Tot op welke hoogte mag je de productiviteit van medewerkers controleren met IT-middelen?

Een cybersecurityspecialist is geen bedrijfsrechercheur. Loggegevens verzamelen om een aanval te stoppen is iets heel anders dan achteraf uitpluizen wie om 8.57 uur inlogde of een muisbeweger gebruikte; doelbinding is geen hinderlijke formaliteit maar juist de grens tegen dit soort function creep. En als de directeur zo graag controle wil, laat hij dan eerst zorgen voor een reglement, instemming van de OR en een schriftelijke opdracht — niet de IT’er voor zijn juridische karretje spannen.

Monitoren kan nodig zijn om aanvallen te zien, maar productiviteit meten via muisbewegingen en inlogtijden zegt vooral iets over wie er handig met systemen omgaat... niet over wie z’n werk doet. En wie bewaakt eigenlijk de bewakers, als al die logs later voor heel andere doelen worden gebruikt?

Het grootste risico zit niet eens in de meting, maar in de bewaartermijn. Een log die vandaag voor een incident nodig is, ligt over twee jaar ineens bij HR omdat iemand “een patroon” ziet. Zet vooraf een harde vernietigingsdatum en laat toegang loggen, anders wordt tijdelijke beveiliging gewoon een personeelsdossier.