Pregunta:
¿Cómo puedo protegerme de acusaciones falsas cuando nuestra empresa practica la custodia de contraseñas?
malloc
2016-01-31 23:28:07 UTC
view on stackexchange narkive permalink

Durante una pasantía para una pequeña empresa, mi jefe me creó una cuenta, así que generé una contraseña y la usé. Al día siguiente, mi jefe me dijo que escribiera la contraseña de mi cuenta en un papel, la pusiera en una carta y que firmara el sobre. Luego tomó la carta y me dijo que si necesita acceder a mi cuenta y no puedo localizarme, está autorizado a abrir el sobre y leer la contraseña para usarla.

También me dijo que esta es una práctica común en todas las empresas . No sé si todas las empresas hacen esto (no lo creo) pero, para mí, no es legal.

Digamos que mi jefe es una mala persona ( no es ) y quiere incriminarme por algo que hizo. Solo tiene que abrir la carta y leer mi contraseña (digamos que no estoy disponible) y hacer su nefasta actividad con mi cuenta.

Ahora digamos que no puedo probar mi inocencia . ¿Cómo puedo evitar todo esto? Pensé en escribir una contraseña incorrecta, pero si realmente necesita mi cuenta y no puedo localizarme, lo pondré en una mala situación.

Entonces, ¿hay alguna forma de protegerme (sin negarme a escribir la contraseña)?

¿Quizás esta pregunta pertenece a la ley.SE o al lugar de trabajo.SE?
http://www.nostalgicimpressions.com/Wax_Seals_Stamps_s/2.htm
Para su información, esta ** no ** es una práctica común
'... práctica común ...' ¿Eh ?? Por cierto, al menos firme a lo largo del sello. Pero en serio ... ¿Eh ??
Yo diría que definitivamente obtenga un recibo o algo por el sobre ... pero puede que sea demasiado tarde ya que puede ser muy incómodo preguntarle sin decirle implícitamente que no confía en él. Otra posibilidad es enviarle a alguien (si no tienes a nadie, a ti mismo) un correo electrónico o algo con la fecha / hora exacta en que le entregaste el sobre y los detalles de lo que hiciste ... al menos más adelante si se trata de teniendo que probar su caso, puede presentar un caso (pequeño) de que no está haciendo la historia sobre el sobre en el acto.
Además, está la pregunta de por qué su jefe debería tener que acceder a su cuenta en primer lugar. Eso es equivalente a decir que él necesita poder hacerse pasar por ti, lo cual no tiene sentido. Si necesita leer sus archivos, puede usar una cuenta de administrador para leerlos; él no necesita hacerse pasar por usted para hacer eso, a menos que los archivos estén encriptados con su contraseña, lo cual sospecho que no (no tendría sentido dado el contexto).
¿Porque pasar por todo este problema? Puede conseguir que el administrador le deje entrar en cualquier momento.
Sea o no aconsejable, ciertamente no es ilegal.
@Casey eso no es necesariamente cierto: la entrada a un sistema informático con falsos pretextos puede ser un delito grave en varias jurisdicciones, incluido Estados Unidos.
@corsiKa Tal vez abusar de la contraseña sea ilegal. Exigir que se lo des no lo es.
Definitivamente, hable con su CTO o con el funcionario de seguridad / TI relevante en su organización para asegurarse de que esta sea la política de la empresa. Es posible / plausible que su jefe esté haciendo esto porque otro gerente le dijo que era una buena idea. He trabajado en lugares donde dar su contraseña a alguien más era una ofensa muy seria y, sin embargo, las personas que manejaban oficinas enteras practicaban compartir contraseñas con sus subordinados.
He trabajado en sistemas en los que se permitía exactamente un administrador (técnicamente, había una alternativa: ningún procesamiento electrónico de datos). Seguimos exactamente este proceso. La persona que tenía las contraseñas en custodia (en una caja fuerte, en una caja fuerte) era la única persona en la instalación con la máxima autoridad de seguridad. La alternativa, por supuesto, era que un solo accidente de autobús hiciera que todas estas máquinas fueran imposibles de administrar. Dados los frecuentes requisitos de auditoría del sistema, esto nos habría devuelto rápidamente a la alternativa: sin procesamiento. No es * tan * raro, especialmente en tiendas más pequeñas.
Su jefe es el propietario del sistema en el que tiene su cuenta. Puede hacer lo que quiera con él. Como se ha mencionado, su sobre debería ser completamente innecesario, ya que el administrador del sistema podría obtener acceso a su cuenta cuando lo necesite.
Escriba un error tipográfico en la contraseña de la carta en el sobre sellado. Si no lo usa mal, se dará cuenta bastante tarde. Y luego discúlpate. :) si realmente lo necesita, el administrador tendrá que cambiarlo y eso deja un rastro de auditoría.
El sobre es casi una completa pérdida de tiempo, ya que existen métodos para [abrir y volver a sellar] (http://www.wikihow.com/Open-a-Sealed-Envelope) un sobre. (No siempre es posible, por supuesto, pero ¿cuánto confiaría en que uno sea a prueba de manipulaciones?)
hoja de papel en blanco en el sobre
Tener que firmar un sobre nuevo cada 45-60 días suena como un dolor real
Dudo que esto siquiera exista. OP inventó la historia.
Es tu empresa. Tienen acceso a su cuenta de todos modos. Sobre o no: los usuarios con más privilegios (su administrador de sistemas) siempre pueden acceder a su cuenta
¿Por qué tu jefe haría algo malo con tu cuenta? Haría daño a su empresa y si tuviera rencor contra usted podría despedirlo incluso sin alterar la cuenta.
Catorce respuestas:
Philipp
2016-02-01 00:20:34 UTC
view on stackexchange narkive permalink

Para eso es (o debería ser) el sobre: ​​para usar su contraseña, es necesario romper el sello del sobre que firmó. Cuando crea que se abusó de su contraseña, puede solicitar ver el sobre con su firma y verificar si aún no está abierto.

Todo lo que necesita hacer es que debería su administración Siempre solicite su contraseña, cámbiela y entregue un sobre nuevo. De todos modos, es posible que desee cambiar su contraseña en intervalos regulares: es la mejor práctica común.

Por cierto: en empresas con una gestión de TI adecuada, este método es innecesario, porque los administradores del sistema pueden recibir cualquier información necesaria del usuario cuentas sin tener que conocer las contraseñas del usuario. Si un administrador realmente necesita iniciar sesión en una cuenta de usuario, restablecerá la contraseña (lo que crearía una pista de auditoría verificable). Y normalmente hay más de un administrador del sistema, por lo que las cuentas de administrador tampoco requieren este método.

El último párrafo no es 100% correcto, cf http://superuser.com/questions/767239/encrypted-files-after-resetting-windows-password
@HagenvonEitzen: ¿Qué tan probable estima que no respalden los datos y no tengan el dominio como operador de respaldo y, por lo tanto, propietario de una segunda clave?
Bueno, es posible que aún necesiten claves para las cuentas que no administra la empresa ni su solución de inicio de sesión único, si corresponde, para ser depositadas de esa manera ...
"restablecerían la contraseña" ... o simplemente usarían algo como `sudo` & co.
Una cosa que agregaría es que debe haber conocimiento de la empresa (e idealmente supervisión) de este proceso de contraseña en custodia. Si el jefe puede simplemente responder con "¿Qué quieres decir con un sobre firmado? No hacemos eso aquí". O "Le pedí su contraseña, pero nunca proporcionó el sobre", entonces los otros preparativos no ofrecen mucha protección contra el uso indebido de su cuenta por parte del jefe.
Cambiaría _Es la ** mejor ** práctica común_ por _Es una práctica común_. Si bien muchas organizaciones promueven el cambio de contraseñas con frecuencia, nunca he visto un argumento convincente para hacerlo y muchos argumentos en contra.
@PwdRsch: Entonces, pídale al jefe que le dé un recibo por el sobre de la contraseña.
@HagenvonEitzen EFS tiene el concepto de Agentes de recuperación (es decir, claves de custodia), por lo que el acceso a los archivos sin tener la contraseña original está cubierto si lo ha planeado para este caso.
@CJDennis El único argumento que he visto para el cambio frecuente de contraseña es el siguiente: suponga que los hashes de contraseña fueron robados y no se notaron. Alguien está ejecutando algo de fuerza bruta para obtener la contraseña, pero se espera que eso lleve x cantidad de tiempo (dados los requisitos de complejidad de la contraseña y la estimación del poder de procesamiento esperado del atacante en el momento del cálculo). Por lo tanto, debe cambiar la contraseña con intervalos no superiores a x, de modo que cuando el atacante haya terminado e intente usar la contraseña, ya se habrá cambiado. Editar: sí, debes usar una sal fuerte y la ley de Moore de todos modos.
@Theraot: Otro argumento para el cambio frecuente de contraseña es que el atacante logró obtener el texto sin formato de la contraseña (por ejemplo, keylogger, navegación por el hombro) pero en realidad no lo usó durante algún tiempo para enmascarar el incidente en el que logró la oportunidad de obtener la contraseña. El cambio frecuente limita la ventana de tales ataques al tiempo vulnerable.
Los motivos de las políticas de cambio de contraseña están fuera del tema de esta pregunta.
@Philipp: ¿Qué proveedores de correo electrónico no [permitirán que los usuarios impidan que la evidencia de los correos electrónicos recibidos sean visibles en su cuenta] hasta que haya pasado una cantidad de tiempo suficiente? (Alternativamente, ¿de qué otra manera la "administración de TI adecuada" haría innecesario el procedimiento descrito en el PO "para las cuentas no administradas por la empresa ni por su solución de inicio de sesión único, si corresponde"?)
+100 si es posible para `Por cierto: En empresas con una gestión de TI adecuada ...`
-1 por dar a entender que de alguna manera es difícil extraer información de un sobre sellado. Puede usar una linterna, o romper el sobre y ponerlo en un sobre nuevo, o posiblemente usar una aguja fina para sacar la contraseña de la esquina del sobre, o posiblemente podría reclamar que el sobre se perdió. No ha ofrecido exactamente asesoramiento legal sobre si algo de esto es viable.
* "Para usar su contraseña, es necesario romper el sello del sobre que firmó." * - es decir, simplemente, falso. Si el sobre no tiene una impresión que confunda en el interior, se puede utilizar luz fuerte, algunos líquidos orgánicos o técnicas similares. Si es así, el pegamento se puede disolver sin dañar realmente el papel y el sobre se puede volver a pegar. Decenas de formas, estoy seguro, incluso si solo conozco cuatro o cinco.
Abrir sobres (sellados o no) es bastante fácil. Simplemente no vale la pena el esfuerzo a veces
Nick Gammon
2016-02-01 12:11:55 UTC
view on stackexchange narkive permalink

No creo que se encuentre en una situación particularmente peor que no revelar su contraseña. Su jefe podría:

  • Hacer que el administrador del sistema haga una copia de su contraseña actual (hash)
  • Cambiarla por algo nuevo
  • Hacer algo maldad en su nombre
  • Vuelva a poner la contraseña anterior (reemplace el hash por lo que era)

Lo que hace le protege es que no son, presumiblemente, pistas de auditoría de las cosas que se hacen. Por ejemplo, rastrear correos electrónicos por direcciones IP.

En todo caso, se encuentra en una situación mejor que antes. Ahora puede argumentar de manera plausible, si se hace algo malo en su nombre: "Pero mi jefe insistió en tener mi contraseña, tal vez él lo hizo".

Si las pistas de auditoría se pueden usar para demostrar la inocencia de su jefe en este tipo de situación, también se puede utilizar para probar la suya. Y si no existen pistas de auditoría, habrá dudas sobre quién lo hizo realmente, sea lo que sea.

Keeta - reinstate Monica
2016-02-01 19:57:41 UTC
view on stackexchange narkive permalink

Cambie su contraseña inmediatamente después de entregarle el sobre.

Ha cumplido con su requisito de entregarle un sobre con su contraseña, y ha cumplido con la necesidad de mantenerlo seguro. En el improbable caso de que intente usar la contraseña del sobre, puede explicarle que necesitaba cambiarla y que aún no había recibido el nuevo sobre.

En ningún caso confiaría en nadie con una contraseña de mía, incluso en un sobre cerrado. Un sobre es demasiado fácil de romper, incluso sin romper el sello. Incluso usando "sobres de seguridad", colocando una luz brillante (súper linterna, proyector de oficina, faro de automóvil) en la parte trasera hará que el contenido se pueda ver a través de él. Teniendo en cuenta que la información que se obtendrá probablemente sea una palabra grande impresa, no es segura. Nunca he trabajado para una empresa que me haya pedido que les dé una contraseña en un sobre.

Esto es un abuso de confianza. Si bien la empresa de OP no parece tener una infraestructura de TI administrada correctamente, eso no significa que deba hacer todo lo posible para arruinar a su empleador que espera esta información. Además, siempre debes asumir que tu empleador tiene acceso a todo lo que haces en línea. Simplemente no use la misma contraseña en el trabajo que usa en otros lugares ... problema resuelto.
En la práctica, no estoy seguro de que nada de esto importe. Es una contraseña para una cuenta de usuario propiedad de la empresa en un equipo propiedad de la empresa. Como han dicho otros, no estoy seguro de qué le da a la empresa tener una contraseña para una cuenta de este tipo que aún no tienen.
@MarkBuffalo Mi confianza en él ya se rompió cuando hizo la declaración falsa "esta es una práctica común en todas las empresas".
@Keeta Buen punto. * Nunca * he visto esto usado antes. El empleador podría registrar fácilmente el teclado de su empleado y ni siquiera pedirle el sobre. Sin embargo, su empleador tiene derecho a pedirle tales cosas.
No es raro ver algunas contraseñas compartidas para proveedores externos sin controles de acceso de estilo empresarial. Para eso son exactamente productos como Lastpass for Enterprise.
@MarkBuffalo: Quizás, quizás no. Es posible que el contrato de trabajo y / o el manual del empleado contengan algo sobre no compartir contraseñas con nadie. El de mi último trabajo lo hizo, y no hizo excepciones para las solicitudes de la gerencia.
lo que estás sugiriendo se llama "sociopatía" - el jefe claramente quiere tener acceso a su contraseña en todo momento - tendrá razones para eso y cambiar el pase después de entregarle el anterior garantizará dos cosas al mismo tiempo (si el jefe se entera): 1) la pasantía terminará, no se ofrecerá trabajo. Siempre. 2) ne le gruñó.
"abuso de confianza" LOL. También se podría argumentar que el empleador que solicita la contraseña con falsos pretextos constituye en sí mismo un abuso de confianza. Además, si "siempre debe asumir que su empleador tiene acceso a todo lo que está haciendo en línea", entonces el empleador no debería necesitar solicitar la contraseña.
si la empresa no tiene 1) reglas escritas explícitas contra el cambio de contraseña "cuando crea que puede ser necesario", y 2) reglas escritas explícitas que indiquen algo como "cada vez que cambie su contraseña, tendrá que dar la contraseña a su manager "entonces no debería haber ningún problema legal para cambiar la contraseña.
En mi humilde opinión, el único enfoque razonable y 100% honesto es renunciar a la empresa, en lugar de jugarle una mala pasada al empleador.
Booga Roo
2016-02-02 01:10:52 UTC
view on stackexchange narkive permalink

La custodia de la contraseña como se describe en su situación es muy inusual y está cargada de riesgos. La configuración que describe se basa en confiar en que su jefe no solo sea honesto con sus intenciones y motivaciones, sino que también asume que su jefe está almacenando esas contraseñas de manera segura. ¿Se guardan los sobres en una caja fuerte? ¿Un archivador cerrado con llave? ¿El cajón de su escritorio? ¿Una carpeta en su escritorio?

La situación ideal:

Depósito de garantía: un sistema en el que un tercero desinteresado mantiene dinero / información / propiedad en fideicomiso con la condición de que determinados requisitos se cumplen antes de transferir dichas existencias a las partes receptoras.

En su escenario, la persona que posee la contraseña no es un tercero desinteresado. Esto no es perfecto, pero la administración confía en ellos para que sean honestos y seguros en el manejo de las contraseñas.

Las alternativas en otras respuestas son buenas sugerencias. Una alternativa adicional al escenario actual sería dividir la contraseña en varias partes. Por ejemplo, la mitad de la contraseña dada a su gerente y la otra mitad dada al gerente de su gerente (o Recursos Humanos, o jefe de departamento, o CEO, lo que tenga más sentido). Cómo dividir la contraseña y cuántas personas tienen acceso a qué partes de la contraseña variarán según la estructura de gestión de la empresa.

Del mismo modo que están tratando de mitigar el riesgo mediante la custodia de la contraseña en primer lugar , deben evitar tener un solo punto de falla en el proceso. Evitar conflictos de intereses y exigir la participación de varias partes contribuiría en gran medida a que el depósito de contraseñas sea más seguro. Todavía no es una buena práctica de gestión, pero no tiene por qué ser tan inseguro y arriesgado como simplemente entregar la contraseña al jefe en un sobre simple. Incluso algo tan simple y barato como agregar cinta de seguridad resistente a la manipulación mejoraría el escenario actual.

Mark Buffalo
2016-02-01 20:17:51 UTC
view on stackexchange narkive permalink

Philipp tiene razón aquí. Permítanme repetir algo que dijo:

Para usar su contraseña, es necesario romper el sello del sobre que firmó. Cuando crea que se abusó de su contraseña, puede pedir ver el sobre con su firma y verificar si aún no está abierto.

Para agregar a lo que está diciendo, su empresa parece haber prácticas de gestión de TI incorrectas. Lo que debe hacer en este punto es asegurarse de que su contraseña no sea la misma que usa en otros lugares.

Siempre asuma que su empleador tiene acceso a lo que sea que esté haciendo en línea. Incluso si no lo hacen. No inicie sesión en sus cuentas de redes sociales en el trabajo. No inicie sesión en sus cuentas bancarias. Use su computadora de trabajo para tareas relacionadas con el trabajo. Si tienes un teléfono celular, es aún más fácil.

Su empleador debe poder hacer lo que quiera, dentro de los límites de la ley, en su computadora de trabajo. No debe tener ninguna expectativa de privacidad.

Firmarlo no es infalible. ¿Qué pasa si el jefe lo abre al vapor y luego lo vuelve a sellar? ¿Qué pasa si toma una foto de alta resolución de la firma y practica cómo falsificarla él mismo cientos de veces hasta que pueda hacerlo perfectamente?
@ButtleButkus Entonces * podría * tener un problema con la sombrerera de papel de aluminio. No descarto sus preocupaciones, pero debe priorizar los riesgos.
mi punto es que este sistema de seguridad no es en absoluto infalible. Si el OP tiene una preocupación real por ser acusado de malversación, entonces el truco del sobre sellado definitivamente no debería calmar sus temores.
* Nada * es infalible. ;-) Solo puedes gestionar riesgos.
Ciertamente, pero usar métodos de seguridad por oscuridad del siglo XIX en el año 2016 es bastante divertido.
De hecho, es divertido. Sin embargo, ¿cuál es la posibilidad de que su jefe "perfeccione" su escritura y la falsifique? Es muy bajo y hay muchas señales reveladoras que lo delatan todo. :segundo
Trust None
2016-02-02 10:33:59 UTC
view on stackexchange narkive permalink

Esto debería ser completamente innecesario en un sistema configurado correctamente, suponiendo que inicie sesión en un dominio corporativo. En un sistema configurado correctamente, al iniciar sesión en un dominio corporativo, cualquier dato que edite, cree o al que tenga acceso en la red o en su sistema local, se almacenará en una ubicación accesible para otras personas que tengan sus propias credenciales de inicio de sesión que tener los permisos necesarios para acceder a esos datos. Al usar sus propias credenciales de inicio de sesión, no solo tienen acceso a los datos de la red, sino también a los datos locales y los registros de auditoría mostrarán quién hizo qué y cuándo. Estar OBLIGADO a dar su nombre de usuario y contraseña a CUALQUIER PERSONA no solo es una mala práctica, sino que es altamente irregular, arriesgado y / o indicativo de una administración incompetente del sistema / red.

Si estuviera en su lugar, le preguntaría a sus superiores sobre esa política, cambiaría mi contraseña y me negaría. Si su trabajo está amenazado, entonces llamaría a su farol y me prepararía para presentar una demanda por despido injustificado si lo despiden. Yo personalmente, nunca revelaría esa información ni confiaría en un sobre sellado como medida de seguridad para mantener a las personas honestas (los sobres sellados se pueden abrir y volver a sellar, si sabe cómo, o un sobre nuevo sellado con una firma falsificada). Los jefes aparentemente más amables podrían simplemente estar actuando hasta que se vuelvan contra ti y te inculpen por algo. Presencié algo similar, excepto que en lugar de un sobre sellado que contenía una contraseña, era un disco que contenía una copia de seguridad de las claves de cifrado. Las consecuencias no fueron agradables y el gerente fue despedido después de que le robaron los discos y los datos. Como era de esperar, el gerente despedido nunca consiguió otro trabajo, nunca tuvo problemas de dinero y un competidor llegó primero al mercado con el mismo proyecto en el que habíamos estado trabajando. Antes del robo, nuestro competidor ni siquiera tenía un producto similar. Tenga cuidado y piense en mi consejo. Eso me suena muy sospechoso y muy a menudo en estos tiempos, las personas más amables y agradables resultan ser las serpientes más venenosas.

Matthias Š
2016-02-02 16:43:25 UTC
view on stackexchange narkive permalink

Desafortunadamente, esto es común en pequeñas empresas que usan servicios en la nube, sin tener una relación comercial con el proveedor de la nube.

Marque el sobre para que sea un poco más a prueba de manipulaciones, eso es todo. Una antigua empresa mía todavía usa mi dirección de correo electrónico personal en su dominio, y nunca logró cambiar su registro de dominio después de que me fui.

Cambie la contraseña con frecuencia y entregue sobres nuevos cada vez. También tendrían que producir todos los sobres viejos, para poder probar que no han abierto uno. Dado que la mayoría de los servicios en línea no proporcionarán una pista de auditoría. Para que siempre puedas mantenerte erguido e inocente.

tne
2016-02-03 16:44:31 UTC
view on stackexchange narkive permalink

Llamémoslo como es: una solución para la falta de un control de acceso adecuado. La verdadera solución es arreglar / mejorar el control de acceso.

Específicamente, aquí: ¿Por qué su jefe no puede acceder a las cosas a las que puede acceder con su propia cuenta?

El único propósito de credenciales es para autenticar una identidad. Si rompemos eso, se vuelven inútiles. También podría eliminar el concepto de "cuenta" y usar secretos compartidos para todo.

Entonces, como alternativa a negarse rotundamente, intentar convencerlo de que aborde el problema raíz (que probablemente apareció debido a una malentendido) podría valer la pena. Si se argumenta correctamente, esto no debería crear fricciones: el resultado final es un sistema más seguro para todos.

gilhad
2016-02-03 22:26:11 UTC
view on stackexchange narkive permalink

Nunca me he tenido en ninguna empresa en la que estuve.

En tal caso, pondría en el sobre un mensaje que dijera "En caso de emergencia, llámame al móvil número de móvil ".

En caso de emergencia, puedo deletrear la contraseña por teléfono y ser informado de que se ha utilizado, y mi jefe puede hacer lo que sea necesario. Así que es todo lo que necesita.

Si el sobre es mal utilizado / robado / escaneado / roto, nadie se hará pasar por mí.

¿Y si la emergencia es la muerte? Entonces, ¿cómo respondes a la llamada?
Luego, la contraseña se encontraría en un sobre con el nombre de mi jefe / empresa en la caja con otros documentos como certificado de matrimonio, préstamo de casa y demás (como no quiero olvidarlo, necesito tenerlo escrito en algún lugar ). (las facturas habituales de gas, electricidad, etc. están en otra caja) - la muerte es un caso tan especial, que tener que pedirle a mi esposa que abra el sobre no está lejos
james turner
2016-02-04 03:08:17 UTC
view on stackexchange narkive permalink

La mera existencia del sobre te protege de cualquier acto nefasto de tu jefe. En general, no es necesario que demuestre su inocencia. Alguien más necesita demostrar tu culpabilidad. Y eso será bastante difícil si es bien sabido que alguien más tiene acceso a la cuenta incriminatoria. Si está realmente preocupado por eso, simplemente firme el sobre mal. Luego, si su jefe logra leer la contraseña a través del sobre para hacer algo nefasto, puede refutar la validez del sobre en sí.

Notas al margen:

  1. Esto no es una práctica común en ninguna gran empresa, pero puedo ver cómo tendría sentido para alguien que intenta dirigir una pequeña empresa. De hecho, he oído hablar de varias empresas pequeñas que tuvieron problemas cuando un recurso clave abandonó sin revelar las contraseñas de varios programas de software.
  2. Si alguna vez desea cometer un delito con su cuenta, asegúrese de otras personas tienen acceso primero a su contraseña.
Alexey Vesnin
2016-02-04 05:05:35 UTC
view on stackexchange narkive permalink

Es una gran mentira : nadie necesita su pase para acceder a su cuenta, hay una cuenta administrativa para cumplir este propósito. Aún más, no es una práctica común, excepto para los tramposos que desean culparte y reducir / eliminar tu nómina . No se requiere ni su pase ni su (s) certificado (s) para que un administrador eche un vistazo a su cuenta completa.

Buttle Butkus
2016-02-02 15:44:52 UTC
view on stackexchange narkive permalink

Si le preocupa que su jefe abra el sobre, use su contraseña para hechos nefastos, y luego vuelva a sellar su contraseña en un sobre nuevo y falsifique su firma, simplemente salpique un poco de pintura, al estilo Jackson Pollock, en el sobre después de firmar directamente en el área pegada, y luego tomar algunas fotos de muy alta resolución del sobre para identificar fácilmente cualquier intento de falsificación de Pollock. Solo asegúrese de proteger también la contraseña de cualquier luz visible, infrarroja, rayos X, rayos gamma o cualquier otra forma de radiación furtiva que pueda permitirle a su jefe leer su contraseña sin abrir el sobre, colocando su contraseña en un cable grueso. caso antes de ponerlo en el sobre.

Por supuesto, también tendrá que preocuparse de que haya una cámara que lo grabe cuando escribió la contraseña en primer lugar. En ese caso, asegúrese de haber hecho todo eso en casa y que él nunca haya tenido acceso a su casa.

Creo que eso lo cubre.

EDITAR:

Excepto, por supuesto, si su jefe abre el sobre, realiza las acciones nefastas y luego inicia un incendio severo en una tostadora en la sala de refrigerios de la habitación contigua el mismo día en que las cámaras de seguridad están siendo reparadas y están desconectadas, por lo tanto quemando todos los sobres de contraseñas y absolviéndose de cualquier sospecha. Así que le sugiero que rocíe toda la habitación y las habitaciones vecinas con una espuma retardante de llama. Eso debería resolver tu problema.

Night Monkey
2016-02-04 05:10:50 UTC
view on stackexchange narkive permalink

De hecho, esto depende de las leyes del país o del estado en el que vive. Se trata más de una cuestión de derecho laboral que de una cuestión de seguridad cibernética.

La razón por la que se trata de una cuestión de derecho laboral es que depende del tamaño de la organización, los datos y el sistema en cuestión, el contrato de trabajo general y las políticas de la empresa.

Las empresas pueden incluirlo en los contratos de trabajo y lo hacen. Generalmente, su manual del empleado explicará qué datos o sistemas de información les pertenecen, o tendrá cláusulas en su política general de la empresa que describan qué sistemas de información les pertenecen. Si son propietarios del sistema en cuestión, dependiendo de para qué se esté utilizando el sistema, no solo tienen derecho a su contraseña, sino que están legalmente autorizados a hacer lo que quieran con su contraseña, los datos relacionados con el sistema y cualquier cosa en entre todos de acuerdo con las leyes federales, estatales y locales dentro de su jurisdicción.

Esta es la razón por la que las empresas pueden imponer el uso de proxies para registrar información. Sin embargo, si el sistema en cuestión no es propiedad de su organización y usted está usando su red, entonces se convierte en un área gris debido a las leyes de privacidad.

La única forma de prevenir esto es la siguiente :

1) En resumen, usted como empleado, no puede evitar esto, si es dueño de la información / datos y el sistema al que tiene acceso.

2) Lea su manual del empleado, su contrato de trabajo y pregunte específicamente qué información y datos pertenecen específicamente a la empresa. Esto incluye todo, desde sus ideas, su acuerdo de cesión de invención y cualquier información personal que considere privada.

3) Separe el uso personal del uso corporativo. Si la empresa le proporciona una computadora portátil o un sistema de información para que lo use, no lo use para uso personal. Esta es el área que se vuelve gris. Por ejemplo, si publicó secretos corporativos en Facebook, ya sea en su computadora personal o en la de ellos, pueden seguir siendo propietarios de los datos.

La seguridad de la información es algo más que temas relacionados con la informática. Creo que la pregunta cumple con los cuatro puntos enumerados en el centro de ayuda para la sección [¿Qué antecedentes debo dar en mi pregunta?] (Http://security.stackexchange.com/help/on-topic) de lo que se trata.
Petah
2016-02-04 06:55:39 UTC
view on stackexchange narkive permalink

Yo diría que esto es típico y se usa con bastante frecuencia en la industria. Sin embargo, no exactamente de la misma manera.

Muchas empresas utilizan administradores de contraseñas donde pueden acceder a las contraseñas de los empleados y las contraseñas se pueden compartir entre los empleados. Esto es principalmente para iniciar sesión en servicios de terceros que no admiten cuentas de usuario individuales.

Sin embargo, esto solo sería específicamente para inicios de sesión relacionados con la empresa. Ningún inicio de sesión personal debería tener esto.



ⓘ
Esta pregunta y respuesta fue traducida automáticamente del idioma inglés.El contenido original está disponible en stackexchange, a quien agradecemos la licencia cc by-sa 3.0 bajo la que se distribuye.
Loading...