公司配发电脑上的监控软件，到底可以看到你的哪些操作
前言很多职场人都会有这样的顾虑：公司发放的办公电脑，预装了一些用途不明的安全、管控软件。偶尔用它刷购物网页、查看私人信息，心里总会隐隐不安。
很多人分不清技术边界：哪些行为 IT 确实可以记录，哪些只是网上流传的恐慌传言；其中根证书是一条关键分水岭，一旦被安装，设备的监控可见范围会发生质变。本文不教你如何规避监控，而是客观拆解技术能力、合规边界，同时教大家简单自查设备，理清工作设备与个人隐私的界限。
重要提示：本文讨论对象为公司所有权的办公设备；个人自带设备风险逻辑完全不同。企业即便拥有设备所有权，监控行为依然要遵守《个人信息保护法》，需要履行告知、最小必要原则，并非可以无限制窥探员工全部隐私新华网客户...。
一、第一层：仅连接公司 Wi‑Fi / 内网，不改动电脑本身
仅仅接入公司网络，在不修改电脑系统的前提下，网关、上网行为审计设备可以采集的信息有限。
[*]✅可以记录：访问的域名、访问时间、流量大小，例如记录你访问过淘宝、某资讯网站，访问持续多久。
[*]❌看不到 HTTPS 加密网页内部内容：聊天内容、网页表单填写内容、购物车信息、账号密码均无法直接读取。类比快递：只能看到收件地址，看不到包裹内部物品。
误区纠正：开启浏览器无痕模式，并不能躲避网络日志，访问域名依旧会被网关记录，无痕模式只清除本机浏览记录。
质变分水岭：根证书如果公司在你的电脑系统内安装了企业私有根证书，就可以实施中间人攻击。加密 HTTPS 流量会被中途解密审计，再重新加密转发；浏览器地址栏依旧显示安全小锁，但网页里面的内容就可以被审计系统读取。
关键点：中间人攻击，必须在本机安装证书才可以生效。如果你使用自己私人手机、私人笔记本连接公司 Wi‑Fi，公司无法私自安装根证书，即便连内网，也无法解密你手机上 HTTPS 加密内容。
二、第二层：电脑安装企业终端管控软件（风险最高）
公司配发电脑，大多会预装 EDR、数据防泄漏 DLP、终端行为审计软件。此时监控不再依赖网络，哪怕你在家连接自己的私人 Wi‑Fi，只要管控软件后台在运行，依旧会采集本机操作。
终端管控软件技术上可以实现的能力：
[*]进程与窗口采集：记录你打开了什么软件、浏览器标签页标题、Word 文档文件名；
[*]文件与外设操作：记录复制到 U 盘、删除、修改本地文件的操作；
[*]剪贴板记录：记录复制粘贴的文字内容；
[*]定时自动截屏：按时间间隔截取屏幕画面上传服务器；
[*]键盘记录（键盘钩子）：理论上可以记录键盘每一次敲击，包括账号密码；
[*]USB 端口管控、打印行为审计，防止企业资料外泄。
注意：技术能做到 ≠ 企业就一定会全部开启。很多企业只会开启进程、文件审计，出于合规压力，不会全开截屏、键盘记录等高敏感功能。
三、BYOD 自带设备办公，容易踩的坑
很多人用自己私人手机、电脑接入办公，自愿安装企业 MDM 设备管理描述文件。
[*]一旦安装 MDM 管理配置：企业可以查看已安装应用列表、远程擦除本机全部数据、限制系统部分功能。
[*]没有安装任何企业管理配置的私人手机、私人电脑：公司网络只能看到访问域名，无法读取你本机相册、微信聊天、支付宝余额等私人数据，这部分网上很多传言属于过度恐慌。
重点：MDM 属于你主动授权，不要随意安装来源不明的企业配置文件。
四、简单三步，自查公司电脑
1. 检查系统根证书
[*]Windows：Win+R 输入certmgr.msc打开证书管理器，查看「受信任的根证书颁发机构」，如果出现非微软、谷歌、阿里云等公共机构，而是公司名称的私有根证书，代表系统安装了企业私有证书。
[*]Mac：打开「钥匙串访问」，切换到系统‑证书，查看根证书列表。
企业部分办公业务会需要私有根证书，不等于一定开启流量解密审计，只是代表具备该技术条件。
2. 查看常驻后台进程
Windows 打开任务管理器，Mac 打开活动监视器，查看持续开机自启、名字带有安全、终端、防泄漏、EDR 等关键词的陌生进程。很多管控软件名字会做隐晦处理。
3. 查看开机启动项
查看系统开机自启列表，企业管控软件大多设置开机自动运行。
正规企业，监控范围、审计方式，应当写明在员工手册、IT 使用协议，入职时让员工知悉确认；无告知的隐秘监控，存在合规风险。
五、法律层面的边界：不是设备是公司的，就可以随便监控
依据《个人信息保护法》，企业开展员工终端监控，必须同时满足三个条件：
[*]事先告知：显著告知员工监控目的、采集哪些数据，不能偷偷静默部署；
[*]目的正当：仅限保护商业秘密、数据防泄露、办公安全，不能用于窥探员工私人生活；
[*]最小必要：只采集和工作相关信息，不能无差别抓取私人聊天、个人隐私内容。
即便设备所有权属于公司，也不代表可以无限制收集员工私人通信、隐私信息；完全静默不告知的监控行为，涉嫌侵犯个人信息权益与通信秘密新华网客户...。
六、给职场人的实操建议
[*]设备边界原则：工作设备只处理工作事务不要在公司电脑登录私人微信、私人邮箱、个人账户，不要浏览、处理病历、家庭财务等高度敏感私人内容。不是不信任 IT 同事，而是技术上存在采集可能性，避免个人隐私混入企业系统，双向保护自己与公司。
[*]区分风险场景：公司配发电脑风险＞私人设备连公司 Wi‑Fi。自己的手机、笔记本，不要随意安装企业 MDM、私有根证书。
[*]查阅员工手册、IT 设备使用协议，确认企业的监控审计规则。遇到完全无告知的静默监控，可以向 HR、合规部门提出疑问。
[*]不要迷信无痕浏览、网页加密，在已经安装管控终端软件的公司电脑，本地截屏、进程记录不受网页加密保护。
七、大众常见认知误区澄清
误区 1：连公司 Wi‑Fi，手机里面微信聊天内容就全部会被看到。纠正：私人手机没有安装企业根证书与管控软件，网关只能看到访问域名，看不到聊天内容。
误区 2：公司电脑只要 HTTPS 带小锁，网页内容就绝对不会被偷看。纠正：如果系统安装企业私有根证书，浏览器依旧显示安全小锁，但网页内容可以被中间人解密审计。
误区 3：公司电脑是公司花钱买的，所以可以随意记录键盘密码、私人聊天。纠正：设备所有权不等于无限制监控权限，监控需要遵守个人信息保护相关法律，遵循告知和最小必要原则。
误区 4：只要签署员工手册，企业就可以无限制抓取所有屏幕、键盘记录。纠正：签署文件不代表可以无限度过度采集私人信息，监控依旧要限定在工作必要范围内。
结语
公司办公电脑的监控能力，分为网络网关、系统根证书、终端管控软件三个层级。网络层只能看到访问域名；一旦安装私有根证书，网页加密流量存在被解密审计的风险；安装终端管控软件之后，本机几乎全部操作都具备被记录的技术条件。
最稳妥的保护方式，就是守住设备边界：公司的设备用来做工作，个人隐私事务，使用自己私人手机、私人电脑处理。技术有能力做到什么，和企业实际开启了什么、是否符合法律规定，这是三件不一样的事。
页:
[1]