Juridische vraag: Mag admin illegaal materiaal verwijderen?
woensdag 11 mei 2011, 10:52 door Arnoud Engelfriet, 35 reacties
Heb jij een uitdagende vraag over beveiliging, recht en privacy, stel hem aan ICT-jurist Arnoud Engelfriet en maak kans op zijn boek
"De wet op internet".
Arnoud is van alle markten thuis, maar vindt vooral in technische / hacking vragen een uitdaging. Vragen over licenties worden niet behandeld, aangezien die geen raakvlak met beveiliging hebben. De Juridische vraag is een rubriek op Security.nl, waar wetgeving en security centraal staan. Elk kwartaal kiest Arnoud de meest creatieve vraag, die dan zijn boek zal ontvangen.
Vraag: Ik ben systeembeheerder bij een school. Wij geven iedereen een netwerkaccount zodat ze bestanden kunnen opslaan en kunnen mailen. Nu weet ik dat leerlingen (maar ook docenten) regelmatig illegale zaken opslaan op hun account (plaatjes, filmpjes, muziek, keyloggers, hacktools, niet school gerelateerd materiaal, etcetera). Vorige week heb ik een grote schoonmaak gehouden en alle niet-schoolgerelateerde zaken verwijderd. Maar nu is een aantal gebruikers behoorlijk boos en zeggen ze dat dit niet mag! Ik kan toch als beheerder niet tolereren dat er illegale zaken op onze servers staan?
Antwoord: Ik zou dit niet op deze manier aanpakken. Inderdaad, als je weet hebt van illegale zaken dan mag (moet?) je ingrijpen. Maar dat is niet hetzelfde als “het zijn scholieren, die hebben dús bergen illegale meuk, ik ga alle mappen langs en alles weggooien dat ik zie”.
Dit gaat niet goed vallen bij systeembeheerders, maar zo’n netwerkaccount met eigen opslag is een privéruimte net als de locker bij de ingang of de bureaulades op kantoor. Daar mag je als BOFH dus niet zomaar in gaan snuffelen.
Er zijn een aantal voorwaarden waaraan voldaan moet zijn. Allereerst moet er een expliciet geaccordeerd IT-reglement zijn waarin aangegeven staat wat men mag met het account en vooral wat niet. En daarbij geldt dat “alleen schoolgerelateerde zaken” te kort door de bocht is: er moet enige ruimte voor privégebruik zijn. (Klachten dat dit onzin is, mag u bij het Europese Hof voor de Mensenrechten kwijt.)
Verder mag monitoren in principe alleen op anonieme basis, en moet dit gericht zijn op werkgeversbelangen als overlast, schade of storingen. Als ik 20MB aan MP3?tjes in mijn account heb, heeft niemand daar last van. Daar moet het beheer afblijven. Wordt het 20GB, dan lopen er schijven vol en dat kan wellicht een onderzoekje rechtvaardigen. Of als je heel veel inlogs op mijn account ziet vanaf IP’s over de hele wereld. Dat is een aanwijzing dat ik aan filesharing doe (of dat mijn account gecompromitteerd is) en dan mag je ingrijpen.
Persoonsgericht monitoren (wat spookt die Engelfriet uit op ons systeem) mag alleen bij concrete aanwijzingen dat die persoon iets fout doet, en het hoe en wat wordt dan gedocumenteerd in het IT-reglement. Bijvoorbeeld: als uit het maandelijks dataverkeer-rapport blijkt dat er zeer overmatig wordt gedownload, dan mogen we gaan kijken wie daarvoor verantwoordelijk is en die persoon daarop aanspreken. Wel zou ik dan een waarschuwing verwachten naar alle medewerkers toe.
Bij personen die lid zijn van de vakbond of medezeggenschapsraad (of de bedrijfsarts) mag het beheer helemaal niet in hun privémappen kijken tenzij met hun toestemming of in zéér uitzonderlijke situaties.
Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. In 2008 verscheen zijn boek "De wet op internet".
Reacties (35)
11-05-2011, 11:04 door
SirDice
In plaats van het zelf te verwijderen kun je beter de top 10 grootverbruikers aanschrijven en vragen of ze hun directory willen opkuisen. Het aanschrijven doe je op 'anonieme' basis, je stuurt, via bcc, de top 10 een standaard mailtje dat ze te veel data hebben, je kunt daarin ook nog een keertje extra vermelden dat "illegale" bestanden niet zijn toegestaan. Je spreekt dan niemand persoonlijk aan en je hebt feitelijk ook in niemand's directory gekeken (du -sk /home | sort -n). Dit kun je prima automatiseren. Quota's kunnen eventueel ook uitkomst bieden.
ik vind het wel makkelijk om "plaatjes, filmpjes, muziek" meteen als illegaal te bestempelen. Downloaden en opslaan van die content mag gewoon (je doet niet anders als je over het net surft). En wat zijn hacktools? telnet? sniffers? hangt maar helemaal af van hoe je die zaken gebruikt...
11-05-2011, 11:31 door
root
Data verwijderen van iemand ander lijkt me inderdaad niet slim. Ik denk dat je het dan beter kunt verplaatsen naar een tijdelijk map of de toegang ertoe moet blokkeren, waarna je de gebruiker inlicht. Bedenk ook dat je aan een filenaam niet kunt zien wat er in de file staan. Misschien dat iemand zijn document "notitie voor management.docx" wel per ongeluk heeft hernoemt naar "viezeporno.avi" :)
Ik adviseer een notice and takedown procedure in te richten.
Ik adviseer een notice and takedown procedure in te richten.
Je zou ook bepaalde bestanden kunnen blokkeren. Ik neem aan dat zo'n hacktool een .exe bestand is ofzo. Die zou je op de één of andere manier tegen kunnen houden, net als die mp3 files..
Wordt "dir *.mp3 /a/s" op de drive waar alle homedirs op staan als anoniem beschouwd? Er van uitgaande dat gecommuniceerd is dat mp3's niet zijn toegestaan.
Ik maak backups van mijn servers, dit wordt uitgebreid gelogd, bv errors van files die niet gebackupt kunnen worden omdat ze geopend zijn op een client. Soms zijn de namen van die files redelijk veelzeggend. Moet ik de homedirs van gebruikers die lid zijn van de vakbond of medezeggenschapsraad excluden van de backup?
Ik maak backups van mijn servers, dit wordt uitgebreid gelogd, bv errors van files die niet gebackupt kunnen worden omdat ze geopend zijn op een client. Soms zijn de namen van die files redelijk veelzeggend. Moet ik de homedirs van gebruikers die lid zijn van de vakbond of medezeggenschapsraad excluden van de backup?
11-05-2011, 12:42 door
WhizzMan
Ik vind het ook nogal kort door de bocht dat een systeembeheerder gaat bepalen wat illegaal is. Misschien is het tegen de regels, maar of iets illegaal is, zou volgens mij alleen een rechter iets over mogen zeggen.
Hoe weet je of iemand lid is van een vakbond? Gaat het wellicht om het bestuur van een vakbond (en hoe kom je daar achter) of lid van de OR? En als het al gaat om vakbondsleden, waarom mag je die niet monitoren en de rest van de organisatie wel?
11-05-2011, 13:05 door
Arnoud Engelfriet
Dat puntje van de vakbond is fout: dat had "bestuurslid" moeten zijn. Dit om te voorkomen dat er gevoelige gegevens over wat de bond van plan is, naar de werkgever 'lekken'.
Ik zou niet met een ls -lR of dir /a/s gaan zoeken. Dat toont immers ook de paden, en daarin staat de gebruikersnaam. Heel anoniem is dat niet. Wat wellicht wel kan, is een script dat zonder menselijke tussenkomst dat overzicht maakt en een mail genereert naar de overtreders. Zij worden dan gewezen op hun fout maar de IT-er zelf weet van niks.
Ik zou niet met een ls -lR of dir /a/s gaan zoeken. Dat toont immers ook de paden, en daarin staat de gebruikersnaam. Heel anoniem is dat niet. Wat wellicht wel kan, is een script dat zonder menselijke tussenkomst dat overzicht maakt en een mail genereert naar de overtreders. Zij worden dan gewezen op hun fout maar de IT-er zelf weet van niks.
11-05-2011, 14:35 door
cjkos
De vraag is eigenlijk fout.
De vraag zou volgens mij moeten zijn: Mag een admin bepalen wat illegaal is en dit daarna verwijderen?
Misschien zelfs aangevuld met 'zonder wederhoor of verklaring van personen in kwestie.'
Ik weet niet wat voor een school het is, maar ik kan me voorstellen dat er door deze admin niet bepaald kan worden of iets illegaal was en dat bepaalde bestanden misschien zelfs nodig waren voor een spreekbeurt of onderzoek.
Ik vind dit vooral een domme admin die zich rechten toe dicht die hij niet heeft.
Hij had op zijn minst een waarschuwings mailtje kunnen versturen.
De vraag zou volgens mij moeten zijn: Mag een admin bepalen wat illegaal is en dit daarna verwijderen?
Misschien zelfs aangevuld met 'zonder wederhoor of verklaring van personen in kwestie.'
Ik weet niet wat voor een school het is, maar ik kan me voorstellen dat er door deze admin niet bepaald kan worden of iets illegaal was en dat bepaalde bestanden misschien zelfs nodig waren voor een spreekbeurt of onderzoek.
Ik vind dit vooral een domme admin die zich rechten toe dicht die hij niet heeft.
Hij had op zijn minst een waarschuwings mailtje kunnen versturen.
11-05-2011, 15:30 door
Preddie
Beste Arnoud, bedankt voor de tijd die je hier voor ons weer in gespendeerd hebt !
ik zit zelf echter nog met een na het lezen van de laatste alinea, hier wordt gesproken over zéér uitzonderlijke situaties, waar zou hier dan aan moeten denken? mogelijk heb je één of meerdere voorbeelden, alvast bedankt.
ik zit zelf echter nog met een na het lezen van de laatste alinea, hier wordt gesproken over zéér uitzonderlijke situaties, waar zou hier dan aan moeten denken? mogelijk heb je één of meerdere voorbeelden, alvast bedankt.
Door Arnoud Engelfriet: Dat puntje van de vakbond is fout: dat had "bestuurslid" moeten zijn. Dit om te voorkomen dat er gevoelige gegevens over wat de bond van plan is, naar de werkgever 'lekken'.
Ik zou niet met een ls -lR of dir /a/s gaan zoeken. Dat toont immers ook de paden, en daarin staat de gebruikersnaam. Heel anoniem is dat niet. Wat wellicht wel kan, is een script dat zonder menselijke tussenkomst dat overzicht maakt en een mail genereert naar de overtreders. Zij worden dan gewezen op hun fout maar de IT-er zelf weet van niks.
Ik zou niet met een ls -lR of dir /a/s gaan zoeken. Dat toont immers ook de paden, en daarin staat de gebruikersnaam. Heel anoniem is dat niet. Wat wellicht wel kan, is een script dat zonder menselijke tussenkomst dat overzicht maakt en een mail genereert naar de overtreders. Zij worden dan gewezen op hun fout maar de IT-er zelf weet van niks.
Had geen "dir *.mp3 /a/s" bedoelt maar del *.mp3 /q/s. Dus verwijder alle mp3's van de drive zonder te loggen.
@ Arnoud :
"Verder mag monitoren in principe alleen op anonieme basis, en moet dit gericht zijn op werkgeversbelangen als overlast, schade of storingen. Als ik 20MB aan MP3?tjes in mijn account heb, heeft niemand daar last van. Daar moet het beheer afblijven."
Vergeet je niet dat MP3's op een bedrijfsnetwerk niet onder de thuiskopie regeling vallen, en daarmee illegaal zijn ? Wat dat betreft denk ik dat iedere werkgever het recht heeft om dergelijke, illegale, content van bedrijfs PC's te verwijderen - ook indien een verbod op MP3's niet expliciet in de policy is opgenomen. Om hoeveel MP3's het gaat, en of anderen er last van ondervinden, is daarbij in juridische zin volstrekt irrelevant ? Overtreding van de wet is immers een zwaarwegend werkgeversbelang.
"Verder mag monitoren in principe alleen op anonieme basis, en moet dit gericht zijn op werkgeversbelangen als overlast, schade of storingen. Als ik 20MB aan MP3?tjes in mijn account heb, heeft niemand daar last van. Daar moet het beheer afblijven."
Vergeet je niet dat MP3's op een bedrijfsnetwerk niet onder de thuiskopie regeling vallen, en daarmee illegaal zijn ? Wat dat betreft denk ik dat iedere werkgever het recht heeft om dergelijke, illegale, content van bedrijfs PC's te verwijderen - ook indien een verbod op MP3's niet expliciet in de policy is opgenomen. Om hoeveel MP3's het gaat, en of anderen er last van ondervinden, is daarbij in juridische zin volstrekt irrelevant ? Overtreding van de wet is immers een zwaarwegend werkgeversbelang.
11-05-2011, 16:02 door
Arnoud Engelfriet
Predjuh: Denk aan situaties waarin een OR/MR-lid beschuldigd wordt van bv. seksueel lastigvallen van een collega, waar al steunbewijs voor is ook. Als onderdeel van de beschuldigingen dan is dat hij opdringerige mails stuurt, dan is kijken in zijn mail wel toegestaan.
11-05-2011, 17:06 door
Arnoud Engelfriet
Had geen "dir *.mp3 /a/s" bedoelt maar del *.mp3 /q/s. Dus verwijder alle mp3's van de drive zonder te loggen.
Pijnlijk voor de afdeling telefonische acquisitie die de gespreksopnamen in MP3 formaat bewaart. :)Vergeet je niet dat MP3's op een bedrijfsnetwerk niet onder de thuiskopie regeling vallen, en daarmee illegaal zijn ?
Waarom niet? Zolang ik ze voor mijn eigen nietcommercieel gebruik inzet, is dat binnen artikel 16b Auteurswet. Ik moet ze wel met koptelefoon op beluisteren (HR Wasserij de Zon).Het punt is dat je de wetsovertreding pas kunt vaststellen als je kijkt. En je mag pas kijken als je redelijk zeker weet dat er een wetsovertreding is. Je mag ook niet zomaar mijn jas of bureau doorzoeken omdat het theoretisch denkbaar is dat ik daar cocaïne in verstopt heb. Als je me duidelijk high of onder de invloed aantreft, ja dan wel.
Wij hebben dit probleem op het werk ook.
Ik gebruik zelf treesize pro en filter op o.a. mp3's.
Uit de lijsten die daaruit komen haal je zo de grootverbruikers.
Exporteren en kolom met userid's weghalen en je bent klaar.
Ik zie wel de userid's maar met 12.000 users die ik niet allemaal ken, lijkt de anonimiteit ook redelijk gewaarborgd. Vooropgesteld dat je geen query doet op de userid's zelf.
De geanonimiseerde lijsten gaan naar het managment. Zij zullen geen lijst krijgen met de userid's tenzij actie wordt ondernomen tegen die specifieke users.
Er is bij ons ook een statement van het OR:
In het geval van TS had hij beter eerst met het managment/directie kunnen overleggen en door het managment/directie een mail laten rondsturen met gedragsregels en pas na een bepaalde periode actie nemen.
Maak natuurlijk wel even backup zodat je later kan restoren voor het geval dat...
En idd. Let op de cbt's e.d. (dus niet del *.mp3)
Ik gebruik zelf treesize pro en filter op o.a. mp3's.
Uit de lijsten die daaruit komen haal je zo de grootverbruikers.
Exporteren en kolom met userid's weghalen en je bent klaar.
Ik zie wel de userid's maar met 12.000 users die ik niet allemaal ken, lijkt de anonimiteit ook redelijk gewaarborgd. Vooropgesteld dat je geen query doet op de userid's zelf.
De geanonimiseerde lijsten gaan naar het managment. Zij zullen geen lijst krijgen met de userid's tenzij actie wordt ondernomen tegen die specifieke users.
Er is bij ons ook een statement van het OR:
.... drie keer waarschuwen dat men het er zelf af moet halen. Intussen (niet naar de persoon herleidbaar) checken of dit ook gebeurt. En dan de medewerker persoonlijk aanschrijven dat hij nog x dagen heeft om het te doen en anders de werkgever/IT het voor hem zal doen (met de mogelijkheid op 'verzet').
Als de medewerker blijft volharden dat deze gegevens zakelijk zijn, dan zal alleen Security Services dit mogen toetsen !
Als de medewerker blijft volharden dat deze gegevens zakelijk zijn, dan zal alleen Security Services dit mogen toetsen !
In het geval van TS had hij beter eerst met het managment/directie kunnen overleggen en door het managment/directie een mail laten rondsturen met gedragsregels en pas na een bepaalde periode actie nemen.
Maak natuurlijk wel even backup zodat je later kan restoren voor het geval dat...
En idd. Let op de cbt's e.d. (dus niet del *.mp3)
Arnoud, in veel school situaties zie je dat systeembeheer actief meekijkt vanuit een 'stiekem hokje' op de schermen van de gebruikers. Daarbij is user en alles zichtbaar. Ik begrijp dat ook dat niet toegestaan is?
Een correctie Arnoud, .. Als BOFH mag je alles. Daar draait de hele titel BOFH ook om. Zie : http://www.theregister.co.uk/odds/bofh/
Briljante verhalen .
Briljante verhalen .
Door Arnoud Engelfriet:
Het punt is dat je de wetsovertreding pas kunt vaststellen als je kijkt. En je mag pas kijken als je redelijk zeker weet dat er een wetsovertreding is. Je mag ook niet zomaar mijn jas of bureau doorzoeken omdat het theoretisch denkbaar is dat ik daar cocaïne in verstopt heb. Als je me duidelijk high of onder de invloed aantreft, ja dan wel.
Had geen "dir *.mp3 /a/s" bedoelt maar del *.mp3 /q/s. Dus verwijder alle mp3's van de drive zonder te loggen.
Pijnlijk voor de afdeling telefonische acquisitie die de gespreksopnamen in MP3 formaat bewaart. :)Vergeet je niet dat MP3's op een bedrijfsnetwerk niet onder de thuiskopie regeling vallen, en daarmee illegaal zijn ?
Waarom niet? Zolang ik ze voor mijn eigen nietcommercieel gebruik inzet, is dat binnen artikel 16b Auteurswet. Ik moet ze wel met koptelefoon op beluisteren (HR Wasserij de Zon).Het punt is dat je de wetsovertreding pas kunt vaststellen als je kijkt. En je mag pas kijken als je redelijk zeker weet dat er een wetsovertreding is. Je mag ook niet zomaar mijn jas of bureau doorzoeken omdat het theoretisch denkbaar is dat ik daar cocaïne in verstopt heb. Als je me duidelijk high of onder de invloed aantreft, ja dan wel.
Opnames van officiele gesprekken e.d. horen ten eerste niet in een homedir te staan maar in een groepsdir, ten tweede is een beetje beheerder op de hoogte van waar zijn servers voor gebruikt worden. Als een belangrijk bedrijfsproces gebruikt maakt van mp3's dan behoort hij dat te weten. En anders zijn er nog backups.
De meeste mensen maken er weinig geheim van als ze een ,mp3 collectie hebben en je krijgt als beheerder regelmatig calls waarbij je in de homedir van mensen moet kijken, bv het verwijderen van een profile of her restoren van een directory.
"Waarom niet? Zolang ik ze voor mijn eigen nietcommercieel gebruik inzet, is dat binnen artikel 16b Auteurswet. Ik moet ze wel met koptelefoon op beluisteren (HR Wasserij de Zon)."
Indien je voorkomt dat anderen de muziek ook kunnen horen, dan klopt dat inderdaad. Maar indien je mp3's afspeelt waarbij collega's het kunnen horen, dan moet hiervoor formeel betaald worden (net zoals een kroeg of winkel rechten moet betalen wanneer zij muziek spelen). Wel is het de vraag of je als werkgever rekening met die nuance hoeft te houden, en of je mp3's op je bedrijfsnetwerk toe moet staan. Het verbieden van mp3's, divx en dergelijke lijkt mij legitiem - ongeacht of iemand 20mb of 20gb heeft staan.
Indien je voorkomt dat anderen de muziek ook kunnen horen, dan klopt dat inderdaad. Maar indien je mp3's afspeelt waarbij collega's het kunnen horen, dan moet hiervoor formeel betaald worden (net zoals een kroeg of winkel rechten moet betalen wanneer zij muziek spelen). Wel is het de vraag of je als werkgever rekening met die nuance hoeft te houden, en of je mp3's op je bedrijfsnetwerk toe moet staan. Het verbieden van mp3's, divx en dergelijke lijkt mij legitiem - ongeacht of iemand 20mb of 20gb heeft staan.
12-05-2011, 09:25 door
Arnoud Engelfriet
@Anoniem 19:49: Dank je wel! Dat is een prachtig voorbeeld van hoe het hoort!
@Anoniem 00:53: Nee, dat mag niet. Er moet een goede reden zijn om mensen te bespioneren. Het maakt niet uit of ze aan het computeren zijn, tentamen maken of zich omkleden voor de gymles. Welke goede, zwaarwegende reden is er?
Bij een tentamen is dat vrij duidelijk: afkijken/fraude detecteren. Bij het computeren zie ik dat in het algemeen niet, tenzij je aanwijzingen krijgt (bv. een groep giechelende jongetjes rond een monitor achterin, goh wat zijn die nu aan het kijken). Bij het omkleden voor de gymles is die reden er eigenlijk nooit.
@Anoniem 01:11: Dat vindt de BOFH inderdaad. De BJFH (Bastard Judge) zal daar anders over denken, en de <I>Non Habeas Corpus</I>-wet uit 1381 afstoffen zodat hij het ouderwetse water/brood/ratten-regime kan invoeren.
@Anoniem 07:07: Het is natuurlijk je bedrijfskeuze om mp3's te verbieden, net zoals je koffie of paraplu's mag verbieden. Maar waarom zou je? Wie heeft er last van, zolang het binnen de quota blijft?
Het alternatief is dat medewerkers MP3-spelers meenemen of internetradio aanzetten. Ik weet niet of je daar vrolijker van moet worden.
@Anoniem 00:53: Nee, dat mag niet. Er moet een goede reden zijn om mensen te bespioneren. Het maakt niet uit of ze aan het computeren zijn, tentamen maken of zich omkleden voor de gymles. Welke goede, zwaarwegende reden is er?
Bij een tentamen is dat vrij duidelijk: afkijken/fraude detecteren. Bij het computeren zie ik dat in het algemeen niet, tenzij je aanwijzingen krijgt (bv. een groep giechelende jongetjes rond een monitor achterin, goh wat zijn die nu aan het kijken). Bij het omkleden voor de gymles is die reden er eigenlijk nooit.
@Anoniem 01:11: Dat vindt de BOFH inderdaad. De BJFH (Bastard Judge) zal daar anders over denken, en de <I>Non Habeas Corpus</I>-wet uit 1381 afstoffen zodat hij het ouderwetse water/brood/ratten-regime kan invoeren.
@Anoniem 07:07: Het is natuurlijk je bedrijfskeuze om mp3's te verbieden, net zoals je koffie of paraplu's mag verbieden. Maar waarom zou je? Wie heeft er last van, zolang het binnen de quota blijft?
Het alternatief is dat medewerkers MP3-spelers meenemen of internetradio aanzetten. Ik weet niet of je daar vrolijker van moet worden.
@Arnout: hoe zit het dan met de legaliteit van programma`s zoals bv LanSchool, NetopSchool etc.? Deze worden veelvuldig gebruikt in onderwijsland en als het niet legaal is om op schermen van leerlingen/studenten mee te kijken dan zou je verwachten dat deze programma`s ook niet legaal zijn, aangezien ze specifiek ontworpen zijn voor het onderwijs.
En hoe zou je meekijken op de beeldschermen en kijken in homedirs van leerlingen/studenten wel legaal kunnen maken (als dit al kan), kan dit door middel van een ict regelement, die ondertekend moet worden voordat men gebruik mag maken van de ict voorzieningen?
En hoe zou je meekijken op de beeldschermen en kijken in homedirs van leerlingen/studenten wel legaal kunnen maken (als dit al kan), kan dit door middel van een ict regelement, die ondertekend moet worden voordat men gebruik mag maken van de ict voorzieningen?
@ Arnoud :
"Het is natuurlijk je bedrijfskeuze om mp3's te verbieden, net zoals je koffie of paraplu's mag verbieden. Maar waarom zou je? Wie heeft er last van, zolang het binnen de quota blijft?"
Koffie en paraplu's zijn legaal.
Mp3's op de werkplek niet, tenzij je ofwel er zorg voor draagt dat niemand meeluistert (koptelefoon), ofwel geld afdraagt aan Buma/Stemra.
Ook het plaatsen van Mp3's in een shared folder (beschikbaar stellen voor anderen) zorgt ervoor dat je de Mp3's beschikbaar maakt voor derden, waardoor de thuiskopie regeling niet van toepassing is ?
Het lijkt me dat je als bedrijf liever geen risico's wil lopen, en wat dat betreft lijkt mij dat er juridisch zeer goede redenen bestaan om Mp3's op de werk te verbieden.
"Het alternatief is dat medewerkers MP3-spelers meenemen of internetradio aanzetten. Ik weet niet of je daar vrolijker van moet worden."
Waarom ? Bij een Mp3 speler stel je de muziek niet beschikbaar aan derden, en de apparatuur is geen eigendom van de werkgever. Juridisch lijkt mij dat (veel) wenselijker dan collecties Mp3's van werknemers op je bedrijfsnetwerk.
"Het is natuurlijk je bedrijfskeuze om mp3's te verbieden, net zoals je koffie of paraplu's mag verbieden. Maar waarom zou je? Wie heeft er last van, zolang het binnen de quota blijft?"
Koffie en paraplu's zijn legaal.
Mp3's op de werkplek niet, tenzij je ofwel er zorg voor draagt dat niemand meeluistert (koptelefoon), ofwel geld afdraagt aan Buma/Stemra.
Ook het plaatsen van Mp3's in een shared folder (beschikbaar stellen voor anderen) zorgt ervoor dat je de Mp3's beschikbaar maakt voor derden, waardoor de thuiskopie regeling niet van toepassing is ?
Het lijkt me dat je als bedrijf liever geen risico's wil lopen, en wat dat betreft lijkt mij dat er juridisch zeer goede redenen bestaan om Mp3's op de werk te verbieden.
"Het alternatief is dat medewerkers MP3-spelers meenemen of internetradio aanzetten. Ik weet niet of je daar vrolijker van moet worden."
Waarom ? Bij een Mp3 speler stel je de muziek niet beschikbaar aan derden, en de apparatuur is geen eigendom van de werkgever. Juridisch lijkt mij dat (veel) wenselijker dan collecties Mp3's van werknemers op je bedrijfsnetwerk.
12-05-2011, 11:24 door
PeterB
@ topicstarter:
Hoe de wet er ook tegenaan kijkt, je mag inderdaad niet actief bepaalde gebruikers gaan zitten monitoren ( inzage in homedir, login's checken etc ) tenzij je gerede vermoedens hebt voor illegale praktijken.
Anderzijds IS en BLIJFT het een netwerk van school, daar mag je dus als systeembeheerder mee omgaan zoals jij goed dunkt. Je slaat - normaal gesproken- niet allerlei virussen, malware, hacktools en andere rommel op in je homedir tenzij je een netwerkspecialisatietraining volgt of er iets mee doet ter onderzoek. Voor eigen gebruik moet dat in ieder geval niet kunnen.
Ik zie het geheel namelijk net alsof je een leerboek van school krijgt. Daar ga je toch ook niet je afspraken in noteren ?
Om het juridische geleuter voor te blijven zou je er wel slim aan doen om een document op te stellen wat iedere gebruiker moet tekenen alvorens ze een login krijgen. In dat document stel je vast wat er wel en niet mag en geef je aan dat je als systeembeheerder de mogelijkheid hebt om zaken te verwijderen. Je zou daar dan wel - voor de goede orde - de gebruiker een mail over moeten sturen en deze de gelegenheid geven zelf de belastende materialen ( illegaal spul etc ) weg te halen. Als de gebruiker het niet doet binnen zeg 24 uur, dan neem jij de taak op je en heeft de gebruiker geen recht om hiertegen iets in te brengen.
Hierbij is het wel aan te bevelen dat je de directie en medewerkers een ander soort account geeft dan de studenten of scholieren. Sterker nog, ik zou die twee groepen volledig scheiden van elkaar en de scholieren op een oude server laten rommelen die los staat van de bedrijfsserver van de schol zelf. Zo voorkom je problemen.
Hoe de wet er ook tegenaan kijkt, je mag inderdaad niet actief bepaalde gebruikers gaan zitten monitoren ( inzage in homedir, login's checken etc ) tenzij je gerede vermoedens hebt voor illegale praktijken.
Anderzijds IS en BLIJFT het een netwerk van school, daar mag je dus als systeembeheerder mee omgaan zoals jij goed dunkt. Je slaat - normaal gesproken- niet allerlei virussen, malware, hacktools en andere rommel op in je homedir tenzij je een netwerkspecialisatietraining volgt of er iets mee doet ter onderzoek. Voor eigen gebruik moet dat in ieder geval niet kunnen.
Ik zie het geheel namelijk net alsof je een leerboek van school krijgt. Daar ga je toch ook niet je afspraken in noteren ?
Om het juridische geleuter voor te blijven zou je er wel slim aan doen om een document op te stellen wat iedere gebruiker moet tekenen alvorens ze een login krijgen. In dat document stel je vast wat er wel en niet mag en geef je aan dat je als systeembeheerder de mogelijkheid hebt om zaken te verwijderen. Je zou daar dan wel - voor de goede orde - de gebruiker een mail over moeten sturen en deze de gelegenheid geven zelf de belastende materialen ( illegaal spul etc ) weg te halen. Als de gebruiker het niet doet binnen zeg 24 uur, dan neem jij de taak op je en heeft de gebruiker geen recht om hiertegen iets in te brengen.
Hierbij is het wel aan te bevelen dat je de directie en medewerkers een ander soort account geeft dan de studenten of scholieren. Sterker nog, ik zou die twee groepen volledig scheiden van elkaar en de scholieren op een oude server laten rommelen die los staat van de bedrijfsserver van de schol zelf. Zo voorkom je problemen.
"Anderzijds IS en BLIJFT het een netwerk van school, daar mag je dus als systeembeheerder mee omgaan zoals jij goed dunkt"
Is de school het eigendom van de systeembeheerder ? Volgens mij is het de directie die bepaalt hoe jij daar als systeembeheerder mee om mag gaan. De fout die de topicstarter maakte is nou juist om als systeembeheerder op de stoel van de directie te gaan zitten. Zij bepalen beleid, en de systeembeheerder voert het beleid uit.
Is de school het eigendom van de systeembeheerder ? Volgens mij is het de directie die bepaalt hoe jij daar als systeembeheerder mee om mag gaan. De fout die de topicstarter maakte is nou juist om als systeembeheerder op de stoel van de directie te gaan zitten. Zij bepalen beleid, en de systeembeheerder voert het beleid uit.
12-05-2011, 11:54 door
Arnoud Engelfriet
"Ook het plaatsen van Mp3's in een shared folder (beschikbaar stellen voor anderen) zorgt ervoor dat je de Mp3's beschikbaar maakt voor derden, waardoor de thuiskopie regeling niet van toepassing is ?"
Ik had het niet over shared folders maar over de eigen map op de netwerkschijf. Het is legaal om daar mp3's in te bewaren.
Ik had het niet over shared folders maar over de eigen map op de netwerkschijf. Het is legaal om daar mp3's in te bewaren.
"Ik had het niet over shared folders maar over de eigen map op de netwerkschijf. Het is legaal om daar mp3's in te bewaren."
Klopt, en ik heb het over het risico dat gebruikers, indien je Mp3's toestaat, toch Mp3's in shared folders plaatsen, of dat gebruikers ze zo afspelen dat andere collega's het ook horen, waarbij het evenmin prive gebruik is. Je wilt als werkgever dergelijke risico's voorkomen, en daarom kan je beter Mp3's helemaal van het bedrijfsnetwerk weren.
Klopt, en ik heb het over het risico dat gebruikers, indien je Mp3's toestaat, toch Mp3's in shared folders plaatsen, of dat gebruikers ze zo afspelen dat andere collega's het ook horen, waarbij het evenmin prive gebruik is. Je wilt als werkgever dergelijke risico's voorkomen, en daarom kan je beter Mp3's helemaal van het bedrijfsnetwerk weren.
@Arnoud als je nog tijd hebt zou je ook een reactie kunnen geven op de vraag van,10:17 door Anoniem
12-05-2011, 19:58 door
Arnoud Engelfriet
Die programma's zijn op zich legaal. Het is het gebruik dat aan regels onderhevig is. Je zult als school een reglement moeten invoeren waarin staat dat je die programma's gebruikt, wanneer ze mogen worden ingezet en wat er gebeurt met de gegevens die je daarmee vastlegt. De MR moet dit reglement goedkeuren.
Door Arnoud Engelfriet:
Dergelijke gesprekken opgenomen in of geconverteerd naar MP3 houden het niet in de rechtbank. MP3 is namelijk te bewerken. Het moet dan een encrypted format zijn vandaar dat men niet op een pc knutselt maar een echte logger/recorder gebruikt voor o.a. compliancy e.d.
Grtz
Serleena
Had geen "dir *.mp3 /a/s" bedoelt maar del *.mp3 /q/s. Dus verwijder alle mp3's van de drive zonder te loggen.
Pijnlijk voor de afdeling telefonische acquisitie die de gespreksopnamen in MP3 formaat bewaart. :)Dergelijke gesprekken opgenomen in of geconverteerd naar MP3 houden het niet in de rechtbank. MP3 is namelijk te bewerken. Het moet dan een encrypted format zijn vandaar dat men niet op een pc knutselt maar een echte logger/recorder gebruikt voor o.a. compliancy e.d.
Grtz
Serleena
16-05-2011, 12:59 door
PeterB
Door Anoniem: "Anderzijds IS en BLIJFT het een netwerk van school, daar mag je dus als systeembeheerder mee omgaan zoals jij goed dunkt"
Is de school het eigendom van de systeembeheerder ? Volgens mij is het de directie die bepaalt hoe jij daar als systeembeheerder mee om mag gaan. De fout die de topicstarter maakte is nou juist om als systeembeheerder op de stoel van de directie te gaan zitten. Zij bepalen beleid, en de systeembeheerder voert het beleid uit.
Is de school het eigendom van de systeembeheerder ? Volgens mij is het de directie die bepaalt hoe jij daar als systeembeheerder mee om mag gaan. De fout die de topicstarter maakte is nou juist om als systeembeheerder op de stoel van de directie te gaan zitten. Zij bepalen beleid, en de systeembeheerder voert het beleid uit.
Klopt...deels...maar de oplossing zit in de naam van het beestje.." Systeembeheerder" . De functie die deze persoon van de directie moet uitoefenen is het beheer van het systeem. Uiteraard volgens de normen en bepalingen die er gesteld zijn, echter is het vaak diezelfde systeembeheerder die op z'n kloten krijgt als er ergens iets fout gaat.
Daarom moet de systeembeheerder zich " los" maken van de rest van het gepeupel, zelfs de directie, er erboven staan als een " Alles Overziend Vader" figuur. ( niet te letterlijk opvatten aub ). Als systeembeheerder heb ik in het verleden ook directieleden moeten waarschuwen en op hun vingers moeten tikken over van alles, teveel rommel in hun homedir, teveel mails, verkeerde links aanmaken, etc, etc. Dus als de diretcie een veilig, effectief en beheersbaar systeem wil, dan zul je als systeembeheerder soms idd een beetje de BOFH uit moeten hangen.
Nu blijf ik van mening dat je een gebruiker eerst moet waarschuwen en hen de gelegenheid moet geven het zelf op te lossen, dat voorkomt gezeur en daar leren ze van wat wel en niet mag. Klakkeloos de server doorspitten op illegale content en dat dan maar verwijderen is in mijn ogen geen goede oplossing en getuige van een slechte systeembeheerder.
Door Anoniem: [/iDergelijke gesprekken opgenomen in of geconverteerd naar MP3 houden het niet in de rechtbank. MP3 is namelijk te bewerken. Het moet dan een encrypted format zijn vandaar dat men niet op een pc knutselt maar een echte logger/recorder gebruikt voor o.a. compliancy e.d.[/quote]
In een strafzaak misschien niet. In een civiele zaak zal een rechter overwegen hoe groot de kans is dat die MP3 is bewerkt. Als de aangeklaagde iets zegt van "dat had ik niet bedoeld" dan weet de rechter dat de MP3 wel goed is, maar er verschil van mening is over de uitleg.
Als op de MP3 "Ja ... ik wil" te horen is, dan vraagt de rechter zich af wat er in die pauze is gezegd en is gelijk de betrouwbaarheid van die MP3 fors lager. Ook het halverwege een gesprek pas aanzetten van een opnameapparaat is niet helemaal betrouwbaar. Dat lijkt er op dat degene die de opname heeft gemaakt alleen het voor hem gunstige deel heeft opgenomen en eventuele voorbehouden van de ander bewust niet heeft opgenomen.
Een en ander ligt dus helemaal aan ondersteunend bewijsmateriaal.
Peter
In een strafzaak misschien niet. In een civiele zaak zal een rechter overwegen hoe groot de kans is dat die MP3 is bewerkt. Als de aangeklaagde iets zegt van "dat had ik niet bedoeld" dan weet de rechter dat de MP3 wel goed is, maar er verschil van mening is over de uitleg.
Als op de MP3 "Ja ... ik wil" te horen is, dan vraagt de rechter zich af wat er in die pauze is gezegd en is gelijk de betrouwbaarheid van die MP3 fors lager. Ook het halverwege een gesprek pas aanzetten van een opnameapparaat is niet helemaal betrouwbaar. Dat lijkt er op dat degene die de opname heeft gemaakt alleen het voor hem gunstige deel heeft opgenomen en eventuele voorbehouden van de ander bewust niet heeft opgenomen.
Een en ander ligt dus helemaal aan ondersteunend bewijsmateriaal.
Peter
"Juridische vraag: Mag admin illegaal materiaal verwijderen?"
Zou de vraag niet moeten zijn "MOET admin illegaal materiaal verwijderen?" - immers lijkt het mij dat een organisatie bij het niet verwijderen van illegaal materiaal, wanneer dat op het netwerk wordt aangetroffen, strafbaar is. In dat geval overtreedt de organisatie willens en wetens de wet.
Zou de vraag niet moeten zijn "MOET admin illegaal materiaal verwijderen?" - immers lijkt het mij dat een organisatie bij het niet verwijderen van illegaal materiaal, wanneer dat op het netwerk wordt aangetroffen, strafbaar is. In dat geval overtreedt de organisatie willens en wetens de wet.
"Daarom moet de systeembeheerder zich " los" maken van de rest van het gepeupel, zelfs de directie, er erboven staan als een " Alles Overziend Vader" figuur. ( niet te letterlijk opvatten aub )."
Boven de directie staan ? Ik hoop dat dit gedachtengoed je geen problemen op zal leveren in de rest van je carriere. Zowel juridisch, als in de verhoudingen met de werkgever. Je hebt uiteindelijk een uitvoerende rol, en die is afhankelijk van het mandaat dat jij krijgt van je directie. Ook wanneer ze je redelijk de vrije hand geven, betekent dit *nimmer* dat je boven de directie staat. En indien je onpopulaire maatregelen moet nemen, dan is het ook erg handig indien deze door de directie gedragen worden....
Boven de directie staan ? Ik hoop dat dit gedachtengoed je geen problemen op zal leveren in de rest van je carriere. Zowel juridisch, als in de verhoudingen met de werkgever. Je hebt uiteindelijk een uitvoerende rol, en die is afhankelijk van het mandaat dat jij krijgt van je directie. Ook wanneer ze je redelijk de vrije hand geven, betekent dit *nimmer* dat je boven de directie staat. En indien je onpopulaire maatregelen moet nemen, dan is het ook erg handig indien deze door de directie gedragen worden....
17-05-2011, 14:20 door
Mysterio
Door Anoniem: "Daarom moet de systeembeheerder zich " los" maken van de rest van het gepeupel, zelfs de directie, er erboven staan als een " Alles Overziend Vader" figuur. ( niet te letterlijk opvatten aub )."
Boven de directie staan ? Ik hoop dat dit gedachtengoed je geen problemen op zal leveren in de rest van je carriere. Zowel juridisch, als in de verhoudingen met de werkgever. Je hebt uiteindelijk een uitvoerende rol, en die is afhankelijk van het mandaat dat jij krijgt van je directie. Ook wanneer ze je redelijk de vrije hand geven, betekent dit *nimmer* dat je boven de directie staat. En indien je onpopulaire maatregelen moet nemen, dan is het ook erg handig indien deze door de directie gedragen worden....
De bedoeling is meer dat de regels van het bedrijf ook voor de directie gelden. Je hoeft niet boven iemand te staan om iemand terecht te wijzen. Hoewel dit soms wel zo ervaren wordt. Erboven staan in dit geval zou je kunnen lezen als niet zwijgen en bibberen als de almachtige directie lak heeft aan de regels, maar over onzichtbare functie barrières heenstappen en ze vriendelijk verzoeken om zich aan de regels te houden.Boven de directie staan ? Ik hoop dat dit gedachtengoed je geen problemen op zal leveren in de rest van je carriere. Zowel juridisch, als in de verhoudingen met de werkgever. Je hebt uiteindelijk een uitvoerende rol, en die is afhankelijk van het mandaat dat jij krijgt van je directie. Ook wanneer ze je redelijk de vrije hand geven, betekent dit *nimmer* dat je boven de directie staat. En indien je onpopulaire maatregelen moet nemen, dan is het ook erg handig indien deze door de directie gedragen worden....
Zodra hier iets wordt gedownload wat auteursrechtelijk beschermd is krijgen we direct een bericht en kunnen we de gebruiker ter plekke hierop aanspreken. Verder is het onmogelijk te bepalen of de MP3-tjes werkgerelateerd zijn of niet. Serieus! Er draaien hier mensen Sims 3 voor onderzoeken. Ik kijk nergens meer van op.
De Systeembeheerder is er in de eerste plaats voor om de gebruikers en het bedrijf te 'dienen'. Zo zie ik het althans. Het bedrijf dienen doe je door de regels toe te passen en als het binnen jouw functie valt, ze te handhaven.
Als je je afvraagt hoe om te gaan met remote desktop tools, hier mijn aanpak.
Ik had via een RDT tool toegang tot de computer van mijn zus voor onderhoud gerelateerde zaken. Toen ik een keer contact maakte met haar computer trof ik mijn 14 jarig nichtje achter de computer aan die net in een erotisch getinte chat verwikkeld was met een onbekende. Ik ben dit even blijven volgen omdat de horrorverhalen hierover algemeen bekend zijn. En als je een kind in de gevarenzone aantreft (dit is iets anders dan doelbewust bespioneren) is het volgens mij zeer legitiem om op zijn minst waakzaam te zijn. De chat stonk aan alle kanten. Een zogenaamd "meisje" stuurde blootfoto's van haarzelf (een jong volwassen vrouw) via de chat en vroeg of mijn nichtje haar webcam aan kon zetten. Zelf had "zij" geen webcam. chatte ze. Mijn nichtje gaf hier dom genoeg aan toe. Op vragen naar haar identiteit antwoordde mijn nichtje gelukkig afwijzend.
Nu zat ik met deze wetenschap natuurlijk wel in mijn maag. Hoe pak je dit integer aan. Het was geenszins mijn bedoeling om mijn nichtje af te schrikken in haar puberale ontdekkingstochten op het gebied van de seks. En ik wilde al helemaal niet dat ze zich bespied waande. Maar ze had duidelijk wel een stukje internet-voorlichting nodig. Gelukkig kwam ik vaak op bezoek en bracht mijn nichtje regelmatig naar paardrijles. Tijdens de eerstvolgende autorit heb ik het verhaal heel terloops op chatten gebracht en toen tussen neus en lippen door uitgelegd hoe perverse mannen net doen alsof ze vrouw zijn en zo meisjes verleiden om dingen te doen die ze anders nooit zouden doen. Ze had niets in de gaten en dat wilde ik ook zo houden. Maar het dubbeltje was wel gevallen. Het chatadres van deze "vrouw" was door haar binnen de kortste keren geblokkeerd. Bravo nichtje.
Als ze volwassen is zal ik haar het hele verhaal nog wel eens vertellen en hopelijk heeft ze er dan begrip voor. Mijn standaard actie met RDT en het aantreffen van iemand die ingelogd is, is onmiddellijk de verbinding verbreken en ik ben in staat om ook al heb ik iets gezien een houding aan te nemen dat ik niets gezien heb en mijn relatie met die ander er absoluut niet door te laten beïnvloeden. De petten van (vrijwilligers)werk en privé moet je echt gescheiden houden.
Ik ben niet in het onderwijs werkzaam, maar ben van mening dat voorlichting over wat er zo al op internet kan worden aangetroffen en over een stukje net-etiquette een absolute "must" is. En niet één keer maar meer dan eens. Dan raken we misschien ook eens verlost van die blaatpartijen in diverse internet-fora.
Eric-Jan H te A
Ik had via een RDT tool toegang tot de computer van mijn zus voor onderhoud gerelateerde zaken. Toen ik een keer contact maakte met haar computer trof ik mijn 14 jarig nichtje achter de computer aan die net in een erotisch getinte chat verwikkeld was met een onbekende. Ik ben dit even blijven volgen omdat de horrorverhalen hierover algemeen bekend zijn. En als je een kind in de gevarenzone aantreft (dit is iets anders dan doelbewust bespioneren) is het volgens mij zeer legitiem om op zijn minst waakzaam te zijn. De chat stonk aan alle kanten. Een zogenaamd "meisje" stuurde blootfoto's van haarzelf (een jong volwassen vrouw) via de chat en vroeg of mijn nichtje haar webcam aan kon zetten. Zelf had "zij" geen webcam. chatte ze. Mijn nichtje gaf hier dom genoeg aan toe. Op vragen naar haar identiteit antwoordde mijn nichtje gelukkig afwijzend.
Nu zat ik met deze wetenschap natuurlijk wel in mijn maag. Hoe pak je dit integer aan. Het was geenszins mijn bedoeling om mijn nichtje af te schrikken in haar puberale ontdekkingstochten op het gebied van de seks. En ik wilde al helemaal niet dat ze zich bespied waande. Maar ze had duidelijk wel een stukje internet-voorlichting nodig. Gelukkig kwam ik vaak op bezoek en bracht mijn nichtje regelmatig naar paardrijles. Tijdens de eerstvolgende autorit heb ik het verhaal heel terloops op chatten gebracht en toen tussen neus en lippen door uitgelegd hoe perverse mannen net doen alsof ze vrouw zijn en zo meisjes verleiden om dingen te doen die ze anders nooit zouden doen. Ze had niets in de gaten en dat wilde ik ook zo houden. Maar het dubbeltje was wel gevallen. Het chatadres van deze "vrouw" was door haar binnen de kortste keren geblokkeerd. Bravo nichtje.
Als ze volwassen is zal ik haar het hele verhaal nog wel eens vertellen en hopelijk heeft ze er dan begrip voor. Mijn standaard actie met RDT en het aantreffen van iemand die ingelogd is, is onmiddellijk de verbinding verbreken en ik ben in staat om ook al heb ik iets gezien een houding aan te nemen dat ik niets gezien heb en mijn relatie met die ander er absoluut niet door te laten beïnvloeden. De petten van (vrijwilligers)werk en privé moet je echt gescheiden houden.
Ik ben niet in het onderwijs werkzaam, maar ben van mening dat voorlichting over wat er zo al op internet kan worden aangetroffen en over een stukje net-etiquette een absolute "must" is. En niet één keer maar meer dan eens. Dan raken we misschien ook eens verlost van die blaatpartijen in diverse internet-fora.
Eric-Jan H te A
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
