Szyfrowanie laptopów firmowych: prosta ochrona na wypadek kradzieży

Laptop zostawiony w taksówce, skradziony z samochodu albo zapomniany na lotnisku to sytuacje, które zdarzają się w każdej firmie. Sprzęt da się odkupić. Kłopot jest z danymi na dysku: korespondencją, umowami, eksportami z systemu, danymi klientów i pracowników. Szyfrowanie laptopów firmowych sprawia, że bez hasła i klucza dysk jest dla znalazcy bezużyteczny. Trudno o tańszą i prostszą ochronę.

Dlaczego hasło do Windows nie wystarcza

Hasło do konta chroni przed zalogowaniem się do systemu, ale nie chroni samego dysku. Wystarczy wyjąć dysk i podłączyć go do innego komputera albo uruchomić laptop z innego systemu, żeby odczytać pliki. Przy szyfrowaniu całego dysku dane są nieczytelne bez klucza, bez względu na to, jak ktoś próbuje się do nich dostać.

Ma to też znaczenie prawne. Kradzież niezaszyfrowanego laptopa z danymi osobowymi to zwykle naruszenie, które trzeba przeanalizować i często zgłosić. Przy skutecznym szyfrowaniu ryzyko dla osób, których dane dotyczą, jest znacznie mniejsze. Więcej o obowiązkach w tekście o RODO w dziale IT.

Narzędzia do szyfrowania na różnych urządzeniach

Windows: BitLocker

BitLocker to wbudowane w Windows narzędzie do szyfrowania dysków, dostępne w wersjach Pro, Enterprise i Education. Współpracuje z modułem TPM w laptopie. W typowej konfiguracji użytkownik nie wpisuje przy starcie dodatkowego hasła, bo dysk odblokowuje się sam, jeśli sprzęt i system nie zostały zmienione. Dla wyższego poziomu ochrony można dodać kod PIN przed uruchomieniem.

W Windows Home pełnego BitLockera nie ma. Na części sprzętu dostępne jest prostsze szyfrowanie urządzenia, ale w firmie lepiej używać wersji Pro, którą da się zarządzać centralnie.

macOS: FileVault

Komputery Apple mają wbudowany FileVault. Działa podobnie: szyfruje cały dysk, a odblokowuje go logowanie użytkownika. W firmie zarządzaj nim przez system MDM, żeby klucze odzyskiwania trafiały do centralnej konsoli.

Telefony i tablety

Nowoczesne smartfony szyfrują dane domyślnie, o ile ustawiona jest blokada ekranu. Polityka firmy powinna więc wymagać kodu lub biometrii na każdym urządzeniu z dostępem do poczty służbowej.

Nośniki wymienne

Pendrive’y i dyski zewnętrzne to częsty słaby punkt. W Windows nośniki USB zaszyfruje BitLocker To Go. Jeszcze lepiej ograniczyć ich użycie i przenieść wymianę plików do firmowej chmury.

Komputery stacjonarne

Ryzyko kradzieży jest mniejsze, ale nie zerowe, zwłaszcza w biurach, do których wchodzą osoby z zewnątrz. Szyfrowanie ułatwia też bezpieczne wycofanie dysku z użycia, dlatego wiele firm stosuje je na wszystkich urządzeniach.

Klucze odzyskiwania: od nich zależy powodzenie wdrożenia

Szyfrowanie bez przemyślanego zarządzania kluczami to proszenie się o kłopoty. Po aktualizacji BIOS, wymianie płyty głównej czy zmianie konfiguracji laptop może zażądać klucza odzyskiwania. Jeśli nikt go nie ma, dane są stracone, dokładnie tak jak dla złodzieja.

• Przechowuj klucze centralnie, w Microsoft Entra ID, Active Directory lub konsoli MDM, a nie na karteczce w torbie z laptopem.
• Sprawdzaj dla każdego urządzenia, czy klucz faktycznie trafił do konsoli. Raport z brakującymi kluczami to podstawa kontroli.
• Ustal, kto może odczytać klucz i jak weryfikuje tożsamość osoby, która dzwoni z prośbą o niego.
• Nie zapisuj kluczy na tym samym dysku ani w niezabezpieczonym arkuszu.

Gdy pracownik zapomni hasła, klucz zwykle nie jest potrzebny. W typowej konfiguracji z TPM dysk odblokowuje się automatycznie, a hasło do konta resetuje się standardowo. Po klucz IT sięga do konsoli tylko w szczególnych sytuacjach.

Wdrożenie w całej firmie w siedmiu krokach

1. Inwentaryzacja. Spisz laptopy, ich system, wersję Windows i obecność modułu TPM. Urządzenia z Windows Home trzeba zaktualizować do Pro albo wymienić przy najbliższej okazji. Pomoże tu inwentaryzacja sprzętu IT.
2. Kopia zapasowa przed startem. Szyfrowanie jest bezpieczne, ale na sprzęcie z uszkodzonym dyskiem lepiej mieć kopię.
3. Centralna polityka. Włącz szyfrowanie przez zasady grupy lub Microsoft Intune, z wymuszonym zapisem klucza odzyskiwania do katalogu.
4. Pilotaż. Kilka urządzeń z różnych działów przez tydzień. Sprawdź wydajność i proces odzyskiwania klucza. Na współczesnym sprzęcie ze sprzętowym przyspieszeniem szyfrowania różnicy w codziennej pracy zwykle nie widać. Starsze laptopy mogą zwolnić, co raczej sygnalizuje, że czas je wymienić.
5. Wdrożenie dla wszystkich. Szyfrowanie odbywa się w tle i użytkownik może w tym czasie pracować.
6. Kontrola zgodności. Regularnie przeglądany raport pokazuje urządzenia niezaszyfrowane lub bez zapisanego klucza.
7. Standard dla nowych urządzeń. Każdy nowy laptop jest szyfrowany przed wydaniem pracownikowi. To jeden z punktów checklisty IT dla nowego pracownika.

Najczęstsze błędy przy szyfrowaniu

Pierwszy to szyfrowanie włączone ręcznie na części laptopów. Bez centralnej polityki nie wiadomo, które urządzenia są chronione, a po kradzieży trudno wykazać, że dysk był zaszyfrowany.

Drugi to klucze odzyskiwania zapisane tylko na koncie Microsoft pracownika. Przy konfiguracji domowej klucz trafia na prywatne konto i po odejściu tej osoby firma nie ma do niego dostępu.

Często pomija się też starsze urządzenia. Laptopy bez TPM albo z wersją Home zostają „na później” i nigdy nie są zaszyfrowane. A to zwykle sprzęt przekazywany praktykantom albo zabierany w delegacje jako zapasowy.

Ostatni błąd jest najmniej widoczny. Niektóre operacje serwisowe czasowo zawieszają ochronę i jeśli nikt jej nie wznowi, laptop wygląda na zaszyfrowany, ale nie jest. Raport zgodności wychwyci takie przypadki.

Czego szyfrowanie nie załatwi

Szyfrowanie chroni dane na wyłączonym lub zablokowanym urządzeniu. Nie pomoże przy phishingu, złośliwym oprogramowaniu czy przejęciu konta przez internet. Uzupełnij je więc o automatyczną blokadę ekranu, uwierzytelnianie wieloskładnikowe i zdalne czyszczenie urządzenia przez system zarządzania.

Dane nie powinny też leżeć wyłącznie na laptopie. Gdy pliki są w firmowej chmurze, zgubienie sprzętu kosztuje tyle, co nowe urządzenie, a praca nie przepada.

Kradzież laptopa z samochodu: jak to wygląda przy dobrej konfiguracji

Weźmy kierownika projektu w firmie inżynieryjnej, któremu ktoś ukradł laptopa z samochodu. Wszystkie urządzenia mają włączony BitLocker z kluczami w Entra ID, więc IT w kilka minut potwierdza, że dysk był zaszyfrowany, blokuje konto i unieważnia sesje. Pracownik dostaje zapasowy laptop, loguje się i po synchronizacji OneDrive wraca do pracy tego samego dnia.

Chcesz mieć szyfrowanie na wszystkich firmowych laptopach i klucze w jednym, kontrolowanym miejscu? Pomożemy to ułożyć w ramach obsługi IT Twojej firmy.