Il gioco delle ciambelle!

Affrontando sfide simili, abbiamo adottato una soluzione sul mio posto di lavoro per questo gioco chiamato "ciambelle". Tieni presente che questo ha la tendenza a distrarre in qualche modo. Per questo motivo non corriamo tutto l'anno, solo a dicembre, quando la pressione si è allentata e in ufficio c'è un umore più leggero che vogliamo promuovere in vista delle vacanze di Natale.

Regole

Il gioco è abbastanza semplice: se lasci il tuo computer sbloccato e un altro membro del team se ne accorge, ha la possibilità di aprire il tuo client di posta elettronica e inviare al team la parola "ciambelle" dal tuo account . Ogni volta che qualcuno ti fa questo con successo è un punto contro il tuo nome. La persona alla fine della settimana che ha il maggior numero di punti contro il proprio nome deve acquistare le ciambelle per la squadra per il nostro standup SCRUM lunedì mattina.

Questo ha il vantaggio di sfidare le persone a essere le migliori può essere a bloccare le loro macchine e crea un sistema di penalità informale per coloro che continuano a fallire nel bloccare la loro macchina.

Ma funziona per te?

Tieni presente che questo non è per tutti gli ambienti di lavoro: abbiamo una squadra per cui funziona molto bene e ne abbiamo parlato come un gruppo per assicurarci che tutti fossero a bordo prima di iniziare. Consiglio vivamente di considerare il tuo team e le personalità coinvolte prima di mettere in atto qualcosa di simile.

Assicurati anche di considerare se ci sono problemi con i membri del team che utilizzano la macchina di un altro, anche per inviare un'e-mail. L'industria medica in molti paesi lo eviterà specificamente (attraverso la regolamentazione o la necessità di un'elevata privacy), il settore finanziario in molti casi sarebbe lo stesso. Se questi non sono un ostacolo, divertiti!

Mi occupo molto di questo dal punto di vista dell'ingegneria di rete. I programmatori qui ricevono normalmente un po 'di margine di manovra e rispetto perché in teoria sono professionisti e seguiranno i protocolli di sicurezza senza bisogno di tenere le mani. Quindi la migliore politica è cercare di convincerli a conformarsi in modo informale.

I metodi per la risoluzione interna prevedono che la squadra si sorvegli a vicenda come delineato in altre risposte da un sistema di piccole punizioni innocue. Ma secondo me è meglio se il manager lo rende obbligatorio.

Ma quando sono recalcitranti è abbastanza facile risolvere formalmente.

La soluzione era che il manager dicesse ai programmatori che o risolvono la loro sicurezza da soli o gli ingegneri verranno a bloccare le macchine delle persone e far rispettare le politiche di gruppo ... questo di solito ha funzionato abbastanza rapidamente. Di solito non è nemmeno necessario seguirlo.

Un modo non conflittuale che uso molto è convincere il Network Engineering Manager (in questo esempio, io) a partecipare a una riunione e trascorrere un un paio di minuti dicendo educatamente ai programmatori alcune verità casalinghe. Questo elimina qualsiasi problema scomodo dal Manager e provenire da una terza parte che può effettivamente far rispettare le cose è una buona strategia. Vado solo a presentarmi, scusarmi per il tempo che dedicherò e delineare semplici policy di sicurezza di rete che DEVONO essere applicate come parte del mio ruolo. Trattali come i professionisti che sono. Chiedere se qualcuno ha bisogno di sapere come bloccare la propria macchina, rispondere alle domande che potrebbe avere, ringraziarlo per il suo tempo e lasciare la riunione in modo che possa decidere come vuole farlo (non voglio sapere sui pantaloni larghi o ciambelle o pizza). Di solito è sufficiente anche solo un'e-mail al proprio manager, che può quindi inoltrarla al suo team e discuterne durante la riunione. Il punto cruciale è che proviene da una terza parte autorizzata.

Ho solo raramente bisogno di farlo effettivamente, questo vale per qualsiasi gruppo di professionisti o élite all'interno di un'azienda, ho usato questo metodo con piloti, medici, avvocati e programmatori.

Dove lavoro, è prassi non ufficiale che chiunque lasci il proprio computer sbloccato per un tempo sufficientemente lungo inviterà qualcuno ad accedervi e invierà un'email con l'offerta di portare pizza o pasticcini per tutti il ​​giorno successivo.

Il risultato di ciò è che qualcuno deve ammettere di aver lasciato il proprio computer sbloccato e di essere un bastardo, o seguire e portare un po 'di cibo. Certo, anche portare occasionalmente cibo / caramelle nella sala relax per tutti è normale qui.

Il vantaggio di questo è che altri dipendenti lo faranno rispettare per te.

Nessuna delle risposte che suggeriscono scherzi o simili è appropriata in un ambiente nominalmente sicuro.

Un ambiente sicuro ha una POLITICA formale per la sicurezza, un PROCESSO formale per conformarsi a quella politica e una PROCEDURA formale per affrontare la non conformità. In tutte le risposte precedenti, la procedura raccomandata per risolvere il problema è essa stessa una violazione della politica di sicurezza E del processo.

In altre parole, quando l'immagine dello schermo del desktop di un utente pigro viene modificata in una foto in bikini di David Hasselhoff, o l'email dell'utente viene utilizzata per inviare un'e-mail "ciambelle compromesse" ... dal punto di vista della certificazione, non solo hai avuto una POTENZIALE violazione della sicurezza, ma ora hai avuto una REALE violazione della sicurezza.

Presumo qui che la questione della sicurezza non sia solo un requisito arbitrario ... come, ci sono PII del cliente che fluttuano e / o sono in gioco la conformità PCI o SAX70 o altre certificazioni di conformità. È una giustificazione sufficiente (IMHO) che i clienti si trovino nell'area in cui potrebbero vedere informazioni aziendali sensibili su altri clienti.

Il modo corretto per affrontare questo problema è che il personale di sicurezza IT esegua controlli ufficio durante la normale giornata di vagabondaggio e se arrivano da un computer sbloccato e non presidiato, cambiano la password dell'utente e bloccano lo schermo / computer, lasciando una nota per l'utente che deve contattare l'IT per riattivare il proprio account. Il personale IT ovviamente deve utilizzare una sorta di schema di "reimpostazione della password" a rotazione, in modo che la password modificata non possa essere indovinata solo dall'utente di ritorno.

A volte ho ricordato ai colleghi che non riescono a bloccare utilizzando una scorciatoia per ruotare o capovolgere lo schermo e quindi bloccarli (Windows + L). La scorciatoia da tastiera dipende dal dispositivo, ma ALT + Freccia o CTRL + ALT + Freccia dovrebbe funzionare su molti tipici computer e laptop aziendali.

Il vantaggio di questo approccio è che si tratta di una semplice doppia scorciatoia da tastiera, quindi non trascorri molto tempo effettivamente sul loro sistema sbloccato , con tutte le implicazioni sulla sicurezza che ha, pur ricordando loro che si sono dimenticati di bloccarsi di nuovo. I criminali famosi possono essere lasciati all'oscuro del modo in cui ripristinare uno schermo capovolto per riportare il messaggio a casa.

Poiché in realtà non è necessario utilizzare il sistema sbloccato di un collega, questa sarà probabilmente una soluzione più accettabile rispetto alla modifica delle impostazioni di sistema o all'invio di un'e-mail dal proprio account, ma ci sono ancora uffici in cui anche questo sarebbe attraversare una linea o dove anche gli scherzi minori non si adattano alla cultura, quindi usali con cautela. Dovrai anche essere effettivamente presente quando il tuo collega torna quando lo fai le prime volte nel caso in cui non riesca a trovare un modo per invertirlo o, come fa notare Dan, corre all'IT sostenendo che il suo computer è stato violato.

Nella mia azienda abbiamo la strategia "goating".

Se lasci il tuo computer sbloccato, potresti scoprire che il tuo salvaschermo, lo sfondo e gli eventuali avatar sono cambiati in varie immagini di capre (quindi blocca il PC) .

Ha insegnato alle persone abbastanza rapidamente a lasciare i propri PC bloccati, poiché non volevano il fastidio di cambiare di nuovo tutto.

È stato autoregolato dal team di sviluppo e , ora siamo certificati ISO27001, non rischiamo che nessuno lasci i propri PC sbloccati.

La soluzione semplice qui è uno screensaver automatico, impostato di default; mostrando qualcosa di positivo e neutro per l'azienda. Se la sicurezza è un problema, blocca anche lo schermo quando viene visualizzato lo screensaver. Suggeriscilo al responsabile IT della tua azienda. Se non vogliono farlo per tutti i dipendenti, questo non è un tuo problema .

Preparalo per te stesso e incoraggia le altre persone che ti segnalano a farlo lo stesso. Se a un certo punto si verifica un problema, sei protetto e puoi indicare come proteggere gli altri computer.

Non umiliare, non creare una cultura punitiva delle "ciambelle", è facile per loro fare la cosa giusta.

Dato il motivo dichiarato per la politica, non la prenderei affatto sul serio; se l'ho seguito sarebbe puramente una funzione di quanto volevo assecondarti o temevo per il mio lavoro.

Se vuoi che le persone lo seguano, riconsidera le motivazioni e hai una ragione che possono prendere sul serio ! E se non puoi, potresti trovare un altro modo per ottenere l'effetto desiderato, come non posizionare i monitor in luoghi in cui i visitatori possono vedere cosa c'è sugli schermi. (probabilmente è comunque una buona idea)

Giusto per essere chiari, non sto cercando di deridere la tua situazione; potresti, infatti, avere un problema molto reale che stai cercando di risolvere.

Ma la cosa importante per come si comportano i tuoi dipendenti non è la realtà della situazione, ma il modo in cui percepiscono la situazione. Il modo in cui viene presentato suona come una reazione istintiva che potrebbe non risolvere nemmeno il problema che potrebbe anche non esistere.

Inoltre, potresti non pensare di chiedere molto di loro ma piccole interruzioni possono essere una grave interruzione del flusso di lavoro di una persona, quindi hanno motivi reali per non andare d'accordo con le cose.

Quindi, la necessità di rivalutare le motivazioni; per far vedere ai tuoi dipendenti che esiste un problema reale , questa politica effettivamente lo risolverà e non esiste un'alternativa migliore che non li interrompa tanto, supponendo che siano tutte vere.

Sei il loro manager. Devono fare quello che dici. Non incoraggiarli a bloccare la macchina. Di 'loro che devono bloccare la loro macchina. Spiega brevemente i rischi per la sicurezza e il potenziale di disapprovazione delle parti interessate e chiarisci che bloccare la loro macchina non è opzionale.

Se non sono conformi alla tua direttiva, hai problemi molto più grandi rispetto agli schermi sbloccati. I professionisti dovrebbero essere abituati a ricevere le direttive dal proprio superiore e a seguirle. Non dovresti dover ricorrere a giochi, scherzi o prese di mano per aspettarti professionalità dal tuo staff.

Dici che ne hai parlato durante le riunioni, ma non dici di esserci riuscito chiaro che deve finire. Fai quello che faresti per qualsiasi altra politica:

• Riportalo di nuovo durante il tuo prossimo incontro settimanale con l'equipaggio.
• Tieni d'occhio le persone che non riescono a seguire la tua direttiva.
• Portalo con loro nel prossimo incontro.
• Se si ripresenta, informali che questa è una direttiva che devono seguire e che la continua mancata osservanza della direttiva verrà annotata nella loro prossima revisione delle prestazioni.
• Se continua, annotalo nella prossima revisione delle prestazioni.

Questo potrebbe sembrare duro, ma non è necessario. Ho sempre avuto un ottimo rapporto con i miei manager e subordinati, ed è facile farlo quando tutti seguono le regole. Quando qualcuno non segue le regole, lo istruisci sui motivi per cui esiste e lo istruisci ancora una volta a seguire le regole. Documenta ciò che fanno che non rientra nelle regole. Questo è il tuo lavoro di manager.

Qualunque cosa tu faccia, non incoraggiare le persone ad andare sui computer di altre persone per nessun motivo.

Qual è la politica aziendale? Capisco che tu voglia che chiudano le loro macchine, ma è davvero tua responsabilità farlo? Il tuo ruolo di manager è guidare i tuoi dipendenti nel processo decisionale e nelle attività. Se non esiste una politica aziendale al riguardo, potenzialmente non è qualcosa che devi applicare.

Vorrei anche esaminare le loro abitudini di navigazione. Se succede tutte le volte che dici, allora penso che valga la pena considerare se forse sta succedendo troppo. I clienti guarderanno i loro schermi quando visitano, non solo quando la macchina è bloccata.

Baggy pantsing : l'originale e ancora il migliore!

[Georgia Tech] Un "baggy pantsing" viene utilizzato per rimproverare gli hacker che incautamente lasciano i loro terminali sbloccati . L'utente interessato tornerà per trovare un post di loro su newsgroup interni che discutono esattamente di quanto siano larghi i loro pantaloni, un sostituto accettato per "utente disattento che ha lasciato il proprio lavoro non protetto nei cluster". Un pantalone largo fatto correttamente è molto beffardo e divertente. È considerato una cattiva forma pubblicare un baggy pantsing su newsgroup fuori dal campus o gruppi più tecnici e seri. Un pantalone baggy particolarmente bello può essere "rivendicato" citando immediatamente il messaggio per intero, seguito dal tuo sig block; questo ha l'ulteriore vantaggio di impedire alla vittima imbarazzata di poter cancellare il post. Sono stati fatti interessanti baggy-pantsings che coinvolgono l'aggiunta di comandi agli script di login per ripubblicare il messaggio ogni volta che lo sfortunato utente effettua il login; I box Unix sulla rete residenziale, quando vengono violati, spesso hanno le loro home page sostituite (dopo essere state gentilmente salvate su un altro file) con un messaggio baggy-pants; Anche i file .plan vengono occasionalmente presi di mira. Utilizzo: "Prof. Greenlee si addormentò di nuovo nell'ammasso Solaris; l'abbiamo trasformato in pantaloni larghi in git.cc.class.2430.flame. "

Fonte: http://www.catb.org/jargon/html/B/baggy -pantsing.html

È possibile utilizzare i tag NFC per attivare il blocco / sblocco (a seconda di quanto rigorosa è la politica di sicurezza, potrebbe essere necessario mantenere le password per sbloccare la macchina) della workstation.

Metti il ​​tag sul telefono cellulare (di solito le persone hanno la tendenza ad afferrare il telefono quando lasciano la scrivania). I telefoni emessi dalla società con modulo NFC potrebbero essere utilizzati come tag ID. In alternativa, i tag potrebbero essere attaccati ai portachiavi.Questa, ovviamente, non è una soluzione a prova di proiettile e dalla mia esperienza avrai ancora persone che si allontanano in fretta dalla scrivania senza prendere i loro telefoni e lasciare il PC sbloccato. Tuttavia, il comportamento dell'utente non può essere modificato durante la notte e questo potrebbe aiutare molto con il problema di lasciare le workstation sbloccate. Pensa a questa come una soluzione a breve termine facile ed efficace. Una formazione adeguata dei dipendenti e la consapevolezza della sicurezza sono sempre la soluzione migliore a lungo termine.

Dall'altra parte dello spettro, Microsoft ha una politica di incendio sul posto se ti beccano con il computer sbloccato.

Puoi sempre far loro sapere che verranno licenziati / rimproverati lasciano il computer sbloccato. Se ritieni che la situazione sia giustificata (cosa che potrebbe non essere in questo caso), applicare una politica aziendale in cui ci sono gravi conseguenze è sempre un'altra opzione che tende a ottenere risultati.

Spesso l'ostacolo maggiore è che il blocco richiede troppi pensieri”.

• I professionisti IT spesso dimenticano che la maggior parte delle persone ha molte difficoltà ricordando dove si trova un'opzione, figuriamoci una scorciatoia da tastiera e, di conseguenza, si arrenderanno rapidamente quando percepiscono qualcosa come troppo difficile.

  Stampa questo come un adesivo e attaccalo su nella parte inferiore del monitor delle persone:

  

  Ovviamente potresti aver bisogno di versioni diverse se le persone utilizzano sistemi operativi diversi, ecc.

Primo reato

Di solito apro il Blocco note (non il client di posta o qualcosa del genere - non voglio vederlo) e lascio un cortese promemoria che dovrebbero bloccare il computer prima di lasciare la scrivania per rispettare la politica di sicurezza, quindi bloccare il computer per loro in modo che abbiano la nota da vedere dopo aver effettuato nuovamente l'accesso.

Reati tardivi

Se lo incontro una seconda o terza volta, bloccherò la loro password quindi deve essere reimpostata (abbiamo una piccola squadra amichevole qui quindi non è una seccatura).

Ben presto imparano che è facile e veloce bloccare la loro macchina ed è meno complicato che dover fare una breve telefonata per sbloccare il loro account.

La nostra azienda ha un modo davvero efficace per fermare questo problema. Se qualcuno dell'IT vede il tuo computer sbloccato, cambierà lo sfondo o il salvaschermo in qualcosa di stupido. In questo modo tutti possono sapere di aver lasciato il computer sbloccato una volta. Quindi è divertente mentre fornisce ancora qualche penalità. L'IT informa tutti di questo il primo giorno di lavoro, quindi non è una sorpresa per chiunque accada.

Una risposta parziale:

In uno dei miei lavori precedenti, ci era consentito andare su Facebook, reddit o farmville, ma dovevamo farlo da un workstation Chrome Box pubblica (un Chrome Box è proprio come un Chromebook, ma in forma desktop). Lo stesso valeva per le telefonate personali, c'era un'area specifica per quello. C'era una netta separazione tra lavoro e cose personali.

Utilizzare un Chromebook / ChromeBox a tale scopo è stato fantastico. Si poteva semplicemente accedere al proprio account Gmail e tutte le schede personali impostate dall'ultima volta sarebbero state visualizzate. Oppure, se si era di fretta, si poteva semplicemente accedere utilizzando la modalità di navigazione in incognito e cercare qualcosa molto velocemente.

Lo stesso valeva per i guardiani notturni e le guardie di sicurezza. Avevano il permesso di utilizzare quelle stazioni Chrome, ma se fossero stati scoperti utilizzando qualsiasi altra stazione di lavoro, sarebbe stata una grave violazione della sicurezza.

E per favore non fraintendetemi, quello che sto suggerendo è ancora una volta solo una risposta parziale alla domanda originale. Una buona sicurezza viene fornita con molti livelli. E questa separazione tra personale e lavoro è solo un ulteriore livello che un'azienda potrebbe utilizzare oltre ad alcune delle altre misure di sicurezza già suggerite come risposte.

Imposta la politica delle password su un giusto equilibrio tra sicurezza e capacità di memorizzarla e digitarla rapidamente. Se è troppo complicato o le persone devono pensare quale sia la loro password attuale questa settimana, sono tentati di lasciare il computer aperto. Considera i sensori biometrici sulla tastiera, se le persone sono a proprio agio con esso.

Quindi ricorda ai programmatori che hai criteri di sicurezza per una buona ragione e che sono pagati per seguirli.

Innanzitutto penso che dovresti spiegare al tuo team l'importanza perché hanno bisogno di farlo. Come accennato in altre risposte, i visitatori che vedono le schede del browser aperte non sono il rischio più grande, compromettere i tuoi sistemi è un rischio molto maggiore. Solo se le persone capiscono il motivo, l'implementazione di alcuni dei giochi per ufficio suggeriti ha senso, per aiutarli a creare la buona abitudine di bloccare lo schermo.

Esistono anche soluzioni tecniche. Esistono applicazioni, come BlueProximity, che bloccano uno schermo quando il dispositivo BlueTooth di un utente supera una certa soglia. Potrebbe essere un telefono o, se le persone non portano in giro i loro telefoni, un faro BlueTooth da tenere in tasca.

Tu e l'azienda dovete decidere se si tratta di un problema "serio" o meno. In caso contrario, il meglio che puoi fare è chiedere e sperare che i tuoi sviluppatori ti mostrino un po 'di rispetto su questo problema. Suppongo che tu possa declassare le loro recensioni sulle prestazioni per essere ripetuti violatori. Questo dovrebbe convertire alcuni dei non conformisti una volta che si rendono conto che sei serio nella tua richiesta e seguiranno le conseguenze per la mancata adesione.

Se ritieni che questo sia un problema serio, dovresti trattarlo come come. Molte aziende lo considerano un rischio per la sicurezza e lo trattano in questo modo. A questo proposito, le persone i cui terminali vengono scoperti sbloccati ricevono un messaggio di "violazione della sicurezza". Nelle aziende che richiedono "autorizzazioni", alcune di queste e l'autorizzazione verranno revocate. Questo tipo di società è tenuto a segnalare autonomamente, quindi non è davvero un'opzione per non segnalare la violazione. Questa revoca dell'autorizzazione di solito andrebbe di pari passo con il licenziamento perché senza l'autorizzazione non c'è molto vantaggio per la persona. Se ciò suona troppo estremo per la tua situazione, disconnettere semplicemente il computer della persona dalla rete a causa della sua sfacciata indifferenza per la sicurezza e della vulnerabilità che creano per gli utenti della rete potrebbe anche fare molto per cambiare il comportamento.

Uno Ultima cosa, devo ridere di quanti di questi post consigliano di fare qualcosa al computer del "trasgressore" o di impersonare quell'utente. La maggior parte delle politiche di sicurezza proibisce severamente di fare qualsiasi di questo tipo di cose e quelle azioni sono in realtà reati peggiori che lasciare lo schermo sbloccato. Quindi, piuttosto che avere una violazione della sicurezza relativamente minore, intensifichiamo e commettiamo violazioni della sicurezza molto più gravi. Che bella idea.