Pranešama, kad „Pinterest“ atleido du inžinierius, parašiusius scenarijus, skirtus nustatyti, kurie bendradarbiai atleidžiami iš vidinių įrankių atleidimo iš darbo metu, o vėliau šį sąrašą pasidalijo plačiau. Iš pirmo žvilgsnio tai yra darbovietės drama. Po to tai neįprastai aiškus atvejo tyrimas, kaip iš tikrųjų veikia šiuolaikinės įmonės: tapatybės sistemos kaip tiesos šaltinis, pokalbių platformos kaip de facto organizacinės schemos ir „vidiniai duomenys“, kurie techniškai prieinami dar gerokai prieš tai, kai jie tampa socialiai priimtini.
Šis incidentas svarbus ne tik „Pinterest“, nes beveik kiekvienoje technologijų įmonėje egzistuoja tie patys elementai: centralizuota tapatybė, „Slack“ arba „Teams“, HR sistemos ir ilgas vidinių ataskaitų suvestinių bei API rinkinys. Kai laikai ramūs, niekas per daug negalvoja apie ribą tarp stebimumo ir priežiūros. Kai įvyksta atleidimai iš darbo, ši riba išryškėja.
Šiame aiškinamajame dokumente apžvelgsime, kas greičiausiai įvyko, kodėl kyla pagunda atlikti tokio pobūdžio stebėjimą, kur jis peržengia etikos ir politikos ribas ir ką organizacijos gali padaryti, kad sumažintų žalą privatumui ir norą rinkti šešėlinę informaciją.
Kas nutiko (ir ką čia tikriausiai reiškia „scenarijus“)
BBC teigimu, „Pinterest“ teigė, kad „du inžinieriai parašė pasirinktinius scenarijus, netinkamai pasiekdami konfidencialią įmonės informaciją, kad nustatytų visų atleistų darbuotojų buvimo vietą ir vardus, o vėliau jais pasidalijo plačiau“, vadindami tai politikos pažeidimu ir privatumo problema paveiktiems darbuotojams. Ataskaitoje taip pat aprašomas mechanizmas, kuriuo stebima, ar darbuotojų vardai nėra pašalinami arba deaktyvuojami vidinės komunikacijos įrankyje, „pvz., „Slack“.
Daugelyje įmonių „Slack“ (ar panaši) sistema yra tiesiogiai susieta su tapatybės teikėju („Okta“, „Azure AD“, „Google Workspace“ ir kt.). Išjungus paskyrą, įvyksta kaskadinis procesas: prieigos žetonai nustoja galioti, grupės pasikeičia ir vartotojas nustoja būti rodomas tam tikrose katalogų paieškose, kanaluose ir integracijose. Jei turite API prieigą (net ir tik skaitymui), dažnai galite nustatyti, kas buvo nutrauktas, tiesiog aptikdami būsenos pokyčius:
- Vartotojas dingsta iš „aktyvių vartotojų“ sąrašo.
- Vartotojo profilis tampa deaktyvuotas.
- Robotas nebegali jiems siųsti asmeninių žinučių.
- Jų narystė keičiasi skirtinguose kanaluose arba vartotojų grupėse.
Šiame kontekste „scenarijus“ nebūtinai turi būti sudėtingas. Tai gali būti kelios dešimtys kodo eilučių, kurios apklausia API, lygina vakarykštį vartotojų sąrašą su šiandieniniu ir siunčia įspėjimą. Grynai techniniu požiūriu tai tas pats šablonas, kurį inžinieriai naudoja teisėtoms operacinėms užduotims: dviejų momentinių kopijų lyginimas, siekiant aptikti pokyčius.
Skirtumas yra tas, kas aptinkama (žmonės), kodėl tai aptinkama (atleidimai iš darbo) ir kur pateikiami rezultatai (plačiai bendrinami).
Kodėl darbuotojai tai daro atleidimų metu
Yra nemaloni tiesa apie atleidimus iš darbo: žmonės paprastai sužino apie įvykio eigą per pašalinius kanalus, dar prieš vadovybei ką nors paaiškinant. Kartais taip yra todėl, kad vadovybė dar negali pasidalyti detalėmis. Kartais taip yra todėl, kad „mes vis dar deriname detales“ yra eufemizmas, reiškiantis „mes nenorime sakyti“.
Taigi darbuotojai griebiasi bet kokių egzistuojančių signalų:
- Draugai staiga tyli.
- Kalendoriaus kvietimai dingsta.
- Prieiga prie saugyklų atšaukta.
- „Slack“ būsena pasikeičia arba asmuo dingsta iš katalogo.
Šių signalų sekimas gali atrodyti kaip savigyna. Žmonės nori žinoti:
- Ar mano komanda paveikta?
- Ar mano vadovas buvo atleistas?
- Ar mano artimiausi bendradarbiai vis dar čia?
- Ar įmonėje viskas gerai, ar tai didesnė restruktūrizacija?
Ta motyvacija yra žmogiška ir nuspėjama. Tačiau nuspėjamas elgesys vis tiek gali būti žalingas.
Privatumo problema: atleidimo iš darbo statusas yra jautri informacija
Atleidimo iš darbo atvejis nėra vien „darbo smulkmenos“. Tai neskelbtina asmeninė informacija apie asmens užimtumo statusą, dažnai susijusi su išmokomis, imigracija, sveikatos draudimu ir būsimomis darbo perspektyvomis.
Net jei įmonė planuoja viešai paskelbti apie darbuotojų skaičiaus mažinimą, asmenų tapatybė ir jų buvimo vieta paprastai atskleidžiama tik tiems, kuriems tai būtina žinoti:
- Žmogiškųjų išteklių ir darbo užmokesčio poreikių informacija.
- IT skyrius turi vykdyti atleidimą iš darbo.
- Teisiniai poreikiai užtikrinti atitiktį reikalavimams.
- Vadovai turi tiesiogiai bendrauti su savo komandomis.
Platus vidinis atleistų darbuotojų sąrašo dalijimasis yra kitoks. Jis gali:
- Pašalinkite paveikto asmens gebėjimą kontroliuoti pasakojimą.
- Atskleiskite kieno nors buvimo vietą ar priklausomybę komandai.
- Skatinkite apkalbas ir spėliones („ar tai buvo performansas?“, „ar tai buvo politinis procesas?“).
- Padidina tikslinio priekabiavimo ar doksingo riziką už įmonės ribų.
„Pinterest“ teiginiai, kad pažeidė buvusių kolegų privatumą, nėra vien viešieji ryšiai. Tai tikra žalos kategorija.
Saugumo problema: prieigos kontrolė nėra tas pats, kas autorizacija
Daugelis vidinių sistemų veikia su apytiksliais leidimais: jei esate inžinierius, galite pateikti užklausą kataloge arba naudoti vidinę API. Tai nereiškia, kad turite leidimą jį naudoti visais tikslais.
Štai kur daugelis organizacijų susiduria su sunkumais. Jos kuria vidinius įrankius, kurie yra:
- Lengva naudoti,
- Galingas,
- Prastai valdomas.
Ir tada jie remiasi politika („nedaryk to“) kaip pagrindiniu apsauginiu turėklu. Kai spaudimas didelis, vien politika paremti turėklai neveikia.
NIST SP 800-53 yra vienas iš standartinių katalogų, kuriuos organizacijos naudoja galvodamos apie kontrolės sistemas, tokias kaip prieigos kontrolė ir auditas. Net ir nepasiklysdami kontrolės ID, pagrindinė idėja čia puikiai tinka: prieiga prie duomenų turėtų būti ribojama, stebima ir siejama su teisėtais verslo tikslais, ypač jautrių informacijos kategorijų atveju.
Kitaip tariant: „techniškai galite tai perskaityti“ niekada neturėtų būti traktuojama kaip „jums viskas gerai, jei skaitote“.
Kultūrinė problema: „Slack“ tapo organizacijos schema
Dauguma įmonių dabar susiduria su dviem lygiagrečiomis realybėmis:
- Formali realybė: žmogiškųjų išteklių sistemos, atskaitomybės linijos, oficialūs pranešimai.
- Gyvenamoji realybė: „Slack“ kanalai, grupinės asmeninės žinutės, „GitHub“ paminėjimai, budėjimo rotacijos.
Kai formalioje sistemoje kas nors pasikeičia (pavyzdžiui, perleidžiami darbuotojai), tai iš karto sukuria matomus artefaktus realioje sistemoje. Darbuotojai šiuos artefaktus interpretuoja kaip tiesą – kartais stipriau, nei pasitiki vadovybės komunikacija.
Toks neatitikimas sukuria iškreiptą paskatą:
- Jei vadovybė nepasako, kas vyksta,
- Jį atkursite iš bet kokių telemetrijos nutekėjimų.
Šis incidentas primena, kad „vidinis skaidrumas“ yra ne tik ryšių strategija – tai ir informacijos saugumo strategija. Jei žmonės jaučia, kad privalo iš nutekintos informacijos sudėlioti realybę, jie tai ir padarys.
Kur inžinieriai peržengė ribą
Net jei suprantate, kodėl kažkas gali sukurti tokį scenarijų, yra bent trys aiškios ribos, kurios peržengiamos:
1) Tikslo apribojimas
Jei duomenų šaltinis yra „konfidenciali įmonės informacija“, tikimasi, kad ji bus naudojama teisėtai verslo funkcijai, o ne atleidimų iš darbo žvalgybai.
NIST privatumo sistemoje pabrėžiamas privatumo rizikos valdymas ir praktikos, apsaugančios asmenis, taikymas. Praktiškai tai reiškia „rinkti ir naudoti duomenis konkretiems, teisėtiems tikslams ir vengti antrinio naudojimo, kuris sukeltų naują žalą“.
Scenarijus, skirtas atleistų kolegų identifikavimui, beveik iš esmės yra antrinis panaudojimas: atleidimo signalai skirti sistemoms apsaugoti ir HR procesams vykdyti, o ne vidiniam atleidimų sąrašui generuoti.
2) Amplifikacija
Žmonės „Slack“ sistemoje dingimus pastebi organiškai – tai aplinkos informacijos nutekėjimas.
Scenarijus aplinkos nutekėjimą paverčia struktūrizuotu duomenų rinkiniu (vardai, vietos, tikėtinos komandos, nutraukimo laikas). Tai yra amplifikacija: žalos potencialas smarkiai padidėja, kai neaiškūs signalai tampa aiškiu sąrašu.
3) Perskirstymas
Platesnis informacijos platinimas yra žingsnis, kurį sunku apginti kaip paprastą smalsumą. Tai sukuria naują jautrios informacijos platinimo kanalą ir įpareigoja autorius atsakyti už netinkamą jos naudojimą.
Ką įmonės gali padaryti: sumažinti nuotėkį, padidinti pasitikėjimą ir sugriežtinti kontrolę.
Klaidingai manoma, kad sprendimas yra „viską užrakinti“. Praktiškai reikia trijų vienas kitą papildančių veiksmų: valdymo, techninės kontrolės ir komunikacijos.
1) Išėjimo iš darbo įvykius traktuokite kaip jautrius ir užtikrinkite privatumą
Atsisakymas neišvengiamai pakeičia sistemas, tačiau galite sumažinti informacijos išeikvojimą:
- Sumažinkite viešai prieinamų katalogų pakeitimus, kol įvyks ryšys.
- Venkite masinio vartotojų šalinimo, kurį lengva atskirti.
- Apsvarstykite galimybę atidėti tam tikrus nesaugumo požiūriu svarbius atnaujinimus valandomis, kad jie neveiktų kaip realaus laiko atleidimų srautas.
Tikslas nėra amžinai slėpti realybę. Tikslas – išvengti, kad skausmingas įvykis nevirstų lobių paieška.
2) Pridėkite tikslinę prieigos kontrolę ir registravimą
Jei vidinės API gali atskleisti darbuotojų statuso pokyčius dideliu mastu, tai:
- Prieiga turėtų būti suteikta tik tiems vaidmenims, kuriems jos reikia.
- Didelio masto eksportui turėtų būti reikalingas pagrindimas.
- Užklausos turėtų būti registruojamos su tapatybe ir ketinimu.
- Automatinės apklausos turėtų išsiskirti.
Čia svarbus „audito ir atskaitomybės“ požiūris: jei scenarijus išvardija vartotojus ir siunčia įspėjimus, jis turėtų suaktyvinti aptikimą.
3) Turėkite humanišką komunikacijos planą atleidimams iš darbo
Didžiausias šešėlių sekimo veiksnys yra neapibrėžtumas.
Įmonės gali sumažinti impulsą naudoti vidinius įrankius aiškiai išdėstydamos savo poziciją:
- Kada bus informuoti paveikti darbuotojai?
- Kada bus informuotos komandos?
- Kuo ir kada galima dalytis?
- Kur žmonės turėtų ieškoti patikrintų atnaujinimų?
Jei vadovybė laiku pateikia konkrečią informaciją, „pasidaryk pats“ sąrašų „poreikis“ sumažėja.
4) Suteikite darbuotojams sankcionuotą būdą patikrinti bendradarbius
Tai subtilu, bet svarbu. Žmonės ne tik smalsūs – jie bando koordinuoti darbą ir pasiteirauti apie draugų veiklą.
Paprastas, patvirtintas katalogo būsenos pranešimas („ši paskyra nebeaktyvi“) be laiko žymų, vietos ar sąrašų galėtų patenkinti pagrindinius poreikius, nesuteikdamas galimybės masiškai rekonstruoti.
Platesnė tendencija: atleidimai iš darbo kaip informacijos saugumo streso testas
Atleidimai iš darbo atskleidžia silpnąsias valdymo vietas, nes jie sukuria:
- jautrių įvykių protrūkis,
- aukšta emocinė temperatūra,
- ir daug prieigos praradimo.
Būtent tada ir matome kraštutinius atvejus: darbuotojai naudoja sistemas, vadovai improvizuoja, o įrankiai naudojami taip, kaip niekas nebuvo numatyta.
Tokios svetainės kaip „Layoffs.fyi“ egzistuoja todėl, kad žmonės nori nepriklausomo signalo apie atleidimų mastą pramonėje. Įmonės viduje egzistuoja tas pats poreikis – tik signalai yra tiesioginiai, o rizika – asmeninė.
Esmė
„Pinterest“ sprendimas atleisti inžinierius dėl atleidimų stebėjimo scenarijų kūrimo nėra tiesiog „nesmalsumas“. Tai įspėjimas, kad vidinis stebėjimas gali tapti vidine priežiūra vos tik sumažėja pasitikėjimas organizacija.
Jei jūsų įrankiai leidžia lengvai paversti tapatybės praradimą atleistų bendradarbių sąrašu, žmonės tai darys – ypač atleidimų iš darbo metu. Pataisymas ne tik baudžia scenarijų parašiusius žmones, bet ir sukuria sistemas bei komunikacijos praktikas, kurios nepaverčia atleidimo iš darbo duomenų nutekėjimu ir traktuoja darbo statusą kaip slaptą informaciją, kokia ji ir yra.