Le jeu Donuts!

Face à des défis similaires, nous avons adopté une solution sur mon lieu de travail pour ce jeu appelé "beignets". Gardez à l'esprit que cela a tendance à être quelque peu distrayant. Pour cette raison, nous ne courons pas cette année, seulement en décembre lorsque la pression est faible et que l'ambiance est plus légère au bureau que nous voulons favoriser à l'approche des vacances de Noël.

Règles

Le jeu est assez simple - si vous laissez votre ordinateur déverrouillé et qu'un autre membre de l'équipe le remarque, il a le droit d'ouvrir votre client de messagerie et d'envoyer un e-mail à l'équipe par e-mail le mot 'beignets' depuis votre compte . Chaque fois que quelqu'un vous fait ça avec succès, c'est un point contre votre nom. La personne à la fin de la semaine qui a le plus de points contre son nom doit acheter des beignets pour l'équipe pour notre stand-up SCRUM le lundi matin.

Cela a l'avantage de mettre les gens au défi d'être les meilleurs peuvent verrouiller leurs machines, et crée un système de pénalité informel pour ceux qui continuent de ne pas verrouiller leur machine.

Mais est-ce que cela fonctionne pour vous?

Gardez à l'esprit que ce n'est pas pour tous les environnements de travail - nous avons une équipe pour laquelle cela fonctionne très bien et nous en avons discuté en groupe pour nous assurer que tout le monde était à bord avant de commencer. Je vous conseille vivement de considérer votre équipe et les personnalités impliquées avant de mettre en place quelque chose comme ça.

Veillez également à considérer s'il y a des problèmes avec les membres de l'équipe utilisant la machine d'un autre, même pour envoyer un e-mail. L'industrie médicale dans de nombreux pays empêchera spécifiquement cela (soit par la réglementation ou par un besoin de confidentialité élevée), l'industrie financière serait dans de nombreux cas la même chose. Si ce n'est pas un obstacle, amusez-vous!

Je m'occupe beaucoup de cela du côté de l'ingénierie réseau. Les programmeurs ici ont normalement un peu de marge de manœuvre et de respect car en théorie, ils sont des professionnels et suivront des protocoles de sécurité sans avoir besoin de se tenir les mains. La meilleure politique est donc d'essayer de les amener à se conformer de manière informelle.

Les méthodes de résolution interne sont pour l'équipe de se contrôler mutuellement comme indiqué dans d'autres réponses par un système de petites punitions inoffensives. Mais à mon avis, mieux vaut si le manager le rend juste obligatoire.

Mais quand ils sont récalcitrants, c'est assez facile à corriger formellement.

La solution était que le manager dise aux programmeurs qu'ils règlent eux-mêmes leur sécurité ou que les ingénieurs viennent verrouiller les machines des gens et appliquer les politiques de groupe ... cela a généralement fait l'affaire assez rapidement. Habituellement, il n'est même pas nécessaire de faire un suivi.

Un moyen non conflictuel que j'utilise beaucoup est d'amener le responsable de l'ingénierie réseau (dans cet exemple, moi) à assister à une réunion et à passer un quelques minutes en disant poliment aux programmeurs des vérités personnelles. Cela enlève tout problème inconfortable au Manager et le fait de venir d'un tiers qui peut réellement appliquer les choses est une bonne stratégie. Je viens de me présenter, de m'excuser d'avoir pris leur temps et de décrire les politiques de sécurité réseau simples qui DOIVENT être appliquées dans le cadre de mon rôle. Traitez-les comme les professionnels qu'ils sont. Demandez si quelqu'un a besoin de savoir comment verrouiller sa machine, répondez aux questions qu'il pourrait avoir, remerciez-le pour son temps et quittez la réunion pour qu'il puisse déterminer comment il veut le faire (je ne veux pas savoir sur les pantalons bouffants ou beignets ou pizza). Même un simple e-mail à leur manager suffit généralement, il peut ensuite le transmettre à son équipe et en discuter lors de leur réunion. Le problème est de le faire venir du tiers autorisé.

Je n'ai que rarement eu besoin de le faire, cela vaut pour tout groupe de professionnels ou d'élites au sein d'une entreprise, j'ai utilisé cette méthode avec des pilotes, des médecins et des avocats ainsi que des programmeurs.

Là où je travaille, c'est une politique non officielle voulant que quiconque laisse son ordinateur déverrouillé suffisamment longtemps demande à quelqu'un de s'y rendre et d'envoyer un e-mail proposant d'apporter des pizzas ou des pâtisseries pour tout le monde le lendemain.

Le résultat de ceci est que quelqu'un doit admettre avoir laissé son ordinateur déverrouillé et être un bon marché, ou suivre et apporter de la nourriture. >

L'avantage de ceci est que d'autres employés l'appliqueront pour vous.

Aucune des réponses suggérant une farce ou autre n'est appropriée dans un environnement nominalement sécurisé.

Un environnement sécurisé a une POLITIQUE formelle de sécurité, un PROCESSUS formel pour se conformer à cette politique et une PROCÉDURE formelle pour remédier à la non-conformité. Dans toutes les réponses précédentes, la procédure préconisée pour remédier à la défaillance est en soi une violation de la politique ET du processus de sécurité.

En d'autres termes, lorsque l'image de l'écran du bureau d'un utilisateur paresseux est remplacée par une photo de bikini David Hasselhoff, ou que l'e-mail de l'utilisateur est utilisé pour envoyer un e-mail de "beignets piratés" ... du point de vue de la certification, vous avez non seulement eu une faille de sécurité POTENTIELLE, vous avez maintenant eu une faille de sécurité ACTUELLE.

Je suppose ici que le problème de sécurité n'est pas seulement une exigence arbitraire ... comme, les informations personnelles des clients flottent et / ou la conformité PCI ou SAX70 ou une autre certification de conformité est en jeu. Il est suffisant (à mon humble avis) que les clients se trouvent dans la zone, où ils peuvent voir des informations commerciales sensibles sur d’autres clients.

La bonne façon de gérer ce problème est que le personnel de sécurité informatique effectue des analyses bureau pendant leur journée normale d'errance, et s'ils arrivent sur un ordinateur déverrouillé et sans surveillance, ils changent le mot de passe de l'utilisateur et verrouillent l'écran / l'ordinateur, laissant une note à l'utilisateur qu'il doit contacter le service informatique pour réactiver son compte. Le personnel informatique doit bien sûr utiliser une sorte de schéma rotatif de "réinitialisation du mot de passe", de sorte que le mot de passe modifié ne puisse pas être deviné par l'utilisateur qui revient.

J'ai parfois rappelé à mes collègues qui ne parviennent pas à se verrouiller en utilisant un raccourci pour faire pivoter ou retourner leur écran, puis en le verrouillant (Windows + L). Le raccourci flip dépend de l'appareil, mais ALT + Flèche ou CTRL + ALT + Flèche devrait fonctionner sur de nombreux ordinateurs et ordinateurs portables professionnels typiques.

L'avantage de cette approche est qu'il s'agit d'un simple double raccourci clavier, donc vous ne passez pas de temps réellement sur leur système déverrouillé , avec toutes les implications de sécurité que cela a, tout en leur rappelant qu'ils ont oublié de se verrouiller à nouveau. Les délinquants notoires peuvent être laissés dans l'ignorance de la façon de restaurer un écran inversé pour ramener le message à la maison.

Comme vous n'avez pas besoin d'utiliser le système déverrouillé d'un collègue, cette solution sera probablement plus acceptable que de modifier les paramètres système ou d'envoyer un e-mail à partir de son compte, mais il y a encore des bureaux où même cela franchir une ligne ou là où même des farces mineures ne correspondent pas à la culture, alors utilisez-les avec prudence. Vous voudrez également être présent lorsque votre collègue reviendra lorsque vous le faites les premières fois au cas où il ne trouverait pas un moyen de l'inverser ou, comme le souligne Dan, s'exécute au service informatique affirmant que son ordinateur a été piraté.

Dans mon entreprise, nous avons la stratégie "goating".

Si vous laissez votre ordinateur déverrouillé, vous pourriez trouver votre économiseur d'écran, l'arrière-plan et tous les avatars modifiés en différentes images de chèvres (puis verrouiller le PC) .

Cela a appris aux gens assez rapidement à laisser leurs PC verrouillés, car ils ne voulaient pas avoir à tout changer à nouveau.

C'était autorégulé par l'équipe de développement et , maintenant nous sommes certifiés ISO27001, nous ne risquons pas que quiconque laisse son PC déverrouillé.

La solution simple ici est un économiseur d'écran automatisé, mis en place par défaut; montrant quelque chose de positif et de neutre pour l'entreprise. Si la sécurité est un problème, verrouillez également l'écran lorsque l'écran de veille apparaît. Suggérez-le au responsable informatique de votre entreprise. S'ils ne veulent pas faire cela pour tous les employés, alors ce n'est pas votre problème .

Configurez-le vous-même et encouragez les autres personnes qui relèvent de vous à le faire le même. Si un problème survient à un moment donné, vous êtes protégé et pouvez indiquer comment protéger les autres ordinateurs.

N'humiliez pas, n'installez pas une culture de punition "beignets", faites simplement il leur est facile de faire ce qu'il faut.

Étant donné la raison pour laquelle vous avez déclaré cette politique, je ne la prendrais pas du tout au sérieux; si je l'ai suivi, cela dépendrait uniquement de combien je voulais vous faire plaisir ou si j'avais peur pour mon travail.

Si vous voulez que les gens le suivent, reconsidérez les motivations et ayez une raison qu'ils peuvent prendre au sérieux ! Et si vous ne pouvez pas, vous pouvez trouver un autre moyen d'obtenir l'effet souhaité, par exemple ne pas placer de moniteurs dans des endroits où les visiteurs peuvent voir ce qui est sur les écrans. (c'est probablement une bonne idée de toute façon)

Pour être clair, je n'essaye pas de me moquer de votre situation; vous pouvez, en fait, avoir un problème très réel que vous essayez de résoudre.

Mais ce qui compte le plus dans le comportement de vos employés n'est pas la réalité de la situation, mais la façon dont ils la perçoivent. La façon dont il est présenté sonne comme une réaction instinctive qui pourrait même ne pas résoudre le problème qui n’existe peut-être même pas.

Et de plus, vous ne pensez peut-être pas que vous demandez beaucoup d'entre eux, mais de petites interruptions peuvent être une perturbation sérieuse du flux de travail d'une personne, donc ils ont de vraies raisons de ne pas simplement aller de pair avec les choses.

Ainsi, la nécessité de réévaluer les motivations; pour permettre à vos employés de voir qu'il existe un problème réel , cette politique le résoudra en fait et il n'y a pas de meilleure alternative qui ne les perturbe pas autant, en supposant que tout cela est réellement vrai.

Vous êtes leur manager. Ils doivent faire ce que vous dites. Ne les encouragez pas à verrouiller leur machine. Dites-leur qu'ils doivent verrouiller leur machine. Expliquez brièvement les risques de sécurité et le potentiel de désapprobation des parties prenantes, et indiquez clairement que le verrouillage de leur machine n'est pas facultatif.

S'ils ne sont pas conformes à votre directive, vous rencontrez des problèmes beaucoup plus importants que les écrans déverrouillés. Les professionnels doivent être habitués à recevoir des directives de leur supérieur et à les suivre. Vous ne devriez pas avoir à recourir à des jeux, des farces ou des manipulations pour vous attendre au professionnalisme de votre personnel.

Vous dites que vous en avez parlé lors de réunions, mais vous ne dites pas que vous l'avez fait clair, il doit s'arrêter. Faites ce que vous feriez pour toute autre politique:

• Relancez-la lors de votre prochaine réunion hebdomadaire avec l'équipage.
• Gardez un œil sur les personnes qui ne donnent pas suite à votre directive.
• Apportez-la avec elles dans votre prochain tête-à-tête.
• Si elle revient, informez-les qu'il s'agit d'une directive à suivre et que le non-respect continu de la directive sera noté lors de leur prochain examen des performances.
• Si cela continue, notez-le lors de leur prochain examen des performances.

Cela peut paraître dur, mais ce n'est pas nécessaire. J'ai toujours eu une excellente relation avec mes managers et mes subordonnés, et c'est facile à faire quand tout le monde suit les règles. Quand quelqu'un ne suit pas les règles, vous lui expliquez les raisons pour lesquelles cela existe et lui demandez à nouveau de suivre les règles. Documentez ce qu'ils font qui ne respecte pas les règles. C'est votre travail en tant que manager.

Quoi que vous fassiez, n'encouragez pas les gens à utiliser les ordinateurs d'autres personnes pour quelque raison que ce soit.

Quelle est la politique de l'entreprise? Je comprends que vous vouliez qu'ils verrouillent leurs machines, mais est-ce vraiment votre responsabilité de le faire? Votre rôle en tant que manager est de guider vos collaborateurs dans leurs prises de décision et leurs tâches. S'il n'y a pas de politique d'entreprise à ce sujet, ce n'est peut-être pas quelque chose que vous devez appliquer.

Je voudrais également examiner leurs habitudes de navigation. Si cela se produit aussi souvent que vous le dites, je pense que cela vaut la peine de se demander si cela se produit peut-être trop. Les clients regarderont leur écran lors de leur visite, pas seulement lorsque la machine est verrouillée.

Baggy Pantsing : l'original et toujours le meilleur!

[Georgia Tech] Un "baggy pantsing" est utilisé pour réprimander les pirates qui laissent sans précaution leurs terminaux déverrouillés . L'utilisateur concerné reviendra pour trouver un message de sa part sur des groupes de discussion internes expliquant à quel point son pantalon est bouffant, un substitut accepté pour «l'utilisateur non attentif qui a laissé son travail sans protection dans les clusters». Un pantalon bouffant bien fait est très moqueur et humoristique. Il est considéré comme une mauvaise forme de publier un pantalon baggy dans des groupes de discussion hors campus ou des groupes plus techniques et sérieux. Un pantalon bouffant particulièrement agréable peut être «réclamé» en citant immédiatement le message dans son intégralité, suivi de votre sig block; cela a l'avantage supplémentaire d'empêcher la victime embarrassée de pouvoir supprimer le message. Des baggy-pants intéressants ont été faits impliquant l'ajout de commandes aux scripts de connexion pour republier le message chaque fois que l'utilisateur malchanceux se connecte; Les boîtes Unix sur le réseau résidentiel, lorsqu'elles sont fissurées, ont souvent leurs pages d'accueil remplacées (après avoir été poliment sauvegardées dans un autre fichier) par un message baggy-pants; Les fichiers .plan sont également parfois ciblés. Utilisation: «Prof. Greenlee s'est de nouveau endormi dans le cluster Solaris; nous l'avons porté à git.cc.class.2430.flame. »

Source: http://www.catb.org/jargon/html/B/baggy -pantsing.html

You could use NFC tags to trigger locking / unlocking (depending how strict is your security policy, you might have to keep passwords as a way to unlock the machine) of the workstation.

Put the tag on the mobile phone (usually people have tendency to grab their phone when they are leaving the desk). Company issued phones with NFC module could themselves be used as an ID tags. Alternatively, tags could be attached to key-chains.This, of course, is not bullet proof solution and from my experience you will still have people just stepping away from the desk in a hurry without taking their phones and leaving the PC unlocked. However, the user behavior can not be changed over night, and this could help a lot with the issue of leaving the workstations unlocked. Think of this as a easy and effective short-term fix.Proper employee training and security awareness is always the best solution long-term.

À l'autre bout du spectre, Microsoft a une politique d'incendie sur place s'ils vous attrapent avec votre ordinateur déverrouillé.

Vous pouvez toujours leur faire savoir qu'ils seront renvoyés / réprimandés si ils laissent leur ordinateur déverrouillé. Si vous pensez que la situation est justifiée (ce qui n'est peut-être pas le cas dans ce cas), appliquer une politique d'entreprise avec des conséquences graves est toujours une autre option qui tend à donner des résultats.

Souvent, le plus gros obstacle est que le verrouillage prend trop de temps réfléchi

• Les professionnels de l'informatique oublient souvent que la plupart des gens ont beaucoup de difficultés se souvenant où se trouve une option, sans parler d'un raccourci clavier - et abandonnera donc rapidement quand ils perçoivent quelque chose comme trop difficile.

  Imprimez ceci comme un autocollant et collez-le sur au bas de l'écran des utilisateurs:

  

  Il se peut que vous ayez besoin de versions différentes si les utilisateurs utilisent différents systèmes d'exploitation, etc.

Première infraction

En général, j'ouvre simplement le Bloc-notes (pas le client de messagerie ou quelque chose du genre - je ne veux pas voir ça) et je laisse un rappel poli qu'ils devraient verrouiller leur ordinateur avant de quitter leur bureau afin de se conformer à la politique de sécurité, puis verrouiller leur ordinateur pour eux afin qu'ils aient la note à voir après leur nouvelle connexion.

Infractions ultérieures

Si je le rencontre une deuxième ou une troisième fois, je verrouillerai leur mot de passe, il doit donc être réinitialisé (nous avons une petite équipe amicale ici, donc ce n'est pas un problème).

Ils apprennent assez rapidement qu'il est rapide et facile de verrouiller leur machine et qu'il est moins compliqué que de devoir passer un court appel téléphonique pour déverrouiller leur compte.

Notre entreprise a un moyen vraiment efficace de mettre un terme à cela. Si quelqu'un du service informatique voit votre ordinateur déverrouillé, il changera votre fond d'écran ou votre économiseur d'écran en quelque chose de stupide. De cette façon, tout le monde peut dire qu'il a laissé son ordinateur déverrouillé une fois. C'est donc humoristique tout en prévoyant une pénalité. Le service informatique en informe tout le monde dès le premier jour de travail, ce n'est donc pas une surprise pour qui que ce soit.

Une réponse partielle:

Dans l'un de mes emplois précédents, nous étions autorisés à aller sur Facebook, reddit ou farmville, mais nous devions le faire à partir d'un autre poste de travail public Chrome Box (une Chrome Box est comme un Chromebook, mais sous une forme de bureau). Il en va de même pour les appels téléphoniques personnels, il y avait un domaine spécifique pour cela. Il y avait une séparation claire entre le travail et les affaires personnelles.

Utiliser un Chromebook / ChromeBox à cette fin était génial. On pouvait simplement se connecter à son compte gmail, et tous les onglets personnels que l'on avait mis en place la dernière fois apparaissaient. Ou si vous êtes pressé, vous pouvez simplement vous connecter en mode incognito et rechercher quelque chose très rapidement.

Il en a été de même pour les concierges de nuit et les agents de sécurité. Ils étaient autorisés à utiliser ces stations Chrome, mais s'ils avaient été surpris en train d'utiliser un autre poste de travail, cela aurait constitué une grave faille de sécurité.

Et s'il vous plaît ne vous méprenez pas, ce que je suggère n'est encore qu'une réponse partielle à la question d'origine. Une bonne sécurité comporte de nombreuses couches. Et cette séparation entre le personnel et le travail n'est qu'une couche supplémentaire qu'une entreprise pourrait utiliser en plus de certaines des autres mesures de sécurité déjà suggérées comme réponses.

Définissez la politique de mot de passe sur un équilibre raisonnable entre la sécurité et la possibilité de le mémoriser et de le saisir rapidement. Si c'est trop compliqué ou si les gens doivent penser quel est leur mot de passe actuel cette semaine, ils sont tentés de laisser l'ordinateur ouvert. Considérez les capteurs biométriques sur le clavier, si les gens sont à l'aise avec.

Ensuite, rappelez aux programmeurs que vous avez des politiques de sécurité pour une bonne raison et qu'ils sont payés pour les suivre.

Tout d'abord, je pense que vous devriez expliquer à votre équipe pourquoi ils doivent le faire. Comme mentionné dans d'autres réponses, les visiteurs qui voient des onglets de navigateur ouverts ne sont pas le plus grand risque, compromettre vos systèmes est beaucoup plus risqué. Ce n'est que si les gens comprennent pourquoi, implémenter certains des jeux de bureau suggérés a du sens, pour les aider à prendre l'habitude de verrouiller leurs écrans.

Il existe également des solutions techniques. Il existe des applications, telles que BlueProximity, qui verrouillent un écran une fois que l'appareil BlueTooth d'un utilisateur dépasse un certain seuil. Cela peut être soit un téléphone, soit si les gens ne transportent pas leur téléphone, une balise BlueTooth à garder dans une poche.

Vous et l'entreprise devez décider s'il s'agit d'un problème "grave" ou non. Si ce n'est pas le cas, le mieux que vous puissiez faire est de demander et d'espérer que vos développeurs vous montreront un peu de respect sur ce problème. Je suppose que vous pouvez déclasser leurs évaluations de performances pour être des contrevenants répétés. Cela devrait convertir quelques-uns des non-conformistes une fois qu'ils se rendront compte que vous êtes sérieux dans votre demande et donnera suite aux conséquences de votre non-adhésion.

Si vous pensez qu'il s'agit d'un problème sérieux, vous devez le traiter comme tel. De nombreuses entreprises considèrent cela comme un risque pour la sécurité et le traitent ainsi. À cet égard, les personnes dont les terminaux sont découverts non verrouillés reçoivent une note de «violation de sécurité». Dans les entreprises qui exigent des «autorisations», certaines d'entre elles et votre autorisation seront révoquées. Ces types d'entreprises sont tenus de se déclarer eux-mêmes, il n'est donc pas vraiment possible de ne pas signaler la violation. Cette révocation de l'autorisation irait généralement de pair avec le licenciement, car sans l'autorisation, il n'y a pas beaucoup d'utilité pour la personne. Si cela semble trop extrême pour votre situation, le simple fait de déconnecter l'ordinateur de la personne du réseau en raison de son mépris flagrant pour la sécurité et de la vulnérabilité qu'elle crée pour les utilisateurs du réseau contribuerait également grandement à changer le comportement.

One dernière chose, je dois rire du nombre de ces messages recommandant de faire quelque chose sur l'ordinateur du «délinquant» ou de se faire passer pour cet utilisateur. La plupart des politiques de sécurité interdisent strictement de faire l'un de ces types de choses et ces actes sont en fait des infractions pires que de laisser l'écran déverrouillé. Donc, plutôt que d'avoir une violation de sécurité relativement mineure, intensifions-la et commettons des violations de sécurité beaucoup plus graves. Quelle bonne idée.