Medewerkers filmen tijdens werk

[Squ1zZy]

<verwijderd>

[ Voor 98% gewijzigd door Squ1zZy op 08-11-2020 17:19 ]

[JdM]

Wat is een red team? En nee, lijkt me niet toegestaan.

[Tsurany]

Het hangt er ook vanaf hoe je filmt. Constant medewerkers filmen is heel wat anders dan medewerkers die kort in beeld komen terwijl je een pand binnen loopt.

[Squ1zZy]

<verwijderd>

[ Voor 94% gewijzigd door Squ1zZy op 08-11-2020 17:19 ]

[CAPSLOCK2000]

In principe mag dat als je het goed aanpakt. Uiteraard heb je toestemming van de bedrijfsleiding nodig.

Daarnaast zul je aannemelijk moeten maken dat er geen minder zwaar middel is dat hetzelfde doel kan bereiken. Om te bewijzen dat je binnen bent geweest hoef je niet te filmen, je zou ook een appeltaart kunnen achterlaten op het bureau van het hoofd beveiliging, of zo iets. (Dan heb je direct een mooie gespreksopener: "Zeg, hoe was de appeltaart?")

Er zijn best situaties waarin filmen wel de beste oplossing is zodat je kan laten zien waar het fout gaat en hoe makkelijk het was om binnen te komen.

Het maakt overigens wel verschil of je vaste camera's ophangt waarmee je voortdurend filmt, of dat je éénmalig met een mobiele camera filmt.

Als je dit commercieel doet zou ik professionele juridische hulp zoeken.

[edeboeck]

CAPSLOCK2000 schreef op woensdag 6 november 2019 @ 15:58:
Als je dit commercieel doet zou ik professionele juridische hulp zoeken.

Dit!

[evilution]

Ik maak wel eens oefeningen mee met o.a. hulpdiensten waarbij ook foto/video opnames worden gemaakt. Dit wordt van tevoren aangegeven en gevraagd of er mensen zijn die er bezwaar tegen hebben. Daar wordt dan rekening mee gehouden.

[Squ1zZy]

<verwijderd>

[ Voor 96% gewijzigd door Squ1zZy op 08-11-2020 17:19 ]

[DiedX]

Maar, wil je het? Want mensen gaan echt niet vrolijk worden van het feit dat jij social geengineered hebt. Ik zou hier twee keer over nadenken, en nog even overleggen met de klant.

[Squ1zZy]

<verwijderd>

[ Voor 97% gewijzigd door Squ1zZy op 08-11-2020 17:19 ]

[DiedX]

zorg in ieder geval voor opvang.

[Trommelrem]

Squ1zZy schreef op woensdag 6 november 2019 @ 22:33:
[...]


Nee, maar ook dit is lastig. Blijkbaar kan mijn werkgever mij dit opleggen. “Part of the job” blijkbaar. Ik vind het niet ethisch en heb aangegeven dit niet meer te willen uitvoeren. Ik heb daar nog geen concreet antwoord op.

Ik zou het niet eens uitvoeren. Als je gaat filmen dan kunnen medewerkers behoorlijk boos worden. Je zal net iemand tegenkomen die net slecht nieuws heeft ontvangen, dat niet zelf kan verwerken en jou een klap geeft. Geen enkele bedrijfsverzekering die jou schadeloos zal stellen.

[CurtPoindexter]

DiedX schreef op woensdag 6 november 2019 @ 21:13:
Maar, wil je het? Want mensen gaan echt niet vrolijk worden van het feit dat jij social geengineered hebt. Ik zou hier twee keer over nadenken, en nog even overleggen met de klant.

Nee dat is het hele punt van een pentest / social engineering test

Ze mogen blij zijn dat het een test was!

Voor TS, ik zou zelf gewoon *niet* filmen. Het is nergens voor nodig, behalve om mensen te kakken te zetten. Als je graag beeldmateriaal wilt, maak dan zelf een filmpje na de actie met mensen die 'acteren'.

Dan pas kan je een fatsoenlijke afspraak maken met die mensen over het beeldmateriaal en de rechten daar op. Want een "modellencontract" (wat dat feitelijk wordt) houdt ook rekening met mensen die uit dienst gaan, overdraagbare rechten, gebruik in commerciele zin, etc etc etc.

Zomaar mensen filmen en dan gebruiken in een presentatie zou ik zelf nooit in mijn hoofd halen. Ik bedoel, ik herken mijn afdelingssecretaresse nog als je haar hele lijf blurt en haar stem vervormt. En dan komen ze bij jou in beeld omdat ze je binnen hebben gelaten. Ik zou de werkgever zijn kop afhakken als-ie dat toestaat.

Als je per se een filmpje wilt maak het achteraf. Met die mensen zelf, als ze dat willen. Maar dan kan je er onder zetten "in scene gezet" en dan hoeven die mensen geen gezichtsverlies te lijden.

Trommelrem schreef op donderdag 7 november 2019 @ 06:19:
[...]

Ik zou het niet eens uitvoeren. Als je gaat filmen dan kunnen medewerkers behoorlijk boos worden. Je zal net iemand tegenkomen die net slecht nieuws heeft ontvangen, dat niet zelf kan verwerken en jou een klap geeft. Geen enkele bedrijfsverzekering die jou schadeloos zal stellen.

Sorry maar ik denk dat de kans groter is dat TS de terugkomst van Jezus op aarde filmt dan dat dit zal gebeuren.

[ Voor 15% gewijzigd door CurtPoindexter op 07-11-2019 06:21 ]

[sh4d0wman]

Draai het net als een phishing test: niet herleidbaar naar een specifiek persoon.
B.v. x aantal medewerkers hebben op een malafide link geklikt.
In jou geval zal dat dan zijn: bij x aantal medewerkers kon ik door tailgating een beveiligde zone binnen komen.

Het probleem zal dan voornamelijk bij de klant zitten welke je rapportage niet vertrouwd zonder video bewijs. Een beetje vergelijkbaar met "ik huur je in om mijn netwerk te beveiligen, hoe weet ik dat je het niet hackt?".

Met figuranten naspelen zou kunnen maar waar video meerwaarde kan bieden is het laten zien hoe je fysieke beveiliging kunt omzeilen. B.v. lockpicking, remote door sensor trigger, onafgesloten deuren/kasten, etc.

[Squ1zZy]

<verwijderd>

[ Voor 97% gewijzigd door Squ1zZy op 08-11-2020 17:19 ]

[CurtPoindexter]

Squ1zZy schreef op donderdag 7 november 2019 @ 07:17:
[...]


En toch is het wettelijk toegestaan om te filmen en mag je werkgever je dit vragen in een bepaalde rol en in het belang van het bedrijf. Het zit mij niet lekker en ik ga ook het gesprek aan met mijn werkgever, maar dat neemt niet weg dat er wettelijk niets mis mee is. Dat maakt het punt ook lastig vind ik.

Dat maakt het niet per se lastig. Dat is slechts één argument in een zaak die overduidelijk niet zwart-wit is.

Als je simpelweg terug gaat naar de oorspronkelijke vraag valt de noodzaak van filmen al weg als je verder kijkt dan je neus lang is:

Als ik wil aantonen dat het mogelijk is om fysiek naar binnen te komen bij een bedrijf, mag ik dat dan filmen?

Waarom wil je dit filmen? Als "bewijs"? Niet nodig, laat maar een appeltaart achter (zoals eerder gemeld). Sterker nog, je zou zelfs de appeltaart als decoy kunnen gebruiken. Maar dat terzijde.

Wil je filmen voor een personeelsdossier? Het is voldoende om schriftelijk aan te geven dat je er doorheen bent gekomen.

Wil je filmen om vast te leggen *hoe* je het hebt gedaan? Audio lijkt me voldoende. Puur voor je eigen aantekeningen.

[Squ1zZy]

<verwijderd>

[ Voor 98% gewijzigd door Squ1zZy op 08-11-2020 17:18 ]

[Blokker_1999]

Squ1zZy schreef op donderdag 7 november 2019 @ 07:17:
[...]


En toch is het wettelijk toegestaan om te filmen en mag je werkgever je dit vragen in een bepaalde rol en in het belang van het bedrijf. Het zit mij niet lekker en ik ga ook het gesprek aan met mijn werkgever, maar dat neemt niet weg dat er wettelijk niets mis mee is. Dat maakt het punt ook lastig vind ik.

Als het niet goed voelt, inderdaad het gesprek aangaan met de werkgever. En als daar niet het gewenste resultaat uitkomt, moet je ook durven de volgende stap zetten en een andere job zoeken. Heb het zelf ook gedaan na meer dan 14 jaar bij eenzelfde werkgever.

[Squ1zZy]

<verwijderd>

[ Voor 98% gewijzigd door Squ1zZy op 08-11-2020 17:18 ]

[Luchtbakker]

Volgens de privacy voorwaarden mag een werkgever geen toestemming geven voor andere werknemers, mits de werknemers des tijds schrijftelijk aan de werkgever kenbaar hebben gemaakt geen problemen te hebben met het opnemen en verspreiden van opnames.

Als er 1 iemand tussen zou zitten die het geweigerd heeft dan moet je diegene onherkenbaar maken zodat diegene niet identificeerbaar is.

[Squ1zZy]

<verwijderd>

[ Voor 98% gewijzigd door Squ1zZy op 08-11-2020 17:18 ]

[Helixes]

Squ1zZy schreef op dinsdag 5 november 2019 @ 20:23:
Mag ik tijdens een red team medewerkers filmen met goedkeuring van het bedrijf? Als ik wil aantonen dat het mogelijk is om fysiek naar binnen te komen bij een bedrijf, mag ik dat dan filmen? Er is een vrijwaring en de filmpjes worden geblurd (gezichten), maar mag dat volgens de wet? De medewerkers zijn niet op te hoogte namelijk.

Ik zou zeggen dat het bedrijf dat je inhuurt verantwoordelijk is voor de privacy van diens medewerkers. Normaal dekt het privacy statement van een bedrijf de acties van de door hun ingehuurde bedrijven af.

Dus... vraag het je opdrachtgever. Als zij je toestaan om je acties (en daarmee personeel) te filmen, dan zijn zij verder verantwoordelijk. Daarmee moet jij je overigens dan wel weer houden aan de GDPR-richtlijnen van datzelfde bedrijf.

In de praktijk kun je dit vergelijken met een beveiligingsbedrijf dat wordt ingehuurd door de opdrachtgever. Ook die maken vaak bewakingsbeelden, en zijn een derde partij.

[makje]

Vergeet niet dat er verschil zit tussen "mag je filmen" en "wat mag je vervolgens met de film doen". Filmen tijdens de aktie en dan bijvoorbeeld de video en beeld gebruiken bij het accuraat achteraf opstellen van het rapport is iets compleet anders dan (delen van de) film uitzenden op een bedrijfsbijeenkomst.
Mensen die herkenbaar in beeld komen hebben natuurlijk altijd nog hun rechten, die kan het bedrijf niet weggeven voor hun, maar kunnen wel ondergeschikt zijn aan het bedrijfsbelang. Voorbeeld: bij interne diefstal bijvoorbeeld, mag je de beelden gebruiken maar waarschijnlijk niet (semi)publiek uitzenden.

[Qwerty-273]

Squ1zZy schreef op donderdag 7 november 2019 @ 10:53:
Beeldmateriaal komt veel beter aan bij het bedrijf. Dat is de reden waarom wij dit laten zien.

Is dat specifiek deze klant die ander materiaal niet op waarde kan schatten? Is dit een klant waarbij het echt het eigen personeel op film vastgelegd moet worden om de zwakheden aan te tonen? Of is het de mening van jouw werkgever dat echt beeld materiaal (bij de klant) beter laat zien wat jullie doen?

Laat je de film alleen zien tijdens het presenteren van de resultaten van het onderzoek, of geef je het beeldmateriaal aan de klant? Waarna je er zelf dus geen controle meer over hebt.

Wat doen jullie als dit beeldmateriaal vervolgens gebruikt wordt voor het aanzeggen van ontslag van één of meerdere werknemers bij de klant? Waar de werknemers niet in beroep gaan, maar als een mak schaap een andere baan gaan zoeken (ie er niemand gaat toetsen of de reden van het ontslag wel de juiste basis heeft).

[Batavia]

Squ1zZy schreef op donderdag 7 november 2019 @ 10:41:
[...]


De vraag was of het wettelijk is toegestaan om mensen te filmen op hun werkplek zonder dat ze er vanaf weten. Dat mag wettelijk gezien dus. De vraag was niet hoe de werkzaamheden uitgevoerd moet worden.

Er zijn wettelijke mogelijkheden. Het filmen is niet algemeen verboden, maar dat hangt er dus ook van af wat je doet met het beeldmateriaal. Aan een medewerker in een 1-1 gesprek laten zien en daarna meteen verwijderen is al weer heel wat anders dan het opnemen in een training voor nieuwe medewerkers van "dit had je nooit moeten doen"

Je moet er van uit gaan dat een werknemer nooit toestemming KAN verlenen (zwakke groep onder GDPR). Heb je dan meegenomen wat het belang van de werknemer is in het toch maken van deze beelden. Als je daar een verhaal bij hebt kom je in de goede richting. Dat het makkelijk en overtuigend is voor de werkgever is ondergeschikt.

[smurfinmark]

Wat ik hier mis is dat het installeren van een personeelsvolgsysteem binnen de Wet op de Ondernemingsraad een instemmingsplichting onderwerp is.

Dit houdt in dat het installeren van camera toezicht door de OR goedgekeurd moet worden.

De OR zal dan weer willen weten waarom/waarvoor etc...

[Qwerty-273]

Het gaat hier dus niet om een personeelsvolgsysteem. Het gaat om opnames van de 'actie' die de TS / collega's gaan uitvoeren. De centrale persoon in het beeld zal de TS zijn (van de zijlijn door een collega of als pov). Het volgt dus niet de wandel en handel van het personeel als uitgangspunt. Maar een aantal mensen van het personeel is natuurlijk wel vol in beeld als deel van de opnames.

[Ionicawa]

Is het nodig om medewerkers herkenbaar in beeld te brengen? (bedenk dat omgeving vaak ook terug te leiden is naar bepaalde medewerkers als het niet om 100% flex plekken gaat) Als dat niet zo is dan is het niet zo'n probleem, zolang je er dus voor zorgt dat medewerkers niet geïdentificeerd kunnen worden aan de hand van de beelden. Focus het beeld op de computer en als dit niet kan maak het beeld dan zwart bij de editing zodat je alleen de audio opname hebt. Gebruik ook stemvervormers.

IANAL, maar bovenstaande lijkt mij over het algemeen goede tips om je aan te houden. Als de baas jou de opdracht geeft om dit te doen ligt de verantwoordelijkheid in principe bij die baas. Om jezelf in te dekken moet je dat wel op papier hebben.

[garriej]

Plus, als je gaat lopen filmen als iemand die daar niet thuis hoort, gooi je dan niet gelijk je "cover" weg. Als je binnen ben wil je toch kijken hoever je binnen kan komen? Patchruimte? Serverkast? een rogue device in het netwerk hangen?

[Jan-man]

Als jij ongevraagd iemand gaat filmen op een locatie die niet vrij toegankelijk is en die beelden dan ook nog gaat gebruiken?

Ten eerste snap ik niet waarom een werkgever hier aan zou willen meewerken! Je loopt gewoon 99% kans dat dit gezeur op de werkvloer gaat opleveren.

Daarnaast is het filmen een cruciaal onderdeel voor het uitvoeren van de opdracht ? Zoals ik het lees niet namelijk en zou het ook best zonder filmen kunnen.

Ik zou me dus echt afvragen of je het wel wil en of het in het belang van de test/onderzoek is.

Als mij namelijk zoiets zou overkomen zou ik echt pissed zijn en veel collega's van mij ook. Zeker gezien het een gevoelig onderwerp is.

Doet een beetje denken aan die school in Veenendaal waar ze overigens wel op de hoogte waren van het filmen maar dat er niet werdt gecommuniceerd dat er acteur in het spel waren.

[Anoniem: 39993]

Squ1zZy schreef op donderdag 7 november 2019 @ 10:53:
[...]


Ik merk dat de meeste er wel hetzelfde in zitten. Het is wettelijk toegestaan en mijn werkgever mag mij ook dwingen deze werkzaamheden uit te voeren. Dat het niet goed zal zijn voor de relatie snap ik.

Ik ga de discussie aan met mijn werkgever en vind het wel interessant hoe andere erover denken. Beeldmateriaal komt veel beter aan bij het bedrijf. Dat is de reden waarom wij dit laten zien.

Als dat dé reden is om te gaan filmen, dan ga je aan het kortste eind trekken. Je zult een zwaarwegend belang moeten kunnen aantonen, wat de belangen van de werknemers overstijgt. "Dit komt beter aan bij het bedrijf." is dat zeker niet.

Dus je zult eerst voor jezelf duidelijk moeten hebben welk zwaarwegend belang je dient met het maken en gebruiken van beeldmateriaal en aan de hand daarvan bepalen of het belang inderdaad dermate groot is, dat je de belangen (en rechten) van de werknemers kunt negeren.

Maar als je dit professioneel doet, dan zou je dit eigenlijk toch al wel eerder "afgetikt" moeten hebben. Ik ga er dus vanuit dat je een externe bent, want als jij dit als "collega" stiekem gaat uitvoeren, dan zijn de resultaten van je actie hoe dan ook waardeloos. Jij zou dan immers een bekend gezicht zijn voor de medewerkers en ze zullen dan zeker anders reageren/handelen als dat ze zouden doen bij een vreemde.

Dit is natuurlijk een heel andere situatie dan onderzoek uitgevoerd door een bedrijfsrechercheur (ook gewoon een commerciële partij), die naar aanleiding van een reeks diefstallen (bijvoorbeeld) gebruik maakt van video. Dan is er een duidelijk aantoonbaar (dossier met onder andere aangiften en resultaten van initieel intern onderzoek) zwaarwegend belang. Ook zal de aard van deze opnamen heel anders zijn.

[Rmg]

Dit soort audits zijn toch vrij normaal bij grote bedrijven

De presentaties die wij na zo audit te zien kregen was het voor de directe collega's altijd wel te zien wie de duidelijke steken had laten vallen maar heb nooit gehoord dat er directe consequenties aan hingen. ( bij audits)

Beeldmateriaal kan imo ook juist helpen om een beeld te geven bij hoe sociale engineering nou in het Echt werkt. En dat is een stuk beter over te brengen als je filmmateriaal hebt waar collega pietje er in trapt ipv 2 acteurs die een toneelspel doen

[Frogmen]

Ik denk dat je vooral moet kijken naar de eventuele gevolgen en manier van presenteren belangrijkste is dat het bekend is bij de OR soms heiligt het doel de middelen. We hebben ooit een verborgen camera in een toilet voorportaal opgehangen omdat deze steeds weer bewust verstopt werden (pleerol in de pot). Helaas stopte het meteen dader niet gepakt maar ook nooit de beelden bekeken. In dit geval denk dat het vooral van belang is wie gaat de beelden zien en wat wordt er mee gedaan.
Heel simpel als blijkt dat je wel heel erg veel medewerking krijgt terwijl medewerkers getraind zijn om dat niet te doen. Wie is dan de sukkel?