En browserudvidelse kan læse alt det, der står på de sider, medarbejderen har åbne: mails, kundedata, fakturaer og interne systemer. Mange AI-plugins virker netop ved at sende sidens indhold til en ekstern tjeneste. Det betyder, at data kan forlade virksomheden, uden at nogen har sendt en mail, uploadet en fil eller sat et USB-stik i.
For en virksomhed er det to problemer på én gang. Data ligger hos en tredjepart uden aftale. Og hvis det senere skal dokumenteres, hvad der er sket, er der færre spor end ved de kendte veje ud.
Hvorfor det er svært at se
Når en medarbejder sender en fil til sin private mail, efterlader det spor i mailsystemet. Når en udvidelse læser en side og sender teksten videre, sker det i browseren, som en del af almindelig trafik. Jeres mailsystem ser intet. Jeres filserver ser intet. Det eneste spor er ofte, at udvidelsen er installeret, og at der er trafik til tjenestens servere.
Det er derfor, overblikket skal være på plads, før der sker noget. → De tre veje, data forlader virksomheden
Typiske udvidelser, der læser med
- AI-assistenter, der opsummerer sider eller mails,
- skriveværktøjer, der retter stavning og omformulerer tekst,
- oversættelsesværktøjer,
- værktøjer, der tager skærmbilleder eller optager skærmen,
- udvidelser til at gemme sider, noter eller kontakter.
Mange af dem er nyttige og harmløse. Pointen er ikke at forbyde alt, men at vide, hvad der er installeret, og hvad udvidelserne har lov til.
Hvad gør I, hvis I har mistanke?
- Notér, hvad der har givet mistanke. En medarbejder har nævnt et værktøj, en kunde har set tekst, der kun fandtes internt, eller IT har set en ukendt udvidelse.
- Find ud af, hvilke computere det drejer sig om. Én medarbejder eller mange? Udvidelser synkroniseres ofte med brugerens browserprofil, så de følger med til andre computere.
- Bed IT lave en liste over installerede udvidelser. I administrerede miljøer kan det ofte hentes centralt. Ellers skal det ses på den enkelte computer. Gem listen med dato.
- Sikr computeren, før udvidelsen fjernes. Skal sagen kunne dokumenteres, er udvidelsens data, browserprofilen og evt. netværkslogs vigtige. Fjern ikke udvidelsen og ryd ikke browseren, før det er besluttet, om der skal sikres. → Bevissikring af en Windows-computer
- Find tjenestens vilkår. Hvad sender udvidelsen, hvor hen, og gemmer tjenesten data? Gem en kopi af vilkårene, som de ser ud i dag.
- Vurdér persondata. Har udvidelsen haft adgang til persondata, skal I vurdere, om det er et persondatabrud. → Persondatabrud: dokumentationen inden for 72 timer
- Blokér derefter. Når sporene er sikret, kan IT fjerne udvidelsen og indføre en godkendelsesliste.
Hvem gør hvad
- IT · Laver listen, sikrer spor, blokerer
- Leder · Beslutter, om sagen skal undersøges nærmere
- DPO eller ansvarlig for persondata · Vurderer brud og anmeldelse
- HR · Taler med medarbejderen, hvis det er relevant
Det skal I lade være med
- Lad være med at nulstille browseren med det samme. Det fjerner udvidelsens data og spor af, hvornår den blev installeret.
- Lad være med at behandle det som en personalesag fra start. I de fleste tilfælde har medarbejderen installeret et værktøj for at arbejde hurtigere. Spørg først, hvad det bruges til.
- Lad være med at gennemgå medarbejderens browserhistorik uden grund. Den kan indeholde private oplysninger, og gennemgang af den kræver et sagligt formål og normalt orientering.
- Lad være med at gå ud fra, at det kun er én computer. Synkronisering og fælles vaner betyder, at det samme værktøj ofte bruges af flere.
Hvad kan der dokumenteres bagefter?
Det afhænger af, hvad I har slået til. Har I central styring af browsere, kan det ofte ses, hvornår en udvidelse blev installeret. Har I logning af netværkstrafik eller DNS-opslag, kan det vise, at computeren har haft kontakt med tjenestens servere, og hvornår. På selve computeren kan browserprofilen indeholde udvidelsens indstillinger og lokale data.
Hvad der præcist er sendt, kan sjældent ses i jeres egne systemer. Det ligger hos tjenesten. Derfor bliver dokumentationen ofte en sandsynliggørelse: udvidelsen var installeret, den havde adgang til bestemte sider, og der var trafik til tjenesten på bestemte tidspunkter. → Minimumslogning: hvad bør være slået til?
Forebyg det i stedet
Det er langt lettere at forebygge end at dokumentere bagefter. Gå disse punkter igennem med IT:
- ☐ Kan I se, hvilke udvidelser der er installeret på jeres computere?
- ☐ Er der en liste over godkendte udvidelser, og bliver andre blokeret?
- ☐ Kan medarbejdere logge ind i browseren med en privat profil på firmacomputeren?
- ☐ Er AI-plugins nævnt i jeres AI-politik?
- ☐ Er medarbejderne orienteret om, at installerede programmer og udvidelser kan kontrolleres?
En godkendelsesliste behøver ikke være lang. Start med de udvidelser, medarbejderne faktisk bruger, og godkend dem, der er i orden. Så er det tydeligt, hvad der er tilladt, og afvigelser bliver synlige. → AI-politik, der kan bruges i en sag
Private browserprofiler på firmacomputeren
Mange browsere lader brugeren logge ind med en privat konto. Så synkroniseres bogmærker, adgangskoder og udvidelser mellem firmacomputeren og medarbejderens private enheder. Det betyder, at en udvidelse installeret derhjemme dukker op på arbejdet, og at data fra arbejdet kan ende på en privat computer.
Overvej at slå privat login i browseren fra på firmacomputere, eller i hvert fald at skille arbejde og privat i hver sin profil. Det er en enkel indstilling for IT og fjerner en stor kilde til usikkerhed.
Udvidelser, der skifter ejer
En udvidelse, der var harmløs, da den blev installeret, kan ændre sig. Udvidelser bliver solgt videre, opdateret med nye funktioner eller får nye rettigheder i forbindelse med en opdatering. Det sker typisk automatisk, uden at brugeren bemærker det.
Det har to konsekvenser for jer. For det første er en godkendelse ikke en engangsting. Listen over godkendte udvidelser skal gennemgås jævnligt, fx en gang om året. For det andet kan det være vigtigt at kunne vise, hvilken version der var installeret på et bestemt tidspunkt. Gem derfor listen over installerede udvidelser med dato, hver gang I gennemgår den. Så har I et udgangspunkt, hvis spørgsmålet en dag kommer. Det tager få minutter, når det er sat i system, og det er næsten umuligt at genskabe bagefter.
Hvornår skal I have hjælp?
Få hjælp udefra, hvis udvidelsen har haft adgang til persondata om mange personer, til forretningshemmeligheder eller til systemer med kundedata, eller hvis sagen kan ende i en tvist med en medarbejder eller en leverandør. En uvildig IT-sagkyndig kan sikre browserprofil og logs, så det kan efterprøves, og give en saglig vurdering af, hvad der kan og ikke kan dokumenteres.
Læs også: AI-notetagere i møder: hvem har optagelsen? · AI-politik: skriv den, så den kan bruges, hvis der opstår en sag
→ IT-sagkyndig for virksomheder · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
