公司配发电脑的监控软件，到底能看到你的哪些操作？

沐光而行

前言

      很多打工人拿到公司配发的办公电脑，里面预装了安全、终端管理类软件。不少人心里会犯嘀咕：我在这台电脑上浏览私人网页、登录个人账号、聊私事，后台会不会全部被看见？
      很多网上说法两极分化：有人说敲的每一个字都被记录，也有人说加密网页完全看不见。本文不教你如何规避监控，只把技术边界、什么看得到、什么做不到讲清楚，同时说明根证书这个关键点 —— 一旦安装企业根证书，监控的可见范围会发生质变，最后补充相关法律边界与职场实操建议。

      前提：本文讨论对象为公司所有权的办公电脑；员工个人私有电脑，企业不可以私自安装监控软件。

一、终端监控软件，技术上可以实现哪些能力

监控分为两个层面：本机终端层面（软件装在电脑内部）、网络网关层面（公司路由器、上网行为管理设备）。
1、本机终端管理软件（权限最高）

软件取得系统管理员权限之后，可以做到：

• 屏幕快照 / 定时录屏：按照时间间隔自动截取整个桌面，也可以触发式截屏，打开特定程序、拷贝文件就自动截图。浏览器页面、聊天软件界面、文档内容，只要显示在屏幕上，截图就可以完整记录下来。
• 程序与窗口记录：记录什么软件被打开、运行多久、窗口标题。能看到你打开了微信、浏览器，能看到窗口标题，但默认拿不到聊天软件内部文字内容。
• 文件与外设审计：记录文件新建、修改、删除、复制；U 盘插拔、拷贝文件、打印记录，用于防止企业资料外泄。
• 键盘记录（按键日志）：管理员开启该功能后，电脑敲下的全部按键都会留存日志，包括输入的账号密码、聊天打字内容。该功能属于高敏感能力，很多企业出于合规并不会打开。
  

重点：本机监控不受 VPN 影响。VPN 只加密电脑往外走的网络流量，但监控软件运行在电脑本地，数据在加密之前就已经被抓取，VPN 无法防御本机监控。

2、单纯网络网关层面（没有安装企业根证书）

只靠公司路由器、上网行为网关，不改动电脑系统：✅可以看到：访问的网站域名、访问时间、上网时长、下载文件名；识别出你访问 B 站、招聘网站、购物网站。❌看不到：HTTPS 加密网页里面的具体内容，看不到网页内的聊天文字、搜索详情。

类比：门卫知道你寄信的收件地址，但是信封是密封的，拆不开信封阅读里面文字。

二、质变关键点：企业根证书（中间人解密 TLS 流量）

普通 HTTPS 加密，网关只能看到域名看不到内容。但如果 IT 部门在你的电脑系统证书库里面，安装了企业自制根证书，情况会完全改变。

• 浏览器会信任这枚企业证书；公司网关做中间人代理，把加密流量解开读取内容，再重新加密转发出去。
• 效果：浏览器访问的网页内容、搜索关键词、HTTPS 网页表单输入内容，网关侧都可以解析记录。
• 局限：端到端加密聊天软件（Signal 等）不受该手段影响；普通微信 PC 客户端聊天，内容保存在软件本地，网络侧依旧拿不到聊天文本，需要依靠截屏、键盘记录才可以获取。
  

自查方法：

• Windows：运行certmgr.msc，查看「受信任的根证书颁发机构」，查看是否存在公司、安全网关类陌生证书。
• macOS：钥匙串访问‑系统‑证书，查看企业相关根证书；同时检查「设备管理」是否有企业配置描述文件。
  

提示：很多公司入职安装内网软件、安全客户端，会静默推送安装这张根证书。

三、常见误区：哪些它其实看不到

• 仅仅依靠网络网关，拿不到微信、QQ 本地聊天文字。网络只能识别这是微信流量；聊天内容存储在本机软件，网络层面无法解密。只有开启截屏、键盘记录才可以拿到对话内容。
• 端到端加密通讯工具，就算安装根证书，也无法破解聊天密文。
• 监控软件不能直接读取你手机上的数据。只有电脑才安装了终端代理；手机连公司 Wi‑Fi，最多只能看到手机访问的域名，拿不到手机 APP 内部内容。
  

四、法律与合规边界

根据《个人信息保护法》、《民法典》隐私权相关规定，企业使用监控有几条硬性要求新华网客户...：

• 知情权：应当提前告知员工电脑存在监控，监控目的、监控范围，一般写进员工手册、入职制度；偷偷静默部署全套监控，本身存在合规风险。
• 范围限制：监控应当服务于企业安全、防泄密，应当把采集范围压缩至工作必要，不应当无差别全盘抓取员工私人敏感信息。
• 设备边界：监控只能部署在公司拥有所有权的办公设备，不允许私自对员工个人电脑、私人手机安装监控程序。
• 即便设备属于公司，也不等于可以随意处置设备中留存的员工个人隐私数据。
  

司法实践：未充分告知前提下获取的隐私截图、记录，劳动仲裁中有可能不被法院采信作为证据法治网。

五、普通职场人实操建议

• 公私设备严格分开公司电脑尽量只处理工作事务。私人聊天、浏览个人隐私内容、登录个人账号，优先使用自己的私人手机或者个人笔记本，这是最稳妥的办法。不要抱有 “刷一会儿没事” 的侥幸。
• 不要在公司电脑输入个人重要密码（银行卡、私人社交账号），如果企业开启键盘记录会直接被捕获。
• 不要把私人照片、高度隐私文档长期存放在公司电脑；离职前手动清理个人资料，但不要私自删除公司业务文件。
• 自查证书与管理配置：如果发现大量陌生企业根证书，要意识到 HTTPS 网页内容存在被解析的可能性。
• 了解公司制度：阅读员工手册关于办公设备、信息安全的章节，确认监控相关告知。
  

六、常见认知误区澄清

• 误区：只要网页是 HTTPS 加密，公司就看不到任何内容
  

真相：如果电脑被安装企业根证书，HTTPS 网页内容可以被中间人解密读取；端到端加密聊天软件不受此影响。

• 误区：连上 VPN，就可以避开公司电脑的监控
  

真相：VPN 保护网络传输，但监控软件运行在电脑本地，屏幕截屏、键盘记录不受 VPN 影响。

• 误区：公司电脑所有权是公司，里面所有的个人数据公司可以随便处置
  

真相：设备归属企业不等于可以无限制窥探员工隐私，需要满足告知、目的正当、最小必要的合规条件新华网。

• 误区：网关可以直接抓取 PC 版微信全部聊天记录
  

真相：单纯网络网关做不到；只能通过本机截屏、按键记录获取屏幕上显示出来的聊天内容。

结语

公司办公电脑的监控能力，分两个层级：本机终端软件权限最高，可以截屏、记录文件甚至按键；单纯网络网关能力有限。而企业根证书是一道分水岭，安装之后可以解密绝大多数 HTTPS 网页流量。
技术层面上监控能力很强，但法律上企业监控存在明确边界。对于打工人最现实的原则：公司的设备用来工作，个人隐私交给自己的私人设备，不要在办公电脑处理高度私人敏感事务。