Juridische vraag: school installeert spyware op laptop
Heb jij een uitdagende vraag over beveiliging, recht en privacy, stel hem aan ICT-jurist Arnoud Engelfriet en maak kans op zijn boek
"Security: Deskundig en praktisch juridisch advies".
Vraag: Mijn onderwijsinstelling geeft laptops in bruikleen aan medewerkers. Zij mogen alles doen (je krijgt administratorrechten), en het beheer doet niets meer dan op verzoek alles formatteren en opnieuw installeren. Zo wil men de kosten laag houden. Maar om te voorkomen dat men aansprakelijk gesteld wordt voor licentieschendingen, wil men wel een speciale tool installeren die op de achtergrond draait en doorgeeft welke software wordt geïnstalleerd. Dit wordt dan tegen een blacklist gecontroleerd. Maar mag dat wel?
Antwoord: Het is heel creatief dat deze instelling haar medewerkers zo veel ruimte geeft, dat zie je niet vaak bij grote instellingen. De aanpak van "doe het zelf en wij herinstalleren alleen" lijkt mij organisatorisch prima, hoewel een alternatief "wij doen alles maar dan mag je zelf niets installeren" misschien nog wel handig is.
Punt is wel dat de organisatie ook in deze situatie aansprakelijk is voor illegale handelingen gepleegd met de laptops. Het zijn en blijven bedrijfslaptops, en de werkgever is aansprakelijk voor hetgeen de werknemer doet naar derden toe. Ook als dit expliciet verboden is! Je moet als werkgever echt actief toezicht houden en ingrijpen als je problematische situaties ziet ontstaan om je aansprakelijkheid te kunnen beperken. Een bordje ophangen "illegale software installeren is verboden" is echt niet genoeg. De blacklist en monitoring software is dus een goede poging om dit risico in te dammen.
Als het een volledig automatische tool is, dan zie ik er weinig problemen mee. Je krijgt dan een waarschuwing, of misschien zelfs een blokkade op het uitvoeren van die software. Dat zou netjes zijn: is de melding terecht dan kun je de software deinstalleren, is de melding onterecht dan kun jij als medewerker kiezen te escaleren naar de juiste persoon.
Een automatische mail naar het management is een heel ander verhaal. Dat lijkt me niet direct proportioneel, dus dat zou ik pas doen na een waarschuwing (of twee) waar niet op gereageerd is. Maar als het even kan, zou ik adviseren om alleen te werken met een automatische tool zodat mensen zelf moeten piepen als er iets onterecht geblokkeerd wordt.
Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. Hij schreef twee boeken, De wet op internet en Security: Deskundig en praktisch juridisch advies.
Peter
De school heeft maatregelen genomen om illegale software tegen te gaan. Een device wat je fysiek in handen hebt is nooit 100% te beveiligen. Als jij dit soort maatregelen omzeilt zal de school een stuk sterker staan om hun onschuld aan te tonen als illegale software op "jouw" laptop wordt aangetroffen. Of, indien ze daar toch een boete voor krijgen, die bij jouw te vorderen.
Je zegt in je antwoord:
Zie http://www.arbeidsrechter.nl/werkgever-risico-aansprakelijkheid-voor-schade-door-fout-werknemer waar men zegt:
"Je moet als werkgever echt actief toezicht houden en ingrijpen als je problematische situaties ziet ontstaan om je aansprakelijkheid te kunnen beperken."
Actief toezicht kan, maar dat zou ook zonder of met andere technische maatregels (opnemen in arbeidsovereenkomst/getekend computerreglement/bruikleenovereenkomst, sociale controle, regelmatige of overvalscontrole door baas, monitoren netwerkverkeer - met inachtneming privacy etc) kunnen.
Wat me meer zorgen baart is dat iedereen admin heeft => legale software van verdachte bron kan worden geinstalleerd;drive by exploits via web browsers=>malware op laptops=>netwerk besmet. Het lijkt me handig dat ze de overige hosts op het netwerk en de netwerkdevices goed dichtzetten...
Ik vond ook de passage iets verderop in de uitleg verhelderend i.r.t. het vanuit de organisatie afdwingen van ib maatregelen tegenover de verantwoordelijkheid bij de medewerker leggen.
Het enkele hebben van regels is NIET genoeg voor ontslag. Je moet echt een dossier opgebouwd hebben én liefst ook pogingen tot verbeterstappen vanuit directie laten zien alvorens je een vergunning krijgt. Anders wordt het een hele dure grap, of kan de rechter zelfs bepalen dat meneer of mevrouw gewoon mag blijven werken. Leuk voor de sfeer dat.
gr. Willem
Nee hoor, de eigenaar is juridisch verantwoordelijk. Indien er bij controle op bedrijfsdesktops of bedrijfslaptops illegale software staat, dan moet de werkgever betalen. Als werkgever kan je niet de schuld afschuiven door te stellen dat je je medewerkers admin rechten geeft, en dat het hun verantwoordelijkheid is.
Overigens is een werkgever inderdaad aansprakelijk voor het weggedrag van de werknemer tijdens zakelijke ritten onder werktijd. Indien een vrachtwagenchauffeur of busbestuurder jou aanrijdt, dan is zijn werkgever daarvoor (mede-) verantwoordelijk.
Dat is echter een geheel ander onderwerp ;)
"Als men admin rechten heeft kan men die tool ook verwijderen. Lijkt me derhalve een slecht plan"
De hele situatie lijkt me vanuit beveiligingsoogpunt niet optimaal, maar op zich hoeft dat niet het grootste probleem te zijn; indien je aan de serverkant kan zien dat een medewerker dat doet, bijvoorbeeld doordat je geen dagelijkse update meer ontvangt, dan kan je hem of haar daarop aanspreken en indien nodig maatregelen nemen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
