Mag ik ons netwerk opschonen van illegale zaken?

delete.pngEen lezer vroeg me:

Ik ben systeembeheerder bij een school. Wij geven iedereen een netwerkaccount zodat ze bestanden kunnen opslaan en kunnen mailen. Nu weet ik dat leerlingen (maar ook docenten) regelmatig illegale zaken opslaan op hun account (plaatjes, filmpjes, muziek, keyloggers, hacktools, niet school gerelateerd materiaal, etcetera). Vorige week heb ik een grote schoonmaak gehouden en alle niet-schoolgerelateerde zaken verwijderd. Maar nu is een aantal gebruikers behoorlijk boos en zeggen ze dat dit niet mag! Ik kan toch als beheerder niet tolereren dat er illegale zaken op onze servers staan?

Ik zou dit niet op deze manier aanpakken. Inderdaad, als je weet hebt van illegale zaken dan mag (moet?) je ingrijpen. Maar dat is niet hetzelfde als “het zijn scholieren, die hebben dús bergen illegale meuk, ik ga alle mappen langs en alles weggooien dat ik zie”.

Dit gaat niet goed vallen bij systeembeheerders, maar zo’n netwerkaccount met eigen opslag is een privéruimte net als de locker bij de ingang of de bureaulades op kantoor. Daar mag je als BOFH dus niet zomaar in gaan snuffelen.

Er zijn een aantal voorwaarden waaraan voldaan moet zijn. Allereerst moet er een expliciet geaccordeerd IT-reglement zijn waarin aangegeven staat wat men mag met het account en vooral wat niet. En daarbij geldt dat “alleen schoolgerelateerde zaken” te kort door de bocht is: er moet enige ruimte voor privégebruik zijn. (Klachten dat dit onzin is, mag u bij het Europese Hof voor de Mensenrechten kwijt.)

Verder mag monitoren in principe alleen op anonieme basis, en moet dit gericht zijn op werkgeversbelangen als overlast, schade of storingen. Als ik 20MB aan MP3’tjes in mijn account heb, heeft niemand daar last van. Daar moet het beheer afblijven. Wordt het 20GB, dan lopen er schijven vol en dat kan wellicht een onderzoekje rechtvaardigen. Of als je heel veel inlogs op mijn account ziet vanaf IP’s over de hele wereld. Dat is een aanwijzing dat ik aan filesharing doe (of dat mijn account gecompromitteerd is) en dan mag je ingrijpen.

Persoonsgericht monitoren (wat spookt die Engelfriet uit op ons systeem) mag alleen bij concrete aanwijzingen dat die persoon iets fout doet, en het hoe en wat wordt dan gedocumenteerd in het IT-reglement. Bijvoorbeeld: als uit het maandelijks dataverkeer-rapport blijkt dat er zeer overmatig wordt gedownload, dan mogen we gaan kijken wie daarvoor verantwoordelijk is en die persoon daarop aanspreken. Wel zou ik dan een waarschuwing verwachten naar alle medewerkers toe.

Bij personen die bestuurslid zijn van de vakbond of medezeggenschapsraad (of de bedrijfsarts) mag het beheer helemaal niet in hun privémappen kijken tenzij met hun toestemming of in zéér uitzonderlijke situaties.

Arnoud

66 reacties

  1. Auteursrechtelijk gezien is dat legaal, mits je ze maar alleen voor jezelf opslaat. Dat valt onder de uitzondering van de thuiskopie (“voor strikt eigen gebruik”, art. 16b/16c Auteurswet).

    Maar het punt: zelfs al stáát er illegaal materiaal, dan nog mag jij niet zonder redelijk vermoeden daarvan gaan snuffelen, laat staan weggooien. Ik kan harddrugs in mijn (afgesloten) bureaula hebben liggen. Toch mag jij niet zomaar mijn la openbreken om te kijken of dat zo is.

  2. Ik vermoedde het ook zo maar het is fijn om dat bevestigd te zien. Verder staat je punt duidelijk 🙂

    terzijde: door bij mijn comment 1 vinkje aan te zetten ben ik nu verzekerd van de hele dag mail, zonder dat daar een verificatie van mijn adres aan vooraf is gegaan. Is dat de bedoeling? 😉

  3. Je vergelijking met de kluisjes gaat mank. Op de meeste scholen hebben ze daar ook geregeld controles op drugs en wapens waarbij de kluisjes open gaan.

    Maar ik had graag dit artikel een jaar of 15 eerder gelezen, dan had ik geen gezeur gehad over de bestanden op mijn netwerkschijf… en ook geen meters schoolplein hoeven te vegen…

  4. Mja, lijkt me een gevalletje waar de wet de realiteit ontmoet. Als scholier had je niet veel te zeggen, of je wetten nu kent of niet, als je het er niet mee eens bent kunt je het plein gaan vegen.

  5. Wat een prutser als “systeembeheerder”.

    Je zorgt voor centrale opslag dmv. een server en geeft iedereen een map (20-40GB(). Lokaal sla je niets op. Wekelijks/maandelijks schoon je de client op dmv een image zodat eventuele ongewenste bestanden automatisch verdwijnen.

    Dit wordt uiteraard medegedeeld aan het begin van elk schooljaar/cursus.

    edit had niet gezien dat het reeds zo gebeurd. Het verwijderen van de centrale opslag mag uiteraard niet op deze manier. Zo lang deze geen schade berokkend aan het systeem, slaat een cursist er op wat hij wenst.

  6. @Multi: Hoezo prutser? Dit is precies hoe het gegaan is. Het gaat om de bestanden in die netwerkmap. Dáár is in opgeschoond zonder reglement en zonder vooraankondiging.

    @Mark: Ja, en scholen die zulke controle hebben, moeten die mogelijkheid vooraf melden in een reglement. Een conrector die zomaar tassen of lockers opentrekt, is echt fout bezig.

  7. Eerst en vooral vraag ik mij af hoe je als systeembeheerder kunt bepalen of content op het systeem legaal of illegaal is. Zo kunnen de MP3 bestanden legaal gekocht zijn als download, of zelf geproduceerd als onderdeel van een studieproject, of gewoon gratis beschikbaar gesteld door de auteurs! Je kunt niet aannemen dat een bestand illegaal is omdat het een MP3 bestand is. Daarna vraag ik mij af in hoeverre je mag rondsnuffelen in prive-bestanden. Veel scholieren hebben een mobieltje met digitale camera en gebruiken die om foto’s mee te maken. Sommige van die foto’s kunnen enorm prive van aard zijn en omdat de scholier beneden de 18 is, dus illegaal van aard zijn! In principe zwaar strafbaar materiaal dus. Maar betekent dat je als systeembeheerder alle foto’s van de scholieren mag nakijken of er dit soort foto’s tussen zitten? Of heeft de privacy een hoger belang? Het laatste lijkt mij… Maar wat je natuurlijk wel kunt doen als systeembeheerder is het instellen van algemene voorwaarden voor de scholieren waar ze zich aan moeten houden en die jou het recht geven als systeembeheerder om regelmatig ongewenst materiaal van het systeem te verwijderen. Met daarbij een lijst van zaken die ongewenst zijn. Wil een leerling een ontheffing, dan moet hij of zij deze even aanvragen en een reden opgeven. Bijvoorbeeld omdat hij met een werkstuk bezig is waar bepaald materiaal voor noodzakelijk is. Zoals Arnoud al aangeeft, er moet wel ruimte overblijven voor prive-zaken. Maar hoe die ruimte wordt gegeven is volgens mij niet vastgelegd. Zou je de ruimte voor iedere leraar en scholier niet kunnen onderverdelen in twee subsecties? Eentje voor school-gerelateerd materiaal wat dus gemonitored wordt. En een tweede prive-folder waar alleen op ingegrepen wordt indien er overlast plaats vindt?

  8. Misschien ligt het aan mij, maar ik zou niet eens willen weten wat iedereen opslaat. Gewoon algemeen anoniem monitoren wat er over je netwerk gaat. Maar als je actief alles gaat controleren (als je het voor elkaar krijgt dat legaal te doen) dan krijg je vanzelf leuke rechten organisaties achter je aandie jouw verantwoordelijk gaan stellen. als je niet goed hebt gecontroleerd.

    Lijkt me dat je verdediging sterker is als jij het recht niet hebt om dit zonder aanwijzingen te controleren. In ieder geval zou je zo de schade wat moeten kunnen beperken.

    Of werkt dat niet zo in Nederland?

    @9. Grappig dat je daarover begint. Zo doe ik voor veel familie en vrienden onderhoud aan hun pc’s. Een aantal jaren geleden alweer kreeg ik zo de PC van een minderjarige jongedame aangeboden, die niet meer starte. De hard disk was het aan het begeven en had steeds meer slechte sectoren. Of ik even haar bestanden kon proberen te redden, nieuwe harddisk inbouwen en alles daar op terug zetten.

    De desbetreffende bestanden stonden overal en nergens op de schijf opgeslagen, dus nadat ik een image had getrokken ben ik die doorgegaan (op verzoek dus) om alle data bestanden te redden. Daarbij kwam ik er vrij snel achter dat ze nogal creatief was geweest met de webcam zal ik maar zeggen. Ik vond dat echter niet mijn probleem en heb die bestanden op haar pc terug gezet op dezelfde locatie als waar ik ze aangetroffen had. Ik heb haar de pc teruggegeven en de image die ik had gemaakt en de originele aftakelende schijf gewist aangezien ik dit uiteraard niet in bezit wilde hebben.

    Ik was er natuurlijk niet blij mee, maar is de definitie van kp niet wat restrictief als minderjarigen geeneens foto’s van >zichzelf< in bezit mogen hebben? Je kan dan toch moeilijk van misbruik spreken en de jeugd van tegenwoordig is sowieso op veel vroegere leeftijd actief. Ik zag daar in iedergeval het probleem niet van.

  9. Volgens mij is er een groot verschil tussen email en internet monitoren en netwerk opslag.

    Van opslag op een netwerkshare kun je volgens mij wel degelijk volledig eisen dat deze alleen werk of school gerelateerde data bevatten. Je aangehaalde referentie naar het europees hof gaat ook echt over het monitoren van emailgebruik en internet.

    Het plaatsen van niet werkgerelateerde bestanden op een netwerkshare is trouwens ook een security risico omdat bestanden malware kunnen bevatten. Dat wil je gewoon als bedrijf niet op je netwerk hebben.

  10. Binnen het bedrijf waar ik onlangs werkte (5000 medewerkers) was een duidelijke IT policy (die ook gecommuniceerd werd) dat er geen filmpjes en muziek op de netwerkschijven mocht staan. We hadden namelijk het probleem dat de serverhardware “al” 2 jaar oud was en dus niet opgewassen tegen de opslag van terabytes van MP3’s en divx’en. (Noot: Het eerder genoemde 20-40GB per gebruiker is compleet overdreven, als gebruiker kom je met 500-1000 mb al heeeeeeel goed uit de voeten)

    Wat onze beheerders deden was eens per maand een zoekopdracht loslaten op alle servers op extensies als .MP3, .WAV, .DIVX etc etc en daarna werden die bestanden rucksichlos verwijderd richting prullenbak.

    Omdat de zoekopdracht niet persoonlijk was en er verder niet werd gekeken WIE die data bezat gebeurde het geheel volledig anoniem (geautomatiseerd proces) en werd niemands privacy aangetast. Indien bleek dat bepaalde servers (locatiegebonden) wel heel erg vaak vol liepen, werd dit nader onderzocht in samenspraak met de lokale IT vertegenwoordigers (die daarmee de verantwoording op zich nam) en werd de gebruiker daar persoonlijk op aangesproken.

    Je wil als bedrijf niet dat je servers vol komen te staan met MP3’s, films of software. Opslag kost gewoon (veel) geld en is niet bedoeld voor niet-bedrijfsactiviteiten.

  11. @Elroy, in de USA zijn al diverse jongeren veroordeeld en “gebrandmerkt” als ‘sex-offenders’ omdat ze naaktfoto’s van zichzelf hadden gemaakt en verspreidt op het Internet. Dus in de USA is het strafbaar.

    In hoeverre het in Nederland strafbaar is? Nederland is een stuk toleranter als het gaat om naaktfoto’s. Deze worden namelijk ook beoordeeld op de context waarin de foto is genomen. Een naaktfoto van een minderjarige op een naaktstrand in de prive-collectie van de ouders zal helemaal geen problemen opleveren. Sowieso zijn veel naturisten-foto’s gewoon getolereerd in Nederland en grote delen van Europa omdat nudisme hier een vrij normaal verschijnsel is. Pas wanneer de foto’s richting erotiek gaan komen er restricties…

    Maar als minderjarigen erotische foto’s van zichzelf of andere minderjarigen in bezit hebben kunnen ze ook hier in de problemen komen. Maar zoals ik al zei, er wordt hier beter gekeken naar de context en de strafmaat is hier veel milder dan de USA. Maar indien ze een andere minderjarige filmen op erotische wijze en de filmpjes over het Internet verspreden dan worden ze wel degelijk aangepakt! Zie dit artikel op AD.nl.

  12. @hAl: waarom kun je dat eisen volgens jou? Ik zie het verschil niet tussen “hela je bezoekt een verboden site” en “hela je hebt een verboden bestand”.

    Dat securityrisico is een prima argument om te gaan controleren, maar dat kan ook met een geautomatiseerde virusscanner. Die moet je trouwens sowieso hebben want ook wél werkgerelateerde bestanden kunnen malware bevatten. En als de scanner die detecteert, dan gaat het bestand in quarantaine en krijgt de medewerker een alert: 1) weggooien 2) IT vragen dit te herstellen. Zo wordt de privacy gewaarborgd én is de veiligheid gegarandeerd want zonder IT erbij te halen krijg je iets niet uit de quarantaine.

  13. @hAl, 11: Waar ligt het verschil (waar het gaat om privacy aspecten) tussen “data inspecteren tijdens transport” en “data inspecteren op een harde schijf”?

    Het bepalen wat “schoolgerelateerde bestanden” zijn is lastig… Welke mp3’s horen bij de muziekles? Welke foto’s zijn voor werkstukken en welke niet? Een student kan een documentaire gebruiken als informatiebron voor presentatie…

  14. Security is natuurlijk een goede reden om een malware/virusscanner automatisch alles te laten controleren binnen het netwerk, maar is dit genoeg beveiliging? Maar een virusscanner kan niet alles opvangen wat schadelijk kan zijn! Natuurlijk heeft een school ook een bepaalde verantwoordelijkheid voor de inhoud van hun netwerk-systeem. En het kan natuurlijk erger, want wat als een leraar in zijn prive-folder foto’s heeft van diverse leerlingen in foute poses met een zwaar gebrek aan kleding? Stel dat je dit als systeembeheerder constateert, wat dan? Hoe kan zoiets opvallen? Tja, je kunt als systeembeheerder dus automatisch statistieken laten samenstellen van de inhoud van je netwerk. Dan tel je b.v. hoeveel bestands-soorten erop staan en hoeveel bestanden van iedere soort er worden gebruikt. En eventueel ook hoeveel ruimte die bestanden bij elkaar in beslag nemen. Maar een systeembeheerder zou ook b.v. Picasa op zijn systeem kunnen neerzetten en via Picasa een catalogus bijhouden van alle afbeeldingen op het netwerk. Dan zouden dergelijke foto’s redelijk snel kunnen opvallen, maar er wordt niet specifiek een enkele medewerker in de gaten gehouden. Vraag is: mag je als netwerk-beheerder Picasa installeren om alle afbeeldingen op het netwerk te catagoriseren?

  15. @14 email en internet zijn communicatieuitingen van personen en hebben als zodanig een bepaalde privacy nodig. Zelfs een emailtje tussen twee collega’s is in feite al een privacygevoelig iets. Het kan bijvoorbeeld gaan over het functioneren van ander collega’s of je baas. Het tast je vrijheid aan als mensen je emails kunnen lezen of je internetgedrag kunnen volgen zelfs als dat werkgerelateerde zaken zijn.

    Bij netwerk opslag is dat anders. Er is geen reden om private uitingen op te slaan op een netwerk. Er is al helemaal geen noodzaak om kopieen te maken van eigen bestanden naar een bedrijfsnetwerk. Je wordt niet in je persoonlijke vrijheid of privacy aangetast als je geen bestanden mag kopieren. Je kunt je nog steeds zo uiten als je wilt.

    Bij email en internetgebruik is er dus altijd een privacy component en het lezen of monitoren beperkt je vrijheid om je te uitten zoals je wilt (ook bij werk gerelateerd gebruik). Netwerkopslag is geen uiting maar vastlegging/opslag en dat beperken tast niet je vrijheid aan om je te uitten zoals je wilt maar beperkt alleen de mogelijkheid om zaken op een locatie op te slaan waar ze toch niet thuishoren.

    Dat je een mp3 op je eigen opslagmedium moet houden en geen kopie naar een netwerkopslag mag maken test je privacy niet aan. Dat iemand je email leest tast wel je privacy aan.

  16. @

    Waar ligt het verschil (waar het gaat om privacy aspecten) tussen ???data inspecteren tijdens transport??? en ???data inspecteren op een harde schijf????

    Daar zit weinig verschil in Er zit echter een hoop verschil in het gebruik van email en het gebruik van dataopslag. Email is een communicatie middel tussen personen en persoonlijke uiting van een mens zelfs in een werkomgeving. Als je regelmatig emailt kun je niet vermijden dat je email een uiting is van jou persoonlijkheid en dat binnegekomen mailtjes ook privacygevoelige informatie over jou (en de schrijver van die emails) weggeven.

    Bij normale netwerkopslag is het juist prima te vermijden dat daar private zaken in zitten. Gewoon niet je private uitingen op het netwerk naar het netwerk kopieren/opslaan.

  17. @hAl: je lijkt te zeggen dat alleen bij informatie in transit (een livechat met mijn coach) er een privacyverwachting is, maar bij informatie in opslag niet. Dat lijkt me onhoudbaar. Mijn e-mail wordt ook opgeslagen op de netwerkserver. En mijn dagboek waarin ik mijn functioneren bijhoud (dat ik van mijn coach moet bijhouden) staat ook op de netwerkserver. Dat iemand mijn dagboek leest, tast wel degelijk mijn privacy aan.

    Ik zeg niet dat men per se netwerkruimte móet aanbieden. Ik zeg alleen dat áls er netwerkruimte wordt aangeboden voor opslag van bestanden, daar enig privégebruik van gemaakt kan worden. Net zo goed als ik mijn privéspullen in mijn kast op kantoor mag opbergen.

    Ik ben het met je eens dat voor MP3’s er weinig privacyverwachting nodig is. Daar speelt eerder het argument dat het niet verboden is MP3’s voor eigen gebruik te kopiëren. Ik zie dan niet waarom het bedrijf dat zou moeten verbieden. Niemand heeft er last van, mits ik binnen de quota blijf.

    Laten we anders de MP3’s even vergeten en een ander onderwerp nemen. Wat te denken van de logs van de chats met mijn partner, mijn opgeslagen privémails in de verzonden-map van mijn werkmail of foto’s die ik ooit maakte toen ik voor het werk op reis was in het buitenland en deze toen maar via de werklaptop heb veiliggesteld op mijn netwerkschijf. Lijkt me allemaal niks mis mee, maar ik heb er wel een privacyverwachting bij.

  18. je lijkt te zeggen dat alleen bij informatie in transit (een livechat met mijn coach) er een privacyverwachting is, maar bij informatie in opslag niet. Dat lijkt me onhoudbaar.

    Nee ik zeg dat aan gebruik van communicatiemiddelen zoals email of een telefoon een inherent privacy aspect zit.

    Aan netwerkopslag niet. Je kunt als medewerker prima netwerkopslag gebruiken zonder daar privacy gevoelige uitingen naar toe te kopieren.

  19. Ik zie dan niet waarom het bedrijf dat zou moeten verbieden. Niemand heeft er last van, mits ik binnen de quota blijf.
    Behalve dan dat media bestanden ook gebruikt kunne worden om malware te verspreiden.

  20. Ik zie hier wel een erg grote discrepantie tussen theorie in praktijk. Ik denk niet dar er in Nederland ook maar één conrector of leerling rondloopt die weet dat je kluisjes niet zomaar mag openen. Beide partijen denken dat het mag en het gebeurt dus gewoon dagelijks in heel Nederland zonder dat iemand daar ophef over maakt.

  21. @hAl

    Waar komt toch die niet te suiten zucht naar controle bij jou vandaan? Ik maak als werknemer zelf wel uit wat ik nuttig vind om op te slaan op een bedrijfsnetwerk. Zolang ik geen exorbitante hoeveelheden opslagcapaciteit gebruik hab je als netwerk beheerder met je neus uit mijn bestanden te blijven! Weet jij veel, misschien werk ik wel veel beter als ik mijn favoriete muzie op de achtergrond hoor ipv de opgelegde keuzes van de favoriete radiozender van mijn collega’s. En begin nu niet te zeuren dat ik dan maar een mp3 speler mee moet nemen, dan heb je het weer niet begrepen.

  22. Behalve dan dat media bestanden ook gebruikt kunne worden om malware te verspreiden.

    Ik tref meer malware aan in mij toegezonden Word, Excel en Powerpointbestanden (en mails) dan in mediabestanden.

    Je kunt als medewerker prima netwerkopslag gebruiken zonder daar privacy gevoelige uitingen naar toe te kopieren.

    Naar analogie: Je kunt als medewerker prima je bureaulade gebruiken zonder daar privacygevoelige zaken in op te bergen. Je kunt als medewerker ook prima mail en chat gebruiken zonder daar privacygevoelige uitingen in te doen.

    Daar gáát het niet om.

    Privacy is niet een communicatie-gerelateerd recht. Privacy is een algemeen mensenrecht: laat me met rust! Of het nu gaat om wat ik SMS naar mijn partner, wat ik in mijn dagboek noteer, wat voor ondergoed ik aanheb of wat er op mijn boterham zit, dat is mijn zaak en niet die van mijn werkgever. Dit raakt alle aspecten van het werk, en niet alleen die aspecten waarbij ik communiceer met anderen.

    De enige relevante vragen zijn hoe hoog de privacyverwachting is bij een specifiek aspect, en hoe hoog het werkgeversbelang is bij het mogen beperken van dat aspect. Op school lockers doorzoeken naar wapens en drugs heeft een hoog belang voor de schoolleiding. Wordt dit aangekondigd en wordt er echt alleen naar die zaken gezocht (en dus niet naar ook vieze blaadjes of kritische cartoons over de conrector), dan is dat een gepaste handeling. Een leraar die zomaar even een agenda inneemt om te zien of hij erin belachelijk wordt gemaakt, schendt de privacy van de leerling. Idem voor de leraar die een telefoon in beslag neemt wegens bellen in de klas (wat op zich mag) en dan gaat kijken of de leerlinge in kwestie wellicht seksfoto’s van haarzelf heeft verzonden.

    Je kunt een medium niet diskwalificeren omdat het alleen gaat om opslag.

  23. Bij personen die lid zijn van de vakbond of medezeggenschapsraad (of de bedrijfsarts) mag het beheer helemaal niet in hun privémappen kijken tenzij met hun toestemming of in zéér uitzonderlijke situaties.

    Oh? Als dat zo is, dan vind ik dat ik als niet-vakbondslid door de wetgever gediscrimineerd wordt t.o.v. die 40% of zo van het bedrijf die wel lid is. Dat lijkt mij vreemd. Ik vermoed dat het hier alleen om een selecte groep actieve vakbondsmensen gaat, mensen die in een situatie zitten die zich beter met OR-lid laat vergelijken dan puur lid van een bond zijn.

  24. @Arnoud, maar wat als de systeembeheerder gaat controleren of leerlingen niet toevallig seksfoto’s van andere leerlingen hebben opgeslagen? Of erger, als leraren dergelijke foto’s van hun leerlingen opslaan! Zeker als het alleen maar minderjarigen zijn op school zou dergelijk foto-materiaal voor enorme problemen kunnen zorgen. Maar goed, ik weet dat Picasa in staat is om gezichten te herkennen en zelfs kan herkennen wie er op de foto’s staan. Je zou als administrator dus met Picasa alle afbeeldingen in de gaten kunnen houden en door middel van deze gezichtsherkenning kunnen zien hoeveel leerlingen er totaal op foto’s staan zonder meteen te zien waar deze foto’s zijn opgeslagen! Je zou in die thumbnails van foto’s ook even kunnen kijken of er verdacht foto-materiaal tussen zit en opnieuw, zonder specifiek een bepaalde persoon te volgen. Op deze manier is de privacy nog steeds redelijk gewaarborgd omdat je alleen herkenbare gezichten te zien krijgt maar je kan als systeembeheerder vervolgens wel optreden tegen “foute” foto’s. Tegenwoordig heeft iedere scholier wel een mobieltje met ingebouwde camera en is het maken van naaktfoto’s een beetje een sport aan het worden onder scholieren. Dit zou een reden kunnen zijn om dergelijke controles uit te voeren.

  25. @Wim Nee nee nee nee! Je blijft met je vingers uit die bestanden tot het moment dat er iemand aankomt die zegt “ik denk dat pietje in 4b verkeerde plaatjes op zijn account heeft opgeslagen”. En zelfs dan ga je nog omzichtig te werk en doe je eerst wat onderzoek om te kijken of iemand Pietje een hak wil zetten of niet.

  26. Zou het wel toegestaan zijn om bijvoorbeeld onderstaande statistieken bij te houden (zonder de inhoud van de bestanden te zien) en bij grote aantallen/volumes de medewerker/docent/scholier hier op aanspreken? Let op: de inhoud is dus niet bekeken en de statistieken zijn automatisch gegenereerd (volledige bestandsnamen anders dan de extensie zijn dus niet hier uit af te leiden).

    • Aantal .JPG bestanden en het totale schijfruimte gebruik van .JPG bestanden per gebruiker
    • Aantal .DOC bestanden en het totale schijfruimte gebruik van .DOC bestanden per gebruiker etc. etc.

    Het gaat dus in dit voorbeeld om “algemenere” informatie en op basis hiervan spreek je iemand aan met het verzoek dit op te schonen als hier een reden voor is (overschrijding limieten/normen/etc. en/of verboden extensie’s en/of risico beperking). Iemand kan dan ook een verklaring geven waarom het is indien die persoon dat wil geven en het niet op wil schonen.

  27. Zeker weten, peter? Want onder jongeren is het uitwisselen van eigengemaakte eritica erg populair aan het worden. En omdat dit door velen als ongewenst beschouwd wordt en mogelijk zelfs strafbaar is, zou het logisch zijn om hier binnen een school-netwerk op te controleren. Nu is het mogelijk om volledig geautomatiseerd te zoeken naar virussen en malware zodat dit soort ongewenst materiaal anoniem verwijderd kan worden. De systeembeheerder krijgt pas een melding zodra er malware is aangetroffen en ook de locatie waar dit is gevonden. Met foto-materiaal is dit een stuk lastiger maar gezichtsherkenning begint al een vrij algemeen goed te worden. Ik zou me kunnen voorstellen dat er software ontwikkeld wordt die pornografische afbeeldingen kan detecteren en dus een waarschuwing kan geven als dergelijk materiaal op een school-netwerk wordt aangetroffen. Dan heb je net als bij een virusscanner een waarschuwings-systeem dat waarschuwt indien er een potentieel gevaar aanwezig is. Of dergelijke software er ook daadwerkelijk komt? Geen idee… Wie heeft er nou interesse in een porno-filter? 😉

  28. Geautomatiseerde statistieken en waarschuwingsmails zijn geen probleem. Vuistregel: als de IT-er niet met zijn eigen oogjes kijkt, is er niks mis. (Wel graag nondestructief; een script dat elke nacht *.mp3 deletet lijkt me niet handig.)

    Een automatisch script dat zegt “u heeft X JPEG bestanden deze kosten 34MB, graag opschonen” lijkt me niet zo’n probleem.

    Wel vraag ik me af waarom je dit zou willen. Waarom niet gewoon gezegd: je hebt 100MB/2GIG/whatever aan opslagruimte, en als die vol is dan moet je maar wat opruimen? Als mijn bureau vol ligt met troep krijg ik toch ook geen tweede bureau?

  29. Nee Wim, het kan wel gebeuren en erg ongewenst zijn maar het is privé en dus blijf je daar af. Waar ligt de grens? Nu gaat het over porno, dadelijk wil je teksten gaan doorzoeken op extremistische uitlatingen en vor je het weet zoek je naar leerlingen die onderling praten over leerkrachten. Gewoon je vingers niet aan branden en de grens tussen privé en publiek respecteren.

  30. @Arnoud Engelfriet: Hierbij speelt mee dat er per bestand ook weer iets schijfruimte gebruikt wordt en er meer nadelen aan kunnen zitten. Ik wou het zelf ook meer in de algemene zin weten wat nog toegestaan is en wat niet. Zelf weet ik als systeembeheerder het liefst zo min mogelijk over de bestanden die gebruikers opslaan. Echter soms kom je wel eens wat tegen op een webserver (dat bereikbaar is via een normale URL met http://) of vraagt een klant iets specifieks en zie je dan iets. Soms vragen ze zich af hoe het komt dat er zoveel schijfruimte ingebruik is en dan zouden dergelijke statistieken wel bruikbaar kunnen zijn.

    Verwijderen vind ik toch een slechte optie in de hiervoor genoemde gevallen (eerst waarschuwen/blokkeren lijk mij meer gepast, maar dat terzijde).

  31. @Arnoud, in mijn stage-tijd bij IBM was de regel dat buiten werktijden je bureau helemaal leeg moest zijn. Alles wat er dan nog op lag werd gewoon meegenomen door de bewaking en kon je dan later weer bij hen ophalen… Dus een schoon bureau werd wel afgedwongen. Mijn huidige werkgever is soepeler maar eist ook dat bureaus buiten werktijden schoon zijn zodat de schoonmakers hun werk normaal kunnen doen. Omdat er af en toe een klant kan langskomen is het wel handig dat alles een beetje schoon is. Bij een gedeelde netwerk-schijf kan ik mij ook voorstellen dat de systeembeheerders de boel graag een beetje schoon zien. Ze kunnen iedere gebruiker wel 20 GB aan ruimte geven maar als je dan 500 leraren en studenten hebt, dan heb je al twee terabytes aan ruimte nodig. Als je netwerk-schijf dan maar 1 TB is, dan moet je of de quota’s verkleinen of hopen dat niet iedere gebruiker de volle 20 GB zal gebruiken. Gelukkig gebruiken veel gebruikers niet hun gehele quota dus als administrator kun je dan wel met een kleinere schijf vooruit. (Denk ook aan de backups van zoveel data!) Maar dan moet je wel in de gaten houden wanneer het systeem dreigt vol te lopen, waarbij je dan als eerste de grootverbruikers gaat aanspreken om toch alsjeblieft wat op te ruimen…

    Veel bedrijven hebben tegenwoordig ook minder bureaus dan werknemers. Omdat er vaak medwerkers buiten de deur (of thuis) werken is dat ook geen probleem, maar worden enkele bureaus door meerdere personen gedeeld. Je hoeft dus lang niet altijd de ruimte te alloceren om het maximale aantal gebruikers toe te laten. En zeker bij netwerk-shares is het niet ongebruikelijk dat het totaal van de quota’s groter is dan de grootte van de schijf…

    Ofwel, opruimen, die trowp! 🙂

  32. @Peter van G, maar dan weer terug naar malware. Stel, ik heb een programma op mijn netwerk-share staan dat een keylogger bevat en met enige regelmaat al mijn toetsaanslagen naar een server ergens in Rusland verstuurt. Schadelijke malware volgens MacAfee, maar ziet de gebruiker dat ook op die manier? Die ziet immers een handig programma en als je dat verwijdert kun je dat ook als een privacy-schending zien… Dus als je malware mag uitbannen van je netwerk, waarom dan niet voor porno?

  33. Wim, er is een fundamenteel verschil tussen die malware en die porno. Die malware is actief en brengt actief schade toe aan gebruiker en of bedrijf. Die porno is een passief stuk informatie dat eventueel door de gebruiker scahdelijk gebruikt kan worden. Als dat zo is is die gebruiker strafbaar en dus aan te pakken. Daar hoef jij als systeembeheerder niet ongevraagd aan te pas te komen. Dus zolang die gebruiker jou geen overduidelijk illegale (denk aan kinderporno) content onder je neus houdt ga jij niet kijken naar de aard van de content. Als jij je netwerk een beetje netjes beveiligd hebt dan is het niet mogelijk dat ongewenste executables ongewenst contact leggen met externe partijen en automatisch informatie doorspelen.

  34. Je kunt als medewerker ook prima mail en chat gebruiken zonder daar privacygevoelige uitingen in te doen.
    Nee dat is niet zo. Als jij bijvoorbeeld een berichtje krijgt van de bedrijfsarts over je ziekte is dat gewoon heel privacygevoelig. Als jij met een collega mailt over een functioneringsgesprek is dat privacygevoelig.

    Je kunt dus via je mail juist niet vermijden om privacygevoelige uitingen te doen. Bij opslag is het heel anders. Opslag is geen communicatievorm. Daar hoeft voor werk helemaal geen prive materiaal te worden heen gekopieerd en daar uit jij je als persoon ook niet richting anderen of anderen naar jou.

    Een bedrijf kan dus volgens mij best regels instellen dat je op het netwerk geen eigen prive bestanden mag neerzetten maar alleen werkgerelateerde bestanden.

  35. @Peter van G, er zijn mensen die van mening zijn dat Porno schadelijk is voor minderjarigen en er zijn in Nederland wetten tegen het vertonen van porno aan minderjarigen. Het argument dat malware schadelijker is, is op een school-netwerk niet goed te verdedigen. Zeker niet indien de betreffende school een streng-religieuze inslag heeft. Ik kan mij voorstellen dat beheerder van Katholieke of Islamitische scholen aktief willen monitoren op porno om zo de “schadelijke invloed” ervan tegen te houden. Maar malware kun je eenvoudig uitfilteren. Porno dus niet.

    Dit brengt mij op het punt dat we hier een levens-overtuiging hebben van ouders, leraren en schoolleiding die botst met de privacy van minderjarigen. Wie er uiteindelijk gelijk heeft?…

    Nou ja, dergelijke scholen zullen vast interesse hebben in porno-filters om deze te blokkeren en te detecteren binnen hun netwerken. Maakt daarbij niet uit of deze legaal of illegaal is. De levensovertuiging vertelt dat dit schadelijk is en dus net als malware bestreden dient te worden…

  36. Toch mag mijn werkgever daar niet in kijken. Nee, ook niet als hij de koffer voor me gekocht heeft.
    Volgens mij wel als je werkgever expliciet heeft aangegeven dat er alleen een object van het werk in mag (zeg een bedrijfs ipad in een ipad case) en dat je je prive spullen maar in een eigen aparte prive tas moet meenemen.

  37. “Volgens mij”. Weet je wat, ik doe het gewoon: [[citation_needed]]. Dit schiet niet op zo. Graag een bron of onderbouwing voor je stelling dat een werkgever mag zeggen “uw tassen alleen voor werkgerelateerde zaken” en dat een werknemer die er een privé gekochte boterham of krant in stopte, berispt werd.

  38. @hAl, ik moet Arnoud hier absoluut gelijk in geven. Je werkgever kan jou zelfs een auto van de zaak geven voor je dagelijkse woon-werk verkeer maar dan nog kan hij niet verbieden dat je vervolgens je eigen TomTom erin gebruikt in plaats van de door je werk goedgekeurde Garmin… Denk ook niet dat een chauffeur van een Coca-Cola vrachtwagen ontslagen kan worden omdat hij achter het stuur gezien wordt met een blikje Pepsi in zijn hand… 🙂 Of omdat een Pepsi vrachtwagen een Coca Cola verkoop-machine uitlaadt… (link)

  39. Het prive gebruik van bedrijfsmiddelen is niet altijd te voorkomen, maar kan door een goed geformuleerde verklaring omtrent te tolereren gebruik redelijk in de hand worden gehouden zonder dat een beheerder al dat spul handmatig zou gaan inzien. Had die beheerder ooit dat verlangen, dat zal de praktijk ‘m daar snel van genezen, want die controle kost ‘m veel teveel tijd en moeite.

    Een tweede maatregel die vrijwel nooit wordt uitgevoerd maar waarvan alleen de aankondiging al prima functioneert is het tevoren door de leidinggevenden laten bedanken van de gebruikers voor hun geldelijke bijdragen ter ondersteuning van de extra benodigde bedrijfsmiddelen voor het prive gebruik. Zeurende leidinggevenden komen die beheerders dan niet meer tegen.

  40. Is de privacy wel overtreden in eerste plaats even een kleine afwijking die iedereen volgt. Ik ben laat we zeggen even systeem beheerder op die school en we weten dat er veel illegaal opgeslagen wordt. Waarom classificeer ik het als illegaal wel er is dus een afspraak tussen de personen en de school anders zou het legaal zijn aangezien ik niet weet wat wel en niet mag. Ik gebruik virus en andere scanners om hack tools keyloggers te deleten dit gebeurd anoniem ik weet dus niet waar het verwijderd wordt, ik neem aan geen probleem zover. Nu doe ik een zoek opdracht op mp3 en verwijder ik die uit alle account van studenten, die weten dat er geen mp3 bestanden opgeslagen mogen worden op het netwerk, docenten mogen het wel. Aangezien de docenten in een map staan die als volgt is gemarkeerd /docenten// en studenten als /studenten/ weet ik alleen hier bij of het student is of docent. Wat ik hier dan lees is dit geen privé issue aangezien ik de namen niet ken van de gene waar ik de bestanden wis. Zolang de school een lijst heeft met wat wel en niet mag dan en het gebeurd anoniem dan mag het wissen geen probleem zijn. Daarbij is het wel raar dat privacy ver boven alles momenteel gaat, je bent te gast bij iemand maar ik mag wel zooi opslaan die misschien verboden is en men kan niet eens wat er aan doen.

  41. Volgens mij ;-), verwart hAl hier privacy met vrijheid van meningsuiting.

    En @the Borg ook als je bij jou thuis een gast te logeren hebt respecteer je diens privacy, toch? Of kom jij altijd even kijken wat je gasten in de badkamer precies aan het doen zijn?

    Als je mensen persoonlijke opslag biedt dan impliceert dat woordje “persoonlijk” privacy. En als systeem-/netwerkbeheerder ben je dan inderdaad de gastheer die de mogelijkheid heeft om die privacy te schenden. Maar die, als hij die vertrouwelijke positie tenminste waard is, daar heel erg zorgvuldig mee omgaat…

    En als mensen die privacy gebruiken om iets illegaals te doen dan gaat dat jou niets aan. Zolang ze geen schade of overlast veroorzaken aan jouw systemen heb je daar niets mee te maken.

    En zelfs als ze dat wel doen, dan nog zou ik ze er eerst maar eens op aanspreken zonder meteen hun privacy te schenden. “Ik weet niet wat je allemaal in je persoonlijke folder hebt staan maar je gebruikt wel erg veel ruimte. Doe daar eens iets aan.” lijkt me in de meeste gevallen ruim voldoende om het probleem op te lossen.

  42. Dank Hans. Ter aanvulling: je bent als systeembeheerder/bedrijf NIET automatisch aansprakelijk voor bestanden die in persoonlijke mappen op het netwerk staan. Je weet immers niet wat er in staat. Je haalt je juist allerlei aansprakelijkheid op de hals als je wél gaat zoeken en vervolgens dingen laat staan.

  43. @Hans Je heb gelijk met een gast in huis. Maar zoals je later zegt “Zolang ze geen schade of overlast veroorzaken aan jouw systemen heb je daar niets mee te maken.” Ze hebben keyloggers, hack tools etc etc gevonden deze tools als men die gebruikt op je netwerk kunnen zware problemen veroorzaken als mede veel werk als ze daadwerkelijk gebruikt worden denk aan de veiligheid van je eigen systemen. Daarbij kan je door je ISP afgesloten worden als men merk dat je internet gebruikt wordt voor illegale activiteiten omtrent hacking, keylogging etc etc. Dan ook nog eens muziek, video enzovoort als dit uit de hand loopt kan men natuurlijk een bezoek verwachten van de instanties die de belangen behartigen. De schade die hieruit kan ontstaan kan vrij groot zijn. Maar dan zit je nu toch nog met het punt van Arnoud wat is de beter actie als bedrijf/school zijnde.

    @Arnoud Wat jij dus zegt zolang je de persoonlijke mappen van de users goed markeert als zijnde persoonlijk dan ben je daar niet aansprakelijk voor. Maar je maakt wel een uitzondering door te zeggen NIET automatisch aansprakelijk wat zou dan de uitzonderingen kunnen zijn, de eerste is natuurlijk door de bestanden te bladeren aangezien je dan weet wat er staat is er nog meer waar door je aansprakelijk gesteld kan worden.

  44. Die uitzonderingen komen inderdaad vrijwel allemaal neer op ‘je wist dat het er stond en je deed niets’. Variant: je had moeten weten dat er iets geks stond (bv. omdat je klachten kreeg) en je deed niets.

    Naast dergelijke uitzonderingen is er denk ik nog wel ruimte voor “je moet toch weten dat er dit soort troep rond kan slingeren, waarom voorkóm je dat niet” maar die uitzondering zou ik wel beperkt willen uitleggen. Het kan spelen als je bv. geen virusscanner loslaat op de netwerkschijf. Dat moet iedereen weten vandaag de dag, dus als je dat niet doet dan ben je aansprakelijk voor schade door virussen (tenminste die virussen die je had kunnen vangen met die scanner).

Geef een reactie

Handige HTML: <a href=""> voor hyperlinks, <blockquote> om te citeren, <UL>/<OL> voor lijsten, en <em> en <strong> voor italics en vet.