Das erfassen von Anomalien im Verhalten von Systemen sollte ok sein.
Häufig ist das Thema dual use.
Man kann Informationen so oder so verwenden und um da jeden Ärger zu vermeiden sollte man genau wissen was man tut.
Konkret:
Ich würde Server im Detail überwachen.
Arbeitsplätze aber nur auf Erreichbarkeit (div. Kollegen nutzen sie hier via VPN als Jumphosts) und Hard und Software (Inventory) um unbekannte Änderungen bzw. unerwünschte Software zu erkennen. Je nach Bedarf auch z.B. Festplatteninformationen und Boardmeldungen aber niemals Loginzeiten/ Anzahl oder Aktivitäten der User.
In jedem Fall hilft es transparent die Mitarbeiter zu informieren.
Gruß
Ralf