Når medarbejdere arbejder hjemme, flytter en del af virksomhedens data med. Ikke kun på firmacomputeren, men også på den private computer, der blev brugt en enkelt aften, på hjemmeprinteren og på det private netværk. Det meste af tiden er det ikke et problem. Men opstår der en sag, ligger nogle af sporene steder, virksomheden hverken ejer eller kan undersøge. Derfor er det klogt at beslutte, hvor data må være, før sagen opstår.
Artiklen er til IT og HR. Den handler om, hvor data havner ved hjemmearbejde, hvad det betyder, når der opstår en sag, og hvilke enkle regler der hjælper.
Hvor data havner
Typiske steder, hvor firmadata ender ved hjemmearbejde:
- Den private computer. Medarbejderen har logget ind på webmail eller Teams i browseren, hentet en fil eller gemt et dokument for at arbejde videre. Filen ligger nu i mappen Overførsler.
- Hjemmeprinteren. Udskrifter af kontrakter, kundelister eller lønsedler. Papiret ligger hjemme, og nogle printere gemmer også en log.
- Private cloudtjenester. En fil blev lagt i en privat Dropbox eller sendt til den private mail for at kunne åbnes hjemme.
- Det private netværk. Routeren hjemme registrerer, at firmacomputeren var på netværket, men det er medarbejderens udstyr og medarbejderens oplysninger.
- Familiens enheder. En delt computer eller tablet, hvor flere i husstanden har adgang.
Ingen af disse steder er usædvanlige. De fleste medarbejdere gør det for at få arbejdet gjort, ikke for at tage noget med. Men i en sag er det vigtigt at vide, hvor I skal lede, og hvor I ikke kan.
Hvad det betyder, når der opstår en sag
Der er tre typiske situationer, hvor hjemmearbejde bliver et spørgsmål.
Medarbejderen stopper i konflikt. Firmacomputeren afleveres, men der kan ligge kopier på den private computer og i private cloudtjenester. Virksomheden kan ikke selv hente dem. Det kræver, at medarbejderen samarbejder, eller juridiske skridt. → BYOD og bevissikring
Der er mistanke om arbejdstid. Spørgsmålet er, om medarbejderen faktisk arbejdede hjemme, når det blev oplyst. Her er det virksomhedens egne systemer, der kan give svar, for eksempel logins og aktivitet i fagsystemer, ikke medarbejderens hjemmenetværk. → Mistanke om snyd med arbejdstid og hjemmearbejde
Der er sket et brud på datasikkerheden. En privat computer med firmadata er blevet væk eller har haft en skadelig fil. Så skal virksomheden vurdere, om der er tale om et persondatabrud, og det kræver, at I ved, hvilke data der lå der.
Hvad gør I nu, hvis der er en sag?
- Sikr det, I selv ejer. Firmacomputer, postkasse, OneDrive, Teams og logins. Det er her, de fleste spor findes, også fra hjemmearbejde.
- Kig i jeres egne logs. Logins fra ukendte enheder, overførsler fra webmail og synkronisering til ukendte computere kan ofte ses i Microsoft 365 eller Google.
- Skriv ned, hvad I ved om hjemmeudstyret. Har medarbejderen fortalt, at der er brugt en privat computer? Har vedkommende haft en printer fra virksomheden?
- Få virksomhedens udstyr tilbage. Det gælder også skærme, printere og diske, der står hjemme. → Aflevering af computer og firmatelefon
- Lad advokaten vurdere det private udstyr. Skal der kræves noget af medarbejderen, for eksempel en erklæring om sletning, er det advokatens opgave.
Det skal I lade være med
- Bede om at få den private computer udleveret uden at have talt med en advokat.
- Bede medarbejderen slette firmadata fra den private computer, før I har sikret, hvad der var der. En sletning kan fjerne netop de spor, der viser omfanget.
- Tage hjem til medarbejderen for at hente udstyr eller se efter papirer. Aftal aflevering på kontoret.
- Bruge hjemmenetværkets oplysninger. Det er medarbejderens netværk og medarbejderens data.
- Indføre overvågning af hjemmearbejde uden at tjekke reglerne. Kontrolforanstaltninger skal være saglige, og medarbejderne skal normalt orienteres. Tjek også overenskomst og eventuel kontrolaftale.
En enkel politik for hjemmearbejde
Det bedste værn er få, klare regler, som medarbejderne kan forstå og følge. For eksempel:
- Arbejdet foregår på virksomhedens computer. Private computere bruges kun til webmail og Teams i browseren, og der gemmes ikke filer lokalt.
- Firmadata lægges ikke i private cloudtjenester eller sendes til private mailadresser.
- Udskrifter med fortrolige oplysninger laves på kontoret. Hvis det er nødvendigt hjemme, makuleres papiret, når det ikke længere bruges.
- Udstyr fra virksomheden, også printere og skærme, registreres og afleveres ved fratrædelse.
- Firmacomputeren bruges kun af medarbejderen, ikke af familien.
Politikken kan med fordel suppleres af tekniske løsninger, som gør det rigtige let. Mange virksomheder kan for eksempel begrænse, hvad der kan hentes ned til computere, som ikke er virksomhedens. → Skabelon: IT-regler på én side for små virksomheder
Hvad jeres egne systemer kan vise om hjemmearbejde
Selv om I ikke kan se medarbejderens hjemmeudstyr, kan jeres egne systemer ofte vise en del om, hvad der skete. Det er dem, I skal starte med:
- Loginloggen i Microsoft 365 eller Google kan vise, fra hvilke enheder og netværksadresser der er logget ind, og om det var en kendt firmacomputer eller en ukendt browser.
- Revisionsloggen kan vise, om filer blev hentet ned, synkroniseret eller delt.
- VPN-loggen kan vise, hvornår firmacomputeren var forbundet til virksomhedens netværk hjemmefra.
- Fagsystemer og CRM har ofte deres egen log over, hvem der åbnede hvad.
Mange af disse logs gemmes kun en begrænset periode. Bed IT hente dem, så snart der er en sag, og gem dem uændret.
Hvem gør hvad?
- HR · Skriver politikken og orienterer medarbejderne
- IT · Sætter tekniske begrænsninger op og logger adgang
- Leder · Følger op på, at reglerne bliver brugt
- Advokat · Vurderer krav til medarbejderen, hvis der opstår en sag
Når udstyret skal hjem igen
Mange hjemmearbejdspladser har udstyr fra virksomheden, som ingen har registreret: en ekstra skærm, en printer, en dockingstation eller en ekstern disk. Ved fratrædelse bliver det glemt, og så ligger der måske data på en disk, ingen ved findes.
Lav en enkel liste over hjemmeudstyr pr. medarbejder, og opdatér den, når der udleveres noget nyt. Den liste er også nyttig, hvis der opstår en sag, fordi I så kan se, hvad der mangler.
Hvornår skal I have hjælp udefra?
Når der er en konkret mistanke om, at data er taget med via hjemmearbejde, eller når I skal finde ud af, hvad der er synkroniseret til ukendte computere. En IT-sagkyndig kan sikre virksomhedens egne systemer og finde de spor, der peger ud af huset. Nielco IT arbejder uvildigt i civile sager og interne undersøgelser og kan hjælpe med at beskrive, hvad sporene viser, så advokaten kan vurdere næste skridt.
Læs også: Fjernsupportværktøjer: hvem var inde på computeren? · CRM: medarbejderen har eksporteret kundelisten
→ Undersøgelse af en medarbejders computer · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
