Documentazione riservata e ruolo del amministratore di sistema

Ne ho un altro interessante.

Sto per eseguire il backup e reinstallare il PC dell'amministratore risorse umane. Sospetto che il modo più rapido per farlo sia utilizzare lo strumento di trasferimento di Windows 7 e creare un backup di tutti i profili Utenti e Impostazioni sul NAS.

Non vedo problemi con questo.
Afferma che nessun altro dovrebbe essere in grado di vedere le informazioni sul suo computer. Giusto. Penso che l'amministratore di sistema (me) dovrebbe avere un livello di attendibilità abbastanza significativo da poter eseguire un backup, senza fare domande ed eliminare il backup una volta completata l'attività.

A suo avviso, nessuno (nemmeno gli altri registi) dovrebbe essere in grado di visualizzare la documentazione relativa alle risorse umane sul suo PC.

Abbiamo già un semi-backup (file, non user-state) su box.net, che consente l'accesso granulare a vari utenti.

Domande:

1) Chi di noi è pazzo, lei o io?

2) Ti fidi dei tuoi amministratori di sistema per eseguire il backup dei file delle politiche aziendali / risorse umane?

3) Qualcuno ha un LART?

La mia opinione su questo potrebbe non essere popolare qui, ma penso che abbia ragione, le risorse umane sono un ruolo molto specifico nella maggior parte delle aziende, che richiede una competenza molto chiave: la massima discrezione. Le persone IT devono possedere una vasta gamma di competenze e, sebbene la discrezione sia importante, non è l '"essere tutto e finire tutto" che è con le risorse umane. In genere, anche in questo settore il reclutamento di personale IT è meno approfondito.

Forse c'è una soluzione tecnica a questo, che ne dici di convincere le tue risorse umane a fare il backup delle loro cose su dischi esterni crittografati che possiedono / gestiscono / memorizzano?

Alla fine devi proteggerti, se non c'è modo di ottenere i dati sulle risorse umane, allora sei in chiaro, se la tua direzione vede che hai fatto del tuo meglio e fornito un mezzo sicuro e privato per svolgere il tuo lavoro in modo funzionale senza esporsi alle accuse di indiscrezione di dati, allora saranno felici, anche se il processo è grosso e lento.

Fondamentalmente non abbiate paura di coprirvi il culo in quest'area - la maggior parte delle persone capirà e le persone delle risorse umane apprezzeranno che state rispettando il loro ruolo e autorità. Inoltre ovviamente non dovresti mai far incazzare le risorse umane, questi ninny aiutano a decidere il tuo destino per qualche pazzo motivo :)

N. 1:

Ha un punto, ma dato che ti fidi di altre informazioni sensibili, dovresti avere fiducia anche con le informazioni sulle risorse umane. Spiegare che è necessario l'accesso per eseguire il backup dei file.

N. 2:

Ho pieno accesso in lettura ai miei sistemi attuali. Tutto ottiene backup e viene registrato l'accesso ai file. Ho cose più importanti di cui preoccuparmi che frugando nei file delle risorse umane o trovando quanto la scuola ha speso in cibo per il gatto della scuola. Nel mio precedente posto di lavoro non ero in grado di visualizzare alcune delle aree di amministrazione (ma il gestore della rete poteva).

Numero 3:

Lei ha ragione, e anche tu.

È (forse la mia legge) obbligata a proteggere queste informazioni, sei diretto a fare il tuo lavoro.

Questo è il dilemma.

Forse dovresti offrirle di reinstallare il suo PC mentre è vicino a te, quindi può essere sicura che i suoi preziosi dati non vengano compromessi

Gli amministratori di sistema sono attendibili qui, ma vengono registrate tutte le azioni dell'amministratore. Non so quanto una cosa del genere la rassicurerebbe: la registrazione delle azioni in modo da poter dimostrare che solo il processo di backup esegue il backup di questi dati, non che tu li legga per divertimento.

Gli altri punti da sottolineare è che potrebbe essere così brutto se leggessi queste cose tramite i backup, in primo luogo sta dicendo seriamente che sarebbe peggio dei documenti persi per sempre perché non sono stati sottoposti a backup, e in secondo luogo come risorse umane direttore, dovrebbe essere in grado di garantire che qualsiasi uso improprio dei privilegi di amministratore di sistema possa essere trattato come grave colpa.

Infine, sei un membro dell'associazione BCS / altro professionista IT? In tal caso, queste hanno regole per i membri sull'etica. Se sei membro di una simile associazione professionale, indicarla ai tuoi requisiti di etica professionale potrebbe rassicurarla.

Questa non è una tua decisione. Supponendo che tu lo stia facendo in un paese sviluppato, allora ci sono leggi sulla divulgazione di informazioni private. Il tuo professionista delle risorse umane probabilmente ne sa di più di te.

Inoltre, non si tratta di eseguire il backup, ma cosa succede a quei backup? Se contengono informazioni riservate, i backup stessi devono essere più sicuri, più sicuri delle informazioni riservate di altre società. Cosa farai se qualcuno vuole ripristinare un file dai backup? Non sarai più in grado di consegnarli a qualcun altro da cui ripristinare - dovrai farlo da solo. Ricorda che anche queste sono le tue informazioni confidenziali: chi vuoi sapere delle tue questioni disciplinari, della tua paga o del fatto che hai ricevuto consulenza sulla salute mentale attraverso la tua assicurazione?

EDIT: Per essere chiari, non sto affermando categoricamente "solo il capo delle risorse umane dovrebbe vedere questi file". Ma ci sono problemi di riservatezza con i dati sulle risorse umane che sono diversi dai segreti di altre società. Non si tratta di stabilire se i amministratori di sistema sono "fidati" o meno, ma di ridurre il numero di persone che hanno accesso ai record delle risorse umane. Né CEO né amministratori di sistema necessitano necessariamente di tale accesso.

Ci sono soluzioni tecniche e procedurali a questo. Forse è necessario eseguire il backup della macchina Risorse umane separatamente da tutto il resto e i backup devono essere conservati in un luogo separato. forse ciò accade già e il tuo personale delle risorse umane deve solo essere rassicurato sul fatto che sarà adeguatamente curato. Forse tu e solo tu 9 e non il vostro assistente che sarà assunto il prossimo anno) riuscirete a lavorare con loro.

In breve, nessuno dei due è pazzo e devi capire come farlo funzionare per tutti e due, rispettando la legge.