MFA icm AVG

[streamnl]

Op mijn werk willen ze MFA (multi factor authenticatie) gaan gebruiken (goeie zaak!!) maar dan moet ik mijn privé nummer (06) afgeven aan microsoft. Dat wil ik niet. Ik wil niet dat Microsoft mijn privé gegevens ontvangt en telkens mij een code stuurt via sms om in te kunnen loggen. Ik kan ook eventueel een app downloaden maar dan heeft microsoft nog mijn gegevens. Dat wil ik dus niet. Ze hebben mijn volledige naam al en dat vind ik al veel te veel.

Nu heeft de directie bepaald dat wij hierin mee moeten gaan en anders kunnen wij geen gebruik meer maken van microsoft 360. Zonder Sharepoint of mijn mail kan ik vrij weinig..

Ik weet dat AVG een lastig begrip is en dat er nog veel onduidelijk is, maar mijn vraag is, mag een bedrijf dit zomaar doen en wat zijn mijn rechten hierin?

[mhoogendam]

Met een programma op je PC als Winauth kan je heel simpel MFA instellen zonder een mobiele nummer op te geven bij MS: https://winauth.github.io/winauth/download.html

[True]

Je bent niet verplicht hierin mee te gaan, dat kan en mag de werkgever niet van je verlangen.
Het probleem in dit soort zaken is altijd goed werkgeverschap en goed werknemerschap. Als jij (als werknemer) dit niet goed aanvliegt gaat dit ten koste van de band met je werkgever.

Als de werkgever wilt dat je voldoet aan deze eis moet zij met een oplossing komen, een 2fa apparaat wat hierin kan werken zoals een Yubikey (o.i.d. wat werkt met Office 365) of het aanbieden van een telefoon van de zaak (goedkoopste met een sim die je toch op werk laat liggen is een optie).

[ralpje]

Je kunt aan je werkgever vragen of ze je voorzien van een hardware MFA token, waarmee alsnog de challenge kunt voldoen. Ik zie dit veel gebruikt worden bij klanten in de zorgsector, waar niet iedere gebruiker de beschikking heeft over een smartphone. https://www.365dude.nl/20...okens-without-AADPremium/

[Bushie]

Ik kan ook eventueel een app downloaden maar dan heeft microsoft nog mijn gegevens.

Die gegevens heeft MS toch al als je een Office365 account hebt? in de MFA app hoeft je niets meer in te vullen qua gegevens, alleen eenmalig een QR code scannen om te koppelen aan je Office365 account.

[Johnny]

Als de authenticatie via TOTP gaat (met QR code) dan worden er gegevens naar Microsoft. Er zijn allerlei mobiele apps die dit ondersteunen en ze werken lokaal zonder registratie of internetverbinding. Een applicatie zoals WinAuth zoals hierboven genoemd en diverse andere password managers kunnen ook op je PC draaien maar dan moet je die wel kunnen installeren en het ondermijnt het idee van 2FA ook een beetje.

[Cio]

Naam is nodig voor identificatie, moet wel redelijk blijven he! Ook geef je de informatie technisch gezien niet aan Microsoft, maar aan je werkgever (die het door Microsoft laat verwerken!)

Welke reactie kreeg je toen je aangaf je privé telefoon(abonnement) niet voor werk te willen gebruiken?

[ Voor 26% gewijzigd door Cio op 03-07-2019 13:25 ]

[streamnl]

@mhoogendam Dan heeft (denk ik) MFA geen nut meer. En ik sta wel achter het idee van MFA
@True Ik denk ook dat ze mij niet kunnen verplichten maar ik wil eerst mijn rechten en plichten weten voordat ik met de directie ga "onderhandelen".
@ralpje hardware MFA token, kijk. Dit zou een mooie oplossing zijn voor mij. Hopelijk denkt ICT en de directie er ook zo over.
@Bushie Naar mijn weten heeft Microsoft alleen mijn naam. De rest zijn werkgegevens (adres e.d.)
@Cio ik heb geen probleem met mijn naam. Ik snap dat. Mijn prive nummer, daar heb ik wel moeite mee.

Edit: ik heb eerst aangegeven dat ik dit niet wil (via de mail) en ik las daarna in onze "weekbrief" dat de directie dit door wil drukken.Blijkbaar zijn er meerdere die dit niet willen. Ik heb nog geen persoonlijke reactie gehad maar als ik hem gesproken heb, dan laat ik dat wel weten.

@Johnny Ik weet niet wat hoe het precies gaat (ik heb de app niet gedownload).

Maar alvast hartstikke bedankt voor jullie reactie!

[ Voor 18% gewijzigd door streamnl op 03-07-2019 13:41 ]

[ralpje]

streamnl schreef op woensdag 3 juli 2019 @ 13:38:
@ralpje hardware MFA token, kijk. Dit zou een mooie oplossing zijn voor mij. Hopelijk denkt ICT en de directie er ook zo over.

Mocht het een potentiële optie worden: die dingen kosten echt geen drol. Voor nog geen 2 tientjes per stuk scheelt het de organisatie een hoop mopperende gebruikers

[jeroen3]

Volgens mij kun je ook een vaste lijn invullen. Dan leest cortana de code voor.

[Cio]

Je hebt dus geen officiële reactie gekregen? Verbaast me niks, dit is ook bijna niet te verantwoorden.

Soms moet je zelf spullen meenemen/aanschaffen (zoals veiligheidsschoenen, vervoersmiddelen etc) om je werk te kunnen doen. Daar maak je afspraken over bij indiensttreding.

Als je werkgever wilt dat jij voor je werkzaamheden beschikking hebt over een telefoonnummer waarop je SMS'jes kan ontvangen, kan je afspreken dat je dit zelf regelt (en hiervoor mogelijk een vergoeding krijgt).

Ik zou het idee counteren door bij IT de vraag neer te leggen "welke eisen zijn, want blijkbaar moet ik zelf iets regelen en is dit belangrijk voor de beveiliging".

Edit: als je geen zin hebt in gedoe kan je ook kinderachtig beweren dat jouw telefoon de app niet ondersteunt.

[ Voor 7% gewijzigd door Cio op 03-07-2019 14:05 ]

[streamnl]

@ralpje We gaan het meemaken. Ik ga het in ieder geval voorstellen.
@jeroen3 We werken hier met Macbooks. Zag zo vlug niets met Siri. En een vaste lijn werkt ook niet. Welk nummer moet ik dan gebruiken?
@Cio Het gaat mij absoluut niet om het geld. Ik hoef geen vergoeding. Het gaat om mijn gegevens die ik moet afstaan.
Maar we gaan het meemaken. Hopelijk kan ik hem morgenvroeg hierover spreken.


Nogmaals, bedankt ieder.

[F_J_K]

Het geeft geen zwart-wit antwoord, maar toch:

quote: https://blog.iusmentis.co...one-met-chatapp-te-kopen/

eisen dat ze ook bij jou hun privacy te grabbel gooien is volgens mij geen goed werkgeverschap

Als je een telefoon nodig hebt voor werk, dan zou je m.i. mogen verwachten dat de werkgever die verschaft.

Al zie ik niet in waarom je er bang voor bent. Vraag anders de verwerkersoverenkomst tussen MS en je werkgever op, verifieer dat MS de gegevens niet mag gebruiken voor andere doeleinden.

(En als je bang bent dat ze het stiekem toch doen, sja dan kunnen ze dat ook zonder je 06-nr te krijgen.. MS heeft je 06-nummer al lang, ook icm je naam. Die staat immers in het adressenboek van vele mensen. )

[Orion84]

@streamnl ik verplaats je topic even naar Privacy & Beveiliging daar past het wat beter dan in Persoonlijke Financiën, Studie en Loopbaan

[streamnl]

@F_J_K Ik herken me wel bij de reacties eronder (hoop alleen dat ik niet ook zo zuur over kom als sommige daar )

Ik heb ook zitten denken om een oud toestel te gebruiken (nokia 3310 (nostalgie!!) en daar een 5 euro kaartje erin te stoppen. Maar dan zit ik met 2 gsm's te zeulen. Een telefoon met een duoslot heb ik (nog) niet en ik weet niet precies wat er getracked wordt als ik zo'n gsm gebruik.

[Cio]

streamnl schreef op woensdag 3 juli 2019 @ 14:07:
@Cio Het gaat mij absoluut niet om het geld. Ik hoef geen vergoeding. Het gaat om mijn gegevens die ik moet afstaan.

Dat is niet wat ik bedoel. Het gaat er om dat je werkgever wil dat jij iets van waarde inzet voor je werk, daarover maak je vooraf afspraken. Als jij zelf een abonnement + toestel moet regelen moet dat passen bij je functie en beloning. Ik denk dat dit niet het geval is.


Probleem met het bezwaar zoals je het formuleert is dat je werkgever je wel gewoon om je telefoonnummer mag vragen. Ook mogen ze dit door Microsoft laten verwerken (nogmaals, je geeft het niet aan MS!). Hoe/waarvoor ze het verwerken is wel begrensd, maar dat verschil snapt je werkgever duidelijk niet. Dan is dat niet de slimste discussie om aan te gaan.

Je kan makkelijk bezwaar maken tegen verplicht gebruik van persoonlijke abonnementen en apparatuur voor de uitvoering van werkzaamheden.

Ook is het vreemd om 2FA zo buiten de controle van het bedrijf te regelen, dus ingewikkelde vragen stellen bij IT kan in de praktijk het door jou gewenste effect hebben.

[Jazzy]

Cio schreef op woensdag 3 juli 2019 @ 14:26:
Ook is het vreemd om 2FA zo buiten de controle van het bedrijf te regelen, dus ingewikkelde vragen stellen bij IT kan in de praktijk het door jou gewenste effect hebben.

MFA wordt niet buiten de controle van het bedrijf geregeld in dit geval. Het idee is dat je identiteit gecontroleerd wordt met iets wat je weet en iets wat je hebt. Het eerste deel is je wachtwoord. Het tweede deel is iets wat je hebt, dat kan een hardwarekey zijn maar ook een softwarematige oplossing die jij in je bezit hebt.

Als je je telefoonnummer niet bekend wilt maken dan kun je de Authenticator app gebruiken. Die installeer je en authenticeert vervolgens met je zakelijke account, waarna je MFA instelt. Hiervoor hoef je geen privé emailadres of telefoonnummer te gebruiken.

[GlowMouse]

F_J_K schreef op woensdag 3 juli 2019 @ 14:08:
[...]

Vraag anders de verwerkersoverenkomst tussen MS en je werkgever op

Want de werkgever is hier de verwerkingsverantwoordelijke?

Johnny schreef op woensdag 3 juli 2019 @ 13:22:
Als de authenticatie via TOTP gaat (met QR code) dan worden er gegevens naar Microsoft.

Je bent wat woordjes vergeten: Als de authenticatie via TOTP gaat (met QR code) dan worden er geen gegevens naar Microsoft verstuurd.

[Jester-NL]

Over het algemeen is het voldoende om eenmalig een SMS te ontvangen en daarmee binnen een app als (bijvoorbeeld) Authy lokaal op je telefoon de tweede factor aan te laten maken.
Het is niet noodzakelijk dat die ene SMS ook binnenkomt op het nummer dat aan die telefoon gekoppeld is.
Dussssch.... installeer een MFA-app op je privé-telefoon. Activeer MFA in overleg met een collega (en zijn telefoon) en maak vervolgens alleen nog maar gebruik van die app.

Of, realiseer je dat MS inderdaad allang de koppeling naam, emailadres, telefoonnummer, werkgever, ... gelegd heeft (en over het algemeen een stuk beschaafder met die data omgaat dan sommige andere grote, amerikaanse bedrijven, omdat hun core-business niet het verhandelen van die data is, maar zorgen dat al die mensen tevreden en klant blijven) en doe die activatie met je eigen telefoon.

[Stoelpoot]

Wat zitten zoeken, en Microsoft gebruikt TOTP. Dus kan je hiervoor elke willekeurige TOTP app gebruiken, zoals Authy of Google Authenticator.

Zie ook: https://www.digitalcitize...on-your-microsoft-account

[Cio]

Jazzy schreef op woensdag 3 juli 2019 @ 14:30:
[...]
MFA wordt niet buiten de controle van het bedrijf geregeld in dit geval.

Geen zicht op de gebruikte hardware, telefoonnummer/abo niet in eigen beheer. Je vertrouwt blind op de werknemer en kan in de beschreven situatie geen eisen stellen (zoals niet naar China reizen met het toestel).

Deels ook van toepassing bij gebruik van een app (die in de praktijk vereist dat je een account aanmaakt voor een appstore).

Natuurlijk kan je dit allemaal afvangen, maar dat lijkt me duurder (lees: meer werk voor IT en de juristen/auditors) dan iedereen voorzien van een oplossing vanuit het bedrijf.

[ Voor 13% gewijzigd door Cio op 03-07-2019 14:51 ]

[corset]

Grappig, ik heb bij een vorige werkgever deze discussie meerdere keren gehad. En elke keer de standaard reactie "Dan maken we toch een lijst met 10 codes die we uitprinten". Iedereen blij.

Blijkbaar kan Google dat wel begrijpen met hun G-suite, maar Microsoft niet?

[Jazzy]

Cio schreef op woensdag 3 juli 2019 @ 14:43:
[...]

Geen zicht op de gebruikte hardware, telefoonnummer/abo niet in eigen beheer. Je vertrouwt blind op de werknemer en kan in de beschreven situatie geen eisen stellen (zoals niet naar China reizen met het toestel).

En hoe voorkom je dat de gebruiker naar China reist met zijn hardware token? De identiteit wordt beheerd door de werkgever, daarvoor hoeft het device waarop MFA uitgevoerd wordt niet onder beheer van die organisatie te vallen.

corset schreef op woensdag 3 juli 2019 @ 14:55:
Grappig, ik heb bij een vorige werkgever deze discussie meerdere keren gehad. En elke keer de standaard reactie "Dan maken we toch een lijst met 10 codes die we uitprinten". Iedereen blij.

Blijkbaar kan Google dat wel begrijpen met hun G-suite, maar Microsoft niet?

Dat zijn de Google backup codes, die zijn bedoeld voor eenmalig gebruik wanneer je bijvoorbeeld je telefoon bent verloren en niet voor je reguliere authenticatie. Al was het alleen al omdat je na elke tien keer authenticeren een nieuwe lijst met codes moet uitprinten.

[ Voor 36% gewijzigd door Jazzy op 03-07-2019 15:55 ]

[Jester-NL]

Jazzy schreef op woensdag 3 juli 2019 @ 15:50:
[...]
Dat zijn de Google backup codes, die zijn bedoeld voor eenmalig gebruik wanneer je bijvoorbeeld je telefoon bent verloren en niet voor je reguliere authenticatie. Al was het alleen al omdat je na elke tien keer authenticeren een nieuwe lijst met codes moet uitprinten.

When it works...

[RobIII]

streamnl schreef op woensdag 3 juli 2019 @ 13:12:
Ik kan ook eventueel een app downloaden maar dan heeft microsoft nog mijn gegevens.

Euh, je hoeft niet per-se de MS app te downloaden. Er zijn talloze (al-dan-niet FOSS) alternatieven (Google Authenticator, LastPass Authenticator, Authy, FreeOTP, ... ga zo maar door).

[ Voor 3% gewijzigd door RobIII op 03-07-2019 16:05 ]

[Cio]

Jazzy schreef op woensdag 3 juli 2019 @ 15:50:
[...]
En hoe voorkom je dat de gebruiker naar China reist met zijn hardware token? De identiteit wordt beheerd door de werkgever, daarvoor hoeft het device waarop MFA uitgevoerd wordt niet onder beheer van die organisatie te vallen.

Lekker off-topic dit, maar je mag van medewerkers gewoon verwachten (eisen!) dat ze hun werkspullen anders behandelen dan privé eigendom en werkspullen mag je ook inspecteren.

Als een apparaat niet veilig is, is het een stuk moeilijk dit aparaat te gebruiken om iets te beveiligen

Er zijn natuurlijk werkende oplossingen. Maar de hele situatie bij de TS lijkt me zo slecht doordacht, dat de snelste 'oplossing' (geen privé nummer/telefoon gebruiken) is om enkele vragen te stellen over wat hij moet doen om het werkend te krijgen.

[ Voor 16% gewijzigd door Cio op 03-07-2019 16:21 ]

[Jazzy]

Cio schreef op woensdag 3 juli 2019 @ 16:13:
[...]
Maar de hele situatie bij de TS lijkt me zo slecht doordacht...

Ik mis nog steeds de denkfout. En als je dit slecht doordacht vindt dan ben je ook niet echt op de hoogte van hoe bedrijven dit in de praktijk doen.

@streamnl Wie zegt eigenlijk dat je je privé mobiele nummer moet opgeven voor de MFA challenge? Je kunt elke willekeurige telefoon laten bellen. Zo lang je hem maar op kunt nemen en op # kunt drukken.

[Cio]

Jazzy schreef op woensdag 3 juli 2019 @ 20:28:
[...]
Ik mis nog steeds de denkfout. En als je dit slecht doordacht vindt dan ben je ook niet echt op de hoogte van hoe bedrijven dit in de praktijk doen.

SMSjes op het privé nummer van medewerkers is als eerste optie geven en geen hardware tokens aanbieden is wat mij betreft voldoende om te concluderen dat dit slecht doordacht is.

Ik doe een stapel aannames, maar het komt op mij ook over alsof er geen BYOD beleid is en vooraf niet bij de medewerkers is gepolst hoe ze er tegenover staan om hun persoonlijke telefoontoestel te gebruiken.

Dat er veel bedrijven zijn die in de praktijk het gebruik van eigen apparaten verplichten, dat maakt het niet opeens slim. Ik ervaar zo'n aanpak ('gebruik je eigen telefoon/auto/laptop maar') vooral als machtsmisbruik van de werkgever, bedoeld om investeringen te vermijden en mogelijk gemaakt door gebrekkige handhaving van wetgeving. En het blijft zelden bij iets simpels als een enkel smsje, mijn ergste voorbeeld is verplicht gebruik van navigatie-app met locatiedoorgifte.

Wie zegt eigenlijk dat je je privé mobiele nummer moet opgeven voor de MFA challenge? Je kunt elke willekeurige telefoon laten bellen. Zo lang je hem maar op kunt nemen en op # kunt drukken.

SMSje ontvangen met code was het voorbeeld. Maar de oplossing is volgens jou dus maar andermans persoonsgegevens (tel. nummer) gebruiken als je niet op de zaak bent + privé hardware?

[ Voor 14% gewijzigd door Cio op 03-07-2019 21:25 ]

[Jazzy]

Mijn ervaring is dat 99% van de medewerkers er geen enkel probleem mee heeft om een authenticatie-app op hun telefoon te gebruiken. Dan is er natuurlijk 1% die dat niet wil om een veelvoud aan redenen, maar dat is dan met name iets om met je werkgever te bespreken. Persoonlijk zie ik het totaal niet als een probleem. Net zoals je als werknemer gewoon in de baas zijn tijd en met de baas zijn spullen een huisarts mag bellen of je vrouw mag bellen om te zeggen dat je wat later komt. Lijkt me dat dit soort dingen in redelijkheid op te lossen moeten kunnen zijn. Maar nogmaals, als iemand hier een principieel dingetje van wil maken dan moet je dat lekker met je baas bespreken.

Verder noem je SMS als voorbeeld, maar dat zou geen enkele organisatie moeten gebruiken voor MFA omdat dit niet veilig is. SMS kan makkelijk onderschept worden, hoop dat dit inmiddels algemeen bekend is.

[streamnl]

Jazzy schreef op woensdag 3 juli 2019 @ 20:28:
[...]

Ik mis nog steeds de denkfout. En als je dit slecht doordacht vindt dan ben je ook niet echt op de hoogte van hoe bedrijven dit in de praktijk doen.

@streamnl Wie zegt eigenlijk dat je je privé mobiele nummer moet opgeven voor de MFA challenge? Je kunt elke willekeurige telefoon laten bellen. Zo lang je hem maar op kunt nemen en op # kunt drukken.

Niemand. Maar aangezien we op enkele plekken een DECT telefoon hebben, lijkt me het niet wijs om die te gebruiken.


Ik ben er mee eens dat er bij ons enkele zaken beter kunnen.

Edit, lastpass werkt niet. Ik krijg de qr code niet gescand.
Van te voren staat er dit:"Als u deze verificatiemethoden wilt gebruiken, moet u de Microsoft Authenticator-app instellen."

Dus helaas. Een andere app gaat niet lukken

[ Voor 15% gewijzigd door streamnl op 04-07-2019 08:36 ]

[Starke]

streamnl schreef op donderdag 4 juli 2019 @ 08:27:
[...]

Niemand. Maar aangezien we op enkele plekken een DECT telefoon hebben, lijkt me het niet wijs om die te gebruiken.


Ik ben er mee eens dat er bij ons enkele zaken beter kunnen.

Edit, lastpass werkt niet. Ik krijg de qr code niet gescand.
Van te voren staat er dit:"Als u deze verificatiemethoden wilt gebruiken, moet u de Microsoft Authenticator-app instellen."

Dus helaas. Een andere app gaat niet lukken

Als je Lastpass wil gebruiken (Lastpass Authenticator) moet je kiezen voor een QR code zonder notificaties anders kan je hem inderdaad niet scannen met iets anders dan de Microsoft Authenticator.

Edit: Had ik in ieder geval wel met Authy voor mijn Azure / O365 account (ga er vanuit dat dit ook voor andere Authenticator apps dan Microsoft Authenticator zo is).

[ Voor 9% gewijzigd door Starke op 04-07-2019 09:30 ]

[streamnl]

Starke schreef op donderdag 4 juli 2019 @ 09:20:
[...]

Als je Lastpass wil gebruiker (Lastpass Authenticator) moet je kiezen voor een QR code zonder notificaties anders kan je hem inderdaad niet scannen met iets anders dan de Microsoft Authenticator.

Thanks. Straks eens proberen. Als dat wel werkt, ben ik ook geholpen.

(Ook al is er wat van te zeggen om alles bij LastPass te verzamelen... Voor wachtwoorden gebruik ik ook LastPass en daar ben ik erg tevreden over)

[Verwijderd]

Wellicht heb ik er overheen gelezen, maar de MS authenticator verzamelt voor zover ik kan zien geen gegevens met betrekking tot je telefoonnummer.

De camera is 1x nodig voor het scannen van de QR code, toegang tot notificaties is nodig en dat is ongeveer het enige.

Gaat dit trouwens om MFA voor Office 365, of Azure Multi Factor Authentication?

[Jester-NL]

streamnl schreef op donderdag 4 juli 2019 @ 09:28:
[...]

Thanks. Straks eens proberen. Als dat wel werkt, ben ik ook geholpen.

(Ook al is er wat van te zeggen om alles bij LastPass te verzamelen... Voor wachtwoorden gebruik ik ook LastPass en daar ben ik erg tevreden over)

Je hebt er hoegenaamd geen problemen mee om allerlei zaken (e-mailadres(sen), gebruikersnamen, wachtwoorden en devices) te delen met Lastpass, die de afgelopen jaren meerdere keren last hebben gehad van diverse security incidenten, maar wel om je telefoonnummer te delen met Microsoft.

Ik kan dat niet helemaal rijmen.

[Verwijderd]

Jester-NL schreef op donderdag 4 juli 2019 @ 13:27:
[...]


Je hebt er hoegenaamd geen problemen mee om allerlei zaken (e-mailadres(sen), gebruikersnamen, wachtwoorden en devices) te delen met Lastpass, die de afgelopen jaren meerdere keren last hebben gehad van diverse security incidenten, maar wel om je telefoonnummer te delen met Microsoft.

Ik kan dat niet helemaal rijmen.

Wellicht heeft TS er een (voor hem) goede reden voor. Ik vind dat zoiets gerespecteerd moet worden. Maar goed, ik vraag mij dus af in hoeverre het uberhaupt klopt dat MS persoonsgegevens verzamelt met de authenticator app. Ik kan het op mijn iphone niet terug vinden en op mijn Galaxy toestel ook niet.

[powerboat]

streamnl schreef op woensdag 3 juli 2019 @ 13:12:

Nu heeft de directie bepaald dat wij hierin mee moeten gaan en anders kunnen wij geen gebruik meer maken van microsoft 360. Zonder Sharepoint of mijn mail kan ik vrij weinig..

Dan betaald de directie maar een apart telefoon abbonement

[Cio]

Jazzy schreef op woensdag 3 juli 2019 @ 21:32:
Mijn ervaring is dat 99% van de medewerkers er geen enkel probleem mee heeft ... als iemand hier een principieel dingetje van wil maken dan moet je dat lekker met je baas bespreken.

Verplicht gebruik van privé eigendom om je werk te kunnen doen is niet normaal. Dat is geen 'principieel dingetje', maar net zoiets als niet je muis en toetsenbord van werk meenemen als je naar huis gaat. Niet anders met je (persoons)gegevens of een abonnement, toch?

De machtsongelijkheid tussen werkgever en werknemer maakt het voor de meeste mensen onmogelijk dit soort situaties te bespreken.

Er zijn zat mensen zijn die het zich niet kunnen veroorloven hun inkomen op het spel te zetten, of gewoon niet de reserves hebben hun telefoon dezelfde dag te vervangen als deze kapot gaat. Het bedrijf moet zo'n buffer hebben, dat risico hoort niet bij de werknemer!

Als je een functie met redelijke autonomie hebt voor €6000 bruto per maand + winstdeling/bonussen, dan is het niet zo vreemd dat je zelf wat kleine risico's indekt. De kans dat je werkgever je als volwaardig gesprekspartner ziet is redelijk groot, dus er zijn afspraken te maken.

Als je, samen met tientallen collega's, €1600 p/m en een cadeaubon van €25 als kerstpakket krijgt.... dan is de eis dat je elke werkdag een goedwerkende smartphone meebrengt om je werkt te kunnen doen niet redelijk.
Zoiets met de baas bespreken is waarschijnlijk kansloos, je krijgt toch niemand te spreken met beslissingsbevoegdheid. Als dat wel lukt is het waarschijnlijk funest voor je reputatie binnen het bedrijf.

Dat je in de praktijk zo nu en dan eigen spullen gebruikt omdat het wat beter uitkomt kan soms wel, soms niet. Net als het gebruik van de telefoon van de zaak, of een pen of zakje suiker meenemen.
Maar doen medewerkers dit structureel om zelf geen belkosten of suiker te hoeven betalen, zal niemand roepen 'als je daar een principieel dingetje van wil maken, moet je dat lekker met de medewerker bespreken'.

[ Voor 3% gewijzigd door Cio op 04-07-2019 15:52 . Reden: leesbaarheid ]

[ImNotnoa]

streamnl schreef op woensdag 3 juli 2019 @ 13:12:
Op mijn werk willen ze MFA (multi factor authenticatie) gaan gebruiken (goeie zaak!!) maar dan moet ik mijn privé nummer (06) afgeven aan microsoft. Dat wil ik niet. Ik wil niet dat Microsoft mijn privé gegevens ontvangt en telkens mij een code stuurt via sms om in te kunnen loggen. Ik kan ook eventueel een app downloaden maar dan heeft microsoft nog mijn gegevens. Dat wil ik dus niet. Ze hebben mijn volledige naam al en dat vind ik al veel te veel.

Nu heeft de directie bepaald dat wij hierin mee moeten gaan en anders kunnen wij geen gebruik meer maken van microsoft 360. Zonder Sharepoint of mijn mail kan ik vrij weinig..

Ik weet dat AVG een lastig begrip is en dat er nog veel onduidelijk is, maar mijn vraag is, mag een bedrijf dit zomaar doen en wat zijn mijn rechten hierin?

Heb je een vast toestel op je werk ? Hier gebruiken we O365 MFA icm een vaste lijn, medewerker krijgt een telefoontje bij een niet herkende inlog en moet op de #-toets drukken om te bevestigen.

[Jazzy]

Imnoa schreef op donderdag 4 juli 2019 @ 15:49:
[...]


Heb je een vast toestel op je werk ? Hier gebruiken we O365 MFA icm een vaste lijn, medewerker krijgt een telefoontje bij een niet herkende inlog en moet op de #-toets drukken om te bevestigen.

Dat is precies wat ik ook zei. Je kunt gewoon elk willekeurig telefoonnummer opgeven om op gebeld te worden, zie niet precies wat het probleem is met een DECT-toestel.

[Verderf]

Zoals eerder voorgesteld: Vraag om bijv een Yubikey, dat is wat wij ook aanbieden voor de mensen die boven hoog en laag beweren niks prive's voor werk willen gebruiken.

[ Voor 53% gewijzigd door Verderf op 04-07-2019 16:02 ]

[streamnl]

Jester-NL schreef op donderdag 4 juli 2019 @ 13:27:
[...]


Je hebt er hoegenaamd geen problemen mee om allerlei zaken (e-mailadres(sen), gebruikersnamen, wachtwoorden en devices) te delen met Lastpass, die de afgelopen jaren meerdere keren last hebben gehad van diverse security incidenten, maar wel om je telefoonnummer te delen met Microsoft.

Ik kan dat niet helemaal rijmen.

Dat was mij helemaal niet bekend...
In dat geval ga ik ook een vervanger zoeken voor LastPass. Bedankt voor de update.


Over de DECT telefoon. Die hebben wij enkele in onze vleugel. Ik zie het nut niet van mfa als ik dat gebruik. De DECT telefoon staat op een plek waar ik hem niet eens hoor vanaf mijn werkplek.

Na de vakantie zal ik eens voorstellen voor zo'n Yubikey. (Ik kreeg de directie vandaag niet te pakken...)

[segil]

Hier een artikel wat precies gaat over de vraag van de TS:
https://www.security.nl/p...r_+Mag+ik+dit+weigeren%3F

Gewoon uit nieuwsgierigheid: wat heb je (TS) zo tegen Microsoft? Slechte ervaring, of default idee dat onder sommige tweakers bestaat dat MS = Evil ?

[streamnl]

segil schreef op vrijdag 5 juli 2019 @ 18:17:
Hier een artikel wat precies gaat over de vraag van de TS:
https://www.security.nl/p...r_+Mag+ik+dit+weigeren%3F

Gewoon uit nieuwsgierigheid: wat heb je (TS) zo tegen Microsoft? Slechte ervaring, of default idee dat onder sommige tweakers bestaat dat MS = Evil ?

Ik heb niets tegen MS. Integendeel, ze hebben hele goede producten. Het is alleen dat ik het geen fijn idee vind dat weer een ander bedrijf mijn gegevens MOET hebben. Te veel bedrijven hebben al te veel. En als ik het kan voorkomen dat weer een ander bedrijf mijn gegevens ontvangt, dan probeer ik dat.

[Jazzy]

streamnl schreef op vrijdag 5 juli 2019 @ 14:43:
[...]
Na de vakantie zal ik eens voorstellen voor zo'n Yubikey. (Ik kreeg de directie vandaag niet te pakken...)

Waarom, je weet inmiddels toch dat je met de authenticator app verschillende opties kunt gebruiken waarvoor je niet je 06-nummer hoeft op te geven?

[ Voor 3% gewijzigd door Jazzy op 06-07-2019 12:11 ]

[Deurges]

Wat denk je dat kan gebeuren met je 06 nummer? Dat je een keer een telefoontje krijgt van iemand die je niet kent?

Buiten het principiële bezwaar, wat kan er misgaan?

Wij verwachten ook dat mensen de MS app installeren OF een sms code ontvangen. 1 van de 2.
Je kunt een telefoon bestellen als je dat wilt, maar zelfs daar hebben mensen bezwaren tegen, maar ze willen wel thuiswerken.
Ok prima, dan zijn dit de regels. Wil je daar niet aan voldoen, dan kom je maar naar kantoor.

Als thuiswerken geen verplichting is, dan moet je als werkgever helemaal niks. Heb je contractueel eea vastgelegd dat je thuis MOET werken je werkgever, dan is het een ander verhaal.

Je kunt ook niet elke organisatie met elkaar vergelijken. Overheid vs commercieel, klein vs groot. Genoeg factoren die bepalen, welke tools gebruikt gaan worden.
Ik zie veel alternatieven oplossingen voorbij komen, maar een overheid bv gaat geen opensource project uitrollen voor de medewerkers..