GDPR-rel kapcsolatos kérdés

 ( veresh | 2018. május 24., csütörtök - 14:01 )

A hozzáértők véleményét szeretném kikérni.
A GDPR-re, vagy bármilyen más törvényre hivatkozva, a munkáltató kötelezheti e munkavállalóit, hogy a munkahelyi számítógépeken használt korlátozott jogú felhasználói fiókjuk (pl. AD) jelszavát lezárt borítékban leadják a főnöknek?

Hozzászólás megjelenítési lehetőségek

A választott hozzászólás megjelenítési mód a „Beállítás” gombbal rögzíthető.

Szerintem ez technikailag se egy szükséges dolog, a rendszergazda arra írja át, amit szeretne és ezerféleképpen át tud nyúlni a felhasználók feje felett a felhasználói jelszó nélkül.

De lehet szimpla tudatlanságból kér ilyet, nem pedig rosszindulatból. Ez esetben fel kéne homályosítani az illetékesnek.

Azt senki nem vitatja, hogy ez technikailag szükséges-e. Természetesen a rendszergazda, ha akar, akkor minden felhasználó minden dokumentumához hozzáfér (a jelszava ismerete nélkül), és a jelszavát is meg tudja változtatni.
Tájékoztatva lett, hogy ez fölösleges, és aggályos, ennek ellenére kérik a lezárt borítékot.

Az ilyen megérdemelne egy kiadós s.-be.k*rást.

És ha utána megváltoztatom a jelszót?

Szerintem előtte is változtassa, azt az újat adja le borítékba, majd utána is változtassa :D

de akkor nem tudnak belépni és dolgozni helyette, így megint neki kellene dolgoznia :))))

Hát, amennyiben lezárt az a boríték, akkor valójában bármit bele lehet tenni.

Üres lapot, az előző jelszót, stb.

Mivel se okuk, se szükségük nincs a felnyitására, sose derül ki.

Ha meg szúrópróbaszerűen ellenőriznék, akkor lehet csodálkozni, hogy hmmm, hát nem elírtam egy betűt? Vagy tizenhatot?

Csak mondom. Nem kell persze ezt tennetek.

Ezzel a lehetőséggel természetesen tisztában vagyunk ;-)

Nem vagyok "hozzáértő", de ha a munkáltatónak az AD jelszavad kell ahhoz, hogy a céges adatokhoz hozzá tudjon férni, ott valami nagyon nagy gáz van szerintem.

Szintén nem jogászi vélemény, de GDPR-re hivatkozva jelszót gyűjteni sincs rendben szerintem.

Nem azért kéri, mert csak így tudna hozzáférni az adatokhoz, hogy miért kéri azt egyelőre nem tudjuk.

Már lentebb is írták, de pont a GDPR rögzíti a célhoz kötöttség elvét, tehát meg kell mondania, hogy miért kell neki. És nyomatékosan fel kell hívni a figyelmét, hogy auditáltassa az informatikai rendszerét, mert nagy bajok vannak, ha neki szüksége van ezekre a jelszavakra.

Egyszerűen értelmes, jogszerű felhasználásra nem látok lehetőséget, viszont kiválóan alkalmas arra, hogy egy paranoid, de informatikai szempontból nem túlképzett főnök belépegessen a "gyanús" felhasználók nevében, amikor kedve tartja.

+1

A kérdés továbbra is az, hogy kérheti-e, bármilyen törvényre hivatkozva (egyelőre törvényi hivatkozás nélkül kéri)? Munkahelyi szabályozás sincs ezzel kapcsolatban.
Ha nem teljesítjük a "kérést", akkor ennek lehet-e a munkavállalóra nézve elmarasztaló jogi következménye?

Első közelítés: Kérni kell a munkáltatót, hogy pontosan jelölje meg, hogy melyik törvény, melyik paragrafus, melyik pontja alapján kéri a jelszót. A reakciójától függően kell dönteni a hogyan továbbról. Ha megírod, mit reagált, akkor adunk további tanácsokat. Addig viszont felesleges végigzongorázni az összes lehetőséget.

Második közelítés: Nem kérdezel semmit, és leadod a jelszót. Történet vége.

Harmadik közelítés:
- Nem adod le a jelszót. Ha később ennek nem lesz következménye, akkor történet vége.
- Nem adod le a jelszót, és később ebből hátrányod származik. Ekkor továbblépsz a negyedik közelítésre.

Negyedik közelítés: GDPR-rel és munkajoggal tisztában levő ügyvédet kérdezel meg. A vállalati jogász nem jó! Utána az ügyvéd javaslatai alapján jársz el.

Az egyes megközelítések sorrendje nem jelent semmit, a neked tetszőt válaszd ki.

Nem kell kérnie semmit sem. A munkavállalói viszony egy alá-fölé rendelt viszony. Harmadik és negyedik esetében jogilag megütheti a bokáját, ha sérti a szerződését és ráadásul mondjuk kárt is okoz ezzel (pl ideig nem hozzáférhető az információ)

Érdekes álláspont.
- A károkozás hogyanjáról tudnál valamit írni? Különös tekintettel arra, hogy a rendszergazdai jelszóval rendelkezik a „főnökség”, így a gép minden adatához hozzáfér.
- Megkérdezek egy ügyvédet, és ezért „jogilag megütöm a bokámat”? Aki olyan munkaszerződést ír alá, amely tiltja ügyvédi tanács kérését, az szimplán hülye. Amellett, hogy a törvény szerint mindenkinek joga van jogi segítséget kérni. Ezt nem lehet felülírni egy munkaszerződéssel.

például titkosít információt ami a céges működéshez szükséges. azért ha megkérdezel egy ügyvédet nem ütöd meg a bokádat, ez mellébeszélés. a munkaszerződés azonban elég sok mindent kijelöl, ha ott szeretnél dolgozni akkor aláírod és vállalod a következményeket.

Ha egyszerű alkalmazottként a céges működéshez szükséges információt tudok úgy titkosítani, hogy azzal kárt okozzak, és ehhez elég, ha a belépési jelszavam titokban marad, akkor a cég és az IT részleg működésében is elég komoly problémák vannak.

Javaslom áttekintésre ezt különösen a go verziót. Aki pedig egy cégnél dolgozik az hozzáfér a cég adataihoz, lehet az kényes vagy nem kényes adat. Nyilván vannak bizalmi poziciók, de ott is lehet olyan ember aki meglépi ezt.

És ezen mit segít, ha egy páncélban ott a belépési jelszó?

"Ha egyszerű alkalmazottként a céges működéshez szükséges információt tudok úgy titkosítani, hogy azzal kárt okozzak, és ehhez elég, ha a belépési jelszavam titokban marad, akkor a cég és az IT részleg működésében is elég komoly problémák vannak."

erre írtam választ, ennyi.

"és ehhez elég, ha a belépési jelszavam titokban marad"

kicsit úgy érzem nem akarod megérteni.

Tényleg nem értem. Ha a belépési jelszavam ott van a páncélban, az miért védi meg a céget attól, hogy az összes fájlt, amelyen írásjogom van, felülcsapjam valami titkosítással. Vagy miért védi meg attól, hogy töröljem?

Nem védi meg.
Ebből indultunk ki:
"Ha egyszerű alkalmazottként a céges működéshez szükséges információt tudok úgy titkosítani, hogy azzal kárt okozzak, és ehhez elég, ha a belépési jelszavam titokban marad, akkor a cég és az IT részleg működésében is elég komoly problémák vannak."
Erre válaszoltam hogy: Attól hogy rendelkezik rendszergazdai jelszóval még kitörölheti a seggét vele, ha titkosítva van. Ha az problémád hogy ezen mért véd meg ha a jelszavad a páncélban van akkor jelentem nem véd meg, de nem is ez volt a lényeg. Én a károkozásra reagáltam és elmondtam, hogy mit gondolok arról, hogy ha kéri a jelszót a munkáltató. Mégegyszer mondom, ha az a páncél a bajod, arra nem orvosság és igazat adok benne.

"Én a károkozásra reagáltam"
A kérdés még mindig az: milyen kárt okozhat azzal, ha nem adja le a belépési jelszavát. Ebből indult ki a kérdés.

Ilyen eset nem áll fenn.

„Harmadik és negyedik esetében jogilag megütheti a bokáját”
vs.
„ha megkérdezel egy ügyvédet nem ütöd meg a bokádat, ez mellébeszélés”

Hint: a negyedik eset az volt, hogy megkérdez egy ügyvédet.

Arra próbáltam célózni, hogy ha megkérdez egy ügyvédet az nem baj, ha kárt okoz az baj. Asszem ma vagy nem tudok értelmesen fogalmazni vagy nem akarnak szavaim meghallgatásra találni :) (mondjuk most elég fáradtnak érzem magam tehát lehet az első verzió a jó, akkor bocs mindenkitől)

Mi ez, 50-es évek?
Ez már hozzáállásnak is rossz. Munkaadó-munkaválló között a partneri viszony a kívánatos, nem az alá-fölérendeltség.
(Ez nem azt jelenti, hogy nem azzal kell foglalkoznod, amit a főnököd mond)

Törvénybe van fektetve, hogy nem származhat a munkavállalónak kára abból, ha pl. munkavédelmi problémákra hívja fel a figyelmet.
Saját magad veszélyeztetésénél megtagadhatod a munkavégzést, mások veszélyeztetésénél KÖTELEZŐ megtagadni. Akármi van a munkaszerződésben...
Meg pl. sokan nem tudják, de munkaköri leírásba sem lehet már rég leírni a szokásos szöveget, hogy: ez, meg ez, meg ez a feladatod, meg minden amire a felettesed utasít. Ez utóbbi nem szerepelhet benne.

A konkrét témához: leginkább azért aggályos, ha a user találja ki a jelszavát, mert azt jó eséllyel máshol is használja.
Ha a user jelszón múlik az adat elérhetősége, az réges-régen rossz.

Több olyan kolléga is van (önbevallás alapján), aki a cégen belül használt jelszavát máshol is használja. Ezért előzetesen felhívtam a kollégák figyelmét, hogy ha ilyen eset áll fenn, akkor előbb változtassanak jelszót, majd azt a jelszót adják le, ha úgy döntenek, hogy leadják.

Amint azt korábban is írtam, nem szükséges a user jelszava, hogy szükség esetén hozzáférjünk az általa tárolt adatokhoz. (Az esetlegesen titkosított adat, az egy másik kérdés, de erre most nem is terjed ki a kérdés.)

Szerződésben sincs szabályozva és elfogadott munkahelyi szabályozás sincs erre vonatkozólag.

írd le hogy t1tk0S, hogy mik vannak sub, nálunk eddig csak admin/root jelszavakat/kulcsokat kellet leadni, és betették a páncélba:)

A rendszergazda jelszavak lezárt borítékban páncélszekrénybe helyezve - az teljesen rendben van, jogos elvárás a cég részéről (szerintem).

Azok igen, de felhasználók jelszavait felesleges, is.
Megint más azon mesterkulcsok tárolása, amik nélkül megbénulhat a munka, ha valamihez nyúlni kell, és más a mezei pistajóska jelszava.

Nemtom miert kell neki. - mert ugye anelkul is hozzafer
Nemtom miert jo neki papiron, boritekban, az - esetlegesen regebbi - jelszo, gondolom amugy is x idonkent kotelezo cserelni.
Ugyanakkor azt sem tudom, hogy miert ne adna meg? A munkaltato gepe, az adatokhoz amugy is hozzafer, es innentol kezdve ha barmi tortenik, o is mondhatja, hogy tudjatok a jelszavamat, nem en voltam..

--
Any A.I. smart enough to pass a Turing test is smart enough to know to fail it. -Ian McDonald

Én nem adnám le és eszkalálnám a főnökének: nem mindegy, hogy kinek a neve szerepel az audit log-ban.
--
https://naszta.hu

GDPR -re hivatkozva szerintem pont hogy nem lehetne ilyen adatot kérni.. :) De fixme.

A borítékos jelszó, stb, olyannal már találkoztam, bár az nem IT jelszó volt, hanem adott esetben egy riasztó rendszer kódja, amit bizony borítékba lezárva tárolt adott esetben a "portaszolgálat". Nyilván ez azért kellett, hogy ha bármi gáz van akkor bejusson az adott ügyeletes hajnal 2kor és megnézze mi a franc van.

De ez ugye nem összehasonlítható a dolgozó jelszavával. Munkaszerződésben esetleg kötelezhet ilyesmire, nem tudom ez ütközik-e bármilyen jogszabályba.

De amúgy egy ilyen kérés szerintem is nettó fszság, ha csak nem az van hogy soha nem változtatnak jelszót a userek.
Bár még akkor is baromság, mert ugye az IT* "főosztály" akkor is hozzáfér mindenhez amit adott munkavállaló csinál ha megvan a jelszó, ha nincs.

Feltételezem azt, hogy a "főnökségnek" aki ezt előírná, köze nincs a cég működéséhez .... azon túl hogy felveszi a pénzt / osztalékot / bármiegyebet

Adatkezelesnel kell egy legitim cel, es utana ehhez a celhoz kototten kell kezelni az adatokat. Elobbi lehet jogszabalyi eloiras (pl. mindenfele szolgaltatok), vagy gazdasagi erdek. Ez nehezen indokolhato, szoval ketseges, hogy lenne jogalapja.
A celhoz kotottseg meg azt zarja ki, hogy "csak ugy" adatot gyujts, arra, hogy kesobb talan hasznalod. A rendszergazda jogosultsag miatt ennek sincs ertelme.

Ugyanakkor nem latom hatranyat, ha egyedi, randomgeneralt jelszorol van szo.

--
Any A.I. smart enough to pass a Turing test is smart enough to know to fail it. -Ian McDonald

Adj borítékot, és ennyit írj bele: U+1F595 (nem tudom ideírni, kivágja a HUP)

Amúgy meg mutasson egy törvényt, ami szerint ezt kérheti. A GDPR-ben nem fog ilyet találni.

Rejtett subscribe...

Esetleg vesd fel, hogy egy kis kriptóval megfűszerezve már nem annyira veszélyes: néhány dolgozó között (mondjuk 5) szétosztotok egy pl. (6, 4) threshold (https://en.wikipedia.org/wiki/Shamir%27s_Secret_Sharing) séma szerint elosztott PGP/RSA/akármi privát kulcsot, főnök kap kettőt, a négy dolgozó 1-et 1-et, a kulcs publikus részét szétkülditek a kollégák között, mindenki azzal kódolja a jelszavát és a cyphertextet nyomtatjátok/gyűjtitek össze. Így meg van nála a jelszó, de egyedül nem tud vele visszaélni, legalább 2 munkatársat meg kell győznie a jelszó-betekintés jogosságáról. Viszont ha _bármi_ miatt tényleg _szükség_ lenne a jelszavakra (bár ahogy fentebb írták, akkor már rég rossz), 4-ből kettő embert csak elő tud már keríteni.

Ha erre elkezd kifogásokat keresni vagy azonnal közli, hogy ő jelöli ki a 4 embert (vagy legalább 2-t), akkor gáz van. Ha elfogadja, akkor esélyes, hogy nem akar visszaélni vele.

BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)

Ezt szerinted meg fogja érteni a főnöke, ha azt sem érti meg, hogy a rendszergazda mindenki jelszavát 1 (na jó, kávéhörpintéssel 10) mp alatt meg tudja változtatni?

Amúgy meg szvsz, eleve rossz az a rendszer, ahol bármi függhet egy mezei felhasználó jelszavától. Aki meg rosszindulatú, az lekódolja a doc fájljait valami spéci kóddal úgy is :)

Kevésbé a tényleges kivitelezésen van a hangsúly, inkább azon, hogy van-e problémája az elosztott jogosultsággal. (lusta vagyok most olyan minimális jelszó hosszt, trusted party számot és karakter range-ket keresni, de biztos megoldható simán papír alapon N darab széffel is, hogy legalább 3 ember kelljen a teljes jelszó helyreállításához, ha mindenki csak bizonyos karaktereit ismeri... persze nem tökéletes, mert így a trusted party-k ismerik a jelszavak bizonyos részeit, tehát nagyon rontották a jelszó biztonságát...)

Lekódolás ellen meg egy jó back-up rendszer és egy időnként futtatott "van-e eltérés a kiterjesztés és a fájl mime típusa között" script elég jól véd :) Ha már ennyire nem bízunk a munkatársakban...

BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)

hmm, ez a mime ellenorzes jo otlet!

elkepzeltem ahogy Mancika a titkarno lekodolja RSA kulccsal a jelszavat (ami amugy is ra van irva egy postittel a monitorara)

A'rpi

Írd fel a borítékba, hogy ******* vagy a jelszavad bcrypt-elt változatát:)

Utóbbi esetben célszerű úgy "randomizálni", hogy a salt értéke "l0faSz" vagy hasonló legyen :D

Kicsit túllihegjük a dolgot. Nyilvány hülyeség a userek jelszavát elkérni és borítékban őrizni. A rendszergazda jelszónak inkább van értelme.
Én úgy oldanmám meg, hogy bika erős ragasztóval leragasztanám a borítékot és ráírnám, hogy felbontás esetén a rendszerel kapcsolatos minden felelőségem megszűnik. Ha a főnök is aláírja nincs kifogásom ellene, hiszen az is egy életszerű dolog, hogy engem elüt a villamos.

igen ezt igy szokas. ala kell irni (en le is pecsetelem), hogy ha atrakjak masik boritekba az is kideruljon.

A borítékot kell aláírni ott ahol le van zárva.

passwd: faszafonok
talaja ki van e benne szokoz

OpenBSD 6.3/i386 theo for the prezident:D

lol