї є сенс, але оскільки вам довіряють іншу конфіденційну інформацію, вам також слід довіряти інформацію про HR. Поясніть, що вам потрібен доступ для резервного копіювання файлів.

№ 2:

Я маю повний доступ для читання до моїх поточних систем. Все отримує резервне копіювання і доступ до файлів реєструється. У мене є більш важливі речі, щоб переживати з приводу того, що тикання через HR-файли чи пошук того, скільки школа витратила на їжу шкільного кота. На попередньому робочому місці мені не вдалося переглянути деякі області адміністратора (але менеджер мережі міг).

№ 3:

Вона має рацію, так і ти.

Вона (можливо, мій закон) зобов’язана захищати ці відомості, і вас спрямовують робити свою роботу.

Ось така дилема.

Можливо, вам слід запропонувати їй перевстановити свій ПК, поки вона навколо вас, так що вона може бути впевнена, що її дорогоцінні дані не будуть порушені

Тут довіряють системним адміністраторам, але всі дії адміністратора реєструються. Я не знаю, наскільки щось таке може переконати її - реєстрація дій, тож можна продемонструвати, що лише резервна копія цих даних створює резервну копію даних, а не ви читаєте її для розваги.

Інші моменти, які варто зробити, - це як би погано, якби ви читали цей матеріал через резервні копії, по-перше, вона серйозно каже, що було б гірше, ніж документи, які втрачаються назавжди, оскільки вони не були зроблені резервні копії, по-друге, як HR Директор, вона повинна бути спроможна забезпечити, що будь-яке неправомірне використання привілеїв адміністратора системи може трактуватися як грубе порушення.

Нарешті, ви є членом BCS / іншої організації ІТ-професіоналів? Якщо так, у них є члени правил щодо етики. Якщо ви є членом такої професійної асоціації, то її вказівка ​​на ваші вимоги професійної етики може її переконати.

Це не ваше рішення. Якщо припустити, що ви робите це в розвиненій країні, то існують закони про розкриття приватної інформації. Ваш професіонал з персоналу, напевно, знає більше про них, ніж ви.

Йдеться також не про створення резервного копіювання, але що відбувається з цими резервними копіями? Якщо вони містять конфіденційну інформацію, самі резервні копії повинні бути надзвичайно захищеними - більш захищеними, ніж конфіденційна інформація інших компаній. Що ви збираєтеся зробити, якщо хтось хоче відновити файл із резервних копій? Ви більше не зможете здати їх комусь із інших, щоб відновити їх - вам доведеться це зробити самостійно. Пам’ятайте, це також ваша конфіденційна інформація - кого ви хочете знати про свої дисциплінарні питання, вашу зарплату чи про те, що ви отримали консультації з питань психічного здоров’я через страхування?

EDIT: Щоб було зрозуміло, я категорично не заявляю: "Тільки керівник відділу кадрів повинен бачити ці файли". Але існують проблеми конфіденційності даних щодо персоналу, які відрізняються від інших секретів компанії. Йдеться не про те, чи довіряють сисадмінам чи ні, а про зменшення кількості людей, які мають доступ до записів HR. Ні генеральний директор, ні сисадміни не потребують такого доступу.

Для цього є технічні та процедурні рішення. Можливо, машину HR потрібно створити резервну копію окремо від усього іншого, а резервні копії зберігати в окремому місці. можливо, це вже відбувається, і ваша людина з персоналу просто потребує запевнити, що за ними будуть належним чином доглядати. Можливо, ви та самі одні 9, а не ваш помічник, якого наймаєте наступного року) приступаєте до роботи з ними.

Коротше кажучи, жоден із вас не горіх, і вам потрібно розробити, як зробити цю роботу для вас обох, залишаючись у межах закону.