Mi director ejecutivo quiere acceso permanente a los correos electrónicos de todos los empleados. ¿Cómo explico que esta es una idea terrible?

Usted dice que tiene un Oficial de Cumplimiento. Me parece que deberías pedirle alguna orientación al respecto. Si no está en la oficina hoy, puede esperar. Dudo que algo malo pueda pasar en unos pocos días.

Si se encuentra con cierta incertidumbre, simplemente presione las implicaciones de seguridad de que una computadora tenga acceso a todos los correos electrónicos de la compañía y lo que podría suceder si esa computadora se deja desbloqueada y desatendida...

Como comentario adicional, parece que su CEO realmente no tiene idea de lo que está sucediendo en la empresa (si un empleado puede pasar desapercibido durante dos semanas). Podría ser mejor corregir este comportamiento y la falta de supervisión mediante llamadas/correos electrónicos/informes de estado/lo que sea regulares para ponerse al día. Hay una clara falta de comunicación básica.

No deberías hacerlo. Es poco probable que realice algún cambio, y puede dañar su reputación con el jefe.

El director general podría haberle hecho esta solicitud a su proveedor de TI en privado, pero optó por hacerlo frente a todos ustedes. Este fue un cálculo de su parte.

Quiere que sepa que sus correos electrónicos de trabajo pueden y serán revisados. Es muy posible que sea un error de su parte (estamos de acuerdo en esto), pero si es así, es un error en el que ha pensado . Ha tomado una decisión, y es poco probable que sus argumentos lo convenzan.

Debido al efecto Streisand , su afirmación de que esta es una mala idea podría convertirlo en un objetivo y someter su bandeja de entrada de correo electrónico a un mayor escrutinio.

Tampoco recomendaría llevarlo a Recursos Humanos. En mi opinión, hablar directamente con Recursos Humanos en lugar de con el CEO sería peor. RRHH está ahí para proteger los intereses de la empresa, no los recursos en sí.

Si es absolutamente necesario presentar una queja, debe hacerlo en persona directamente con el director ejecutivo, cara a cara, sin nadie más en la sala. Explíquele por qué la decisión es mala para la empresa. No hables de tus sentimientos ni te incluyas de ninguna manera. Hablar de la empresa y de los empleados. Hable acerca de la moral y la retención de empleados.

Es poco probable que cambie su postura, pero si es bueno como director general, te escuchará y puede que te respete por tu valentía si no pareces un quejumbroso.

Si fuera yo no lo haría, pero si lo hiciera lo haría personalmente, uno a uno, y hablaría de las preocupaciones de la empresa, no de mis propias preocupaciones desde una perspectiva personal.

El personal apropiado de la empresa debe y tendrá acceso a todas las cuentas de la empresa cuando sea necesario. No hay argumento de privacidad; cualquiera que crea que cualquier cosa que se haga en el equipo de la empresa es privado no es realista en el mejor de los casos. La tienda de IS, si nadie más, ciertamente tiene acceso ahora a menos que tenga un entorno excepcionalmente protegido con claves de cifrado administradas desde otra parte de la empresa.

Sin embargo, existen cuestiones sobre la definición de "personal apropiado" y "en caso de necesidad". Sin duda, hay algunos datos, por lo general, entre otros, problemas de salud y algunos tipos de datos de clientes (por ejemplo, información de HIPAA, en los EE. UU.), que no deben exponerse, excepto en casos de necesidad específica , para proteger a la empresa de demandas. Y hay cuestiones generales de seguridad y rendición de cuentas.

El CEO tiene razón sobre la necesidad de un proceso para hacer esto. El CEO se equivoca al querer que el proceso sea “porque me apetecía”. El camino correcto aquí es dejar en claro que se necesitan controles para proteger a la empresa y establecer un mecanismo adecuado para abordar el problema legítimo dentro de esos controles.

La empresa necesita acceso. El CEO no necesita acceso continuo sin iniciar sesión. Implemente una política explícita de retención y control de datos que reconozca esas limitaciones. Hay muchas buenas referencias sobre este tema, sobre todo en las secciones de SE que se centran en la seguridad y la administración del sistema.

Para resumir, le preocupa que sea difícil comunicarse con un empleado específico, por lo que le pidió que le enviara sus correos electrónicos.

No explica lo que significa "difícil de contactar", pero supongamos que significa que la persona solo necesita responder correos electrónicos y llamadas telefónicas importantes el mismo día durante el horario comercial, y ese no es el caso actualmente.

¿Qué problemas se resolverían al permitir que el CEO lea el correo electrónico de esta persona? ¿El empleado no responde a los clientes o socios? Si es así, entonces tal vez la persona esté sobrecargada o en el rol equivocado.

¿Por qué es difícil contactar a este empleado, en primer lugar? ¿Viaje? ¿Otras responsabilidades? El director ejecutivo, RRHH o el gerente directo de ese empleado debe trabajar con ese empleado para elaborar un protocolo de comunicación que sea aceptable para todas las partes. Si el empleado es simplemente irresponsable, entonces no tiene sentido crear gastos administrativos adicionales para el director ejecutivo haciendo que cuide al empleado. El CEO debe poder confiar en quienes trabajan para él para hacer su trabajo, y debe centrarse en la estrategia de nivel superior en lugar de los detalles de nivel inferior que presumiblemente le ha confiado a este empleado. Si esta persona no puede comunicarse de manera confiable y puede causar daños, como permitir que un trato fracase al no responder dentro de un período de tiempo razonable, entonces esos deberes deben encomendarse a otra persona.

y luego decidió que también podría obtener acceso preventivo a los correos electrónicos de todos en nuestra empresa de ~15 personas.

Ya ha identificado muchas razones por las que esta es una mala idea. Es posible que simplemente no lo haya pensado y pensó que sería una solución conveniente para evitar problemas similares con otros empleados. Si te sientes cómodo hablando con él directamente, hazlo. De lo contrario, informe a un gerente apropiado sobre su inquietud y pídale que hable con él al respecto, posiblemente sin nombrarlo (si eso es una inquietud).

Si esto se lleva a cabo, en el mejor de los casos, su director ejecutivo tendrá que dedicar más tiempo a duplicar el esfuerzo de otra persona al leer los correos electrónicos y, en el peor de los casos, se estará exponiendo potencialmente a responsabilidades legales en el futuro. Si alguien hace algo inapropiado y no interviene porque no tuvo tiempo de leer un hilo de correo electrónico sobre conducta sexual inapropiada o soborno u otra actividad ilegal, no se verá bien que tenga todos estos correos electrónicos en su bandeja de entrada. Tal vez contrate a una secretaria para manejar su correo electrónico en algún momento. Se podría argumentar que debería haber estado al tanto porque tenía acceso ilimitado al correo electrónico de todos, pero no actuó.

Simplemente puede informarle a su director general sobre las vulnerabilidades de seguridad. Lo que creo que su CEO está tratando de lograr es simplemente monitorear lo que sucede en la organización. Hay una mejor manera. Desde la configuración de correo electrónico, puede configurar para reenviar cualquier correo electrónico, que un empleado envíe o reciba, al director ejecutivo sin dar acceso directo al director ejecutivo. Esta es una práctica normal. lo he experimentado Por configuración me refiero a dónde configuras los correos electrónicos oficiales, no la interfaz. FYI, no baja la moral de los empleados.

Debe decirle a su CEO que contrate o consulte a un investigador de TI. Están mucho más calificados que su CEO y pueden encontrar fácilmente más "suciedad" en el empleado deshonesto que su CEO.

Están capacitados para ello y saben cómo hacer su trabajo sin que su empresa tenga problemas legales.

Creo que si presenta esto como un argumento de venta a su director ejecutivo, funcionará: "encontrar más suciedad", "menos problemas legales potenciales".

Por supuesto, no sé qué tan amigable eres con tu CEO, pero si tu relación es buena, podrías preguntarle: "Si quieres un pastel, ¿lo harías tú mismo o dejarías que un profesional lo hiciera?". Lo mismo para una investigación: Contratar profesionales.