去年秋天，公司我在一家中型互联网公司做技术顾问。内部入职第三天，网络IT部门发来一封邮件，监控附件是公司《网络使用行为规范》，里面明确写着：公司有权记录并审查员工通过公司网络传输的内部所有数据。同一天下午，网络我打开浏览器想查点资料，监控页面刚加载出来，公司屏幕右下角弹出一个提示框——“您正在访问的内部网站已被安全策略拦截”。我点开详情，网络发现拦截原因写着“非工作相关”。监控

这不是公司个例。绝大多数公司都会监控内部网络，内部区别只在于监控的网络深度和广度。你连上公司Wi-Fi那一刻，流量就已经经过网关设备。防火墙、代理服务器、入侵检测系统，这些名词听起来像安全术语，实际上它们都在记录你的行为。访问了哪些IP、用了什么协议、传输了多少数据、什么时间段活跃——这些元数据全都被留存下来。我见过一家两百人规模的公司，IT主管能随时调出任意员工过去三个月的上网记录，精确到分钟。

有人觉得用HTTPS就安全了。加密确实让内容不可见，但目标域名、连接时间、数据包大小依然暴露。打个比方，监控系统看不到你信里写了什么，但知道你给谁寄了信、寄了多厚一沓、什么时候寄的。公司如果部署了SSL中间人证书，连内容都能解密。我见过最极端的做法：某金融公司给每台办公电脑装了根证书，所有HTTPS流量在网关处被拆开检查，员工浏览器地址栏那个小锁图标形同虚设。

监控不止于网络层。很多公司会在电脑上装终端管理软件。这类软件能截屏、能记录键盘输入、能追踪文件操作。我认识一个做运维的哥们，他所在公司的软件每三十秒截一次屏，存到服务器上保留半年。他说有次同事在上班时间刷招聘网站，第二天就被主管叫去谈话，谈话记录里直接附上了截图。

那公司到底为什么要监控？理由通常有两个：安全和效率。安全方面，防止数据泄露、阻止恶意软件、满足合规要求。效率方面，老板想知道员工上班时间在干什么。这两个理由都成立，但边界在哪里，很少有公司说得清楚。我见过一家创业公司，监控系统连员工午休时看视频都要记录，结果技术团队三个月内走了四个人。过度监控的代价是信任崩塌，而信任崩塌后，留下的往往是最会表演的人。

如果你在意隐私，有几件事可以留意。第一，看员工手册或IT政策，里面通常有监控条款，虽然没人爱读。第二，公司网络和公司设备是两回事，但监控往往同时覆盖。用自己的手机连公司Wi-Fi，流量照样经过网关。第三，别在办公电脑上登录个人网盘、私人邮箱、社交媒体——这些操作在终端软件面前一览无余。第四，如果公司要求安装根证书或终端软件，问清楚用途和留存策略，虽然问了也未必能改变什么。

我自己的习惯是：办公电脑只处理工作，私人事务一律用手机蜂窝网络。不是有什么秘密，就是觉得工作归工作，生活归生活，中间那条线不该被踩得太随意。公司网络是公司的地盘，这个事实改变不了。但你可以选择不在别人的地盘上留下太多脚印。