Szyfrowanie dysków i nośników przenośnych

Dlaczego szyfrowanie ma znaczenie właśnie przy sprzęcie przenośnym

Szyfrowanie dysku zamienia jego zawartość w ciąg danych nieczytelnych bez odpowiedniego klucza — w praktyce hasła albo certyfikatu, bez którego nawet fizyczny dostęp do dysku nie daje możliwości odczytania zapisanych na nim informacji. To zabezpieczenie działa inaczej niż większość pozostałych: nie chroni przed atakiem sieciowym ani przed phishingiem, tylko przed sytuacją, w której ktoś fizycznie wejdzie w posiadanie nośnika — zgubionego laptopa, skradzionego pendrive'a, wymontowanego z komputera dysku.

To dlatego szyfrowanie jest szczególnie istotne dla sprzętu przenośnego — laptopów służbowych, dysków zewnętrznych, pendrive'ów — który z natury częściej opuszcza kontrolowane środowisko biura i jest bardziej narażony na zgubienie lub kradzież niż stacjonarny komputer w zamkniętym pomieszczeniu firmy.

Warianty sprzętu wymagającego szyfrowania

Laptopy służbowe

Najczęstszy i najbardziej oczywisty przypadek — sprzęt zabierany poza biuro, do domu, w podróże służbowe, na spotkania z klientami. Zgubienie albo kradzież laptopa bez szyfrowania ujawnia całą zawartość dysku, łącznie z zapisanymi hasłami, dokumentami i pocztą.

Dyski zewnętrzne i pendrive'y

Używane do przenoszenia danych między stanowiskami albo jako dodatkowa kopia zapasowa. Małe, łatwe do zgubienia, rzadko szyfrowane w praktyce, mimo że mogą zawierać równie wrażliwe dane co główny system firmy.

Telefony i tablety służbowe

Współczesne systemy mobilne zwykle szyfrują dane domyślnie, ale warto to zweryfikować, zwłaszcza przy starszych urządzeniach albo niestandardowych konfiguracjach — założenie „telefon na pewno szyfruje" bez sprawdzenia bywa złudne.

Dyski w komputerach stacjonarnych

Rzadziej priorytetowe niż sprzęt przenośny, bo komputer stacjonarny zwykle pozostaje w zamkniętym biurze, ale wciąż warto rozważyć szyfrowanie tam, gdzie przechowywane są szczególnie wrażliwe dane osobowe, niezależnie od tego, że fizyczne ryzyko kradzieży jest niższe.

Co robimy przy wdrażaniu szyfrowania

Wdrożenie zaczyna się od inwentaryzacji sprzętu przenoszącego dane osobowe poza kontrolowane środowisko firmy — laptopy, dyski zewnętrzne, pendrive'y używane do przenoszenia danych. Dla każdego z nich dobierana jest odpowiednia metoda szyfrowania, dostępna zwykle jako wbudowana funkcja systemu operacyjnego, wymagająca właściwej konfiguracji, a nie dodatkowego, kosztownego oprogramowania.

Kluczowym elementem, obok samej konfiguracji technicznej, jest zabezpieczenie klucza odszyfrowującego — zapisanie go w bezpiecznym miejscu, dostępnym dla osoby odpowiedzialnej za IT w firmie, ale nie dla przypadkowej osoby. Utrata klucza bez zapasowej kopii oznacza brak możliwości odzyskania danych z zaszyfrowanego dysku nawet dla samego właściciela — dlatego procedura zapasowego przechowywania klucza jest równie ważna jak samo włączenie szyfrowania.

Błędy przy samodzielnym wdrażaniu szyfrowania

• Szyfrowanie bez zapasowej kopii klucza odzyskiwania. Zapomniane hasło albo uszkodzony nośnik z jedynym zapisem klucza oznacza utratę dostępu do własnych, zaszyfrowanych danych — bez możliwości odzyskania.
• Przekonanie, że szyfrowanie spowalnia komputer na tyle, że nie warto go włączać. Na współczesnym sprzęcie różnica w wydajności jest zwykle niezauważalna w codziennej pracy, a korzyść z ochrony danych znacznie przewyższa tę niewielką stratę.
• Szyfrowanie laptopów, ale pomijanie dysków zewnętrznych i pendrive'ów. Nośniki przenośne używane do kopiowania danych bywają traktowane jako mniej istotne, mimo że z punktu widzenia ryzyka zgubienia są równie, jeśli nie bardziej narażone niż laptop.
• Poleganie wyłącznie na haśle logowania do systemu jako formie ochrony. Hasło do konta systemowego nie chroni danych na dysku przed odczytaniem po wymontowaniu go z komputera i podłączeniu do innego urządzenia — do tego potrzebne jest szyfrowanie na poziomie samego dysku.

Dodatkowe pytania klientów

Czy szyfrowanie spowalnia pracę na komputerze?

Na współczesnym sprzęcie różnica jest zwykle niezauważalna — proces szyfrowania i odszyfrowania danych odbywa się w tle, a wpływ na codzienną pracę jest minimalny.

Co się dzieje, gdy zapomni się hasła do zaszyfrowanego dysku?

Bez zapasowej kopii klucza odzyskiwania dane stają się niedostępne — dlatego procedura bezpiecznego przechowywania kopii klucza jest nieodłącznym elementem wdrożenia, nie opcjonalnym dodatkiem.

Czy trzeba szyfrować każdy nośnik w firmie?

Priorytetowo sprzęt przenośny, opuszczający kontrolowane środowisko firmy — laptopy, dyski zewnętrzne, pendrive'y. Sprzęt stacjonarny w zamkniętym biurze ma niższy priorytet, ale też warto go rozważyć przy szczególnie wrażliwych danych.

Czy szyfrowanie chroni przed atakiem z internetu?

Nie — szyfrowanie chroni przed fizycznym dostępem do nośnika po zgubieniu lub kradzieży, nie przed atakiem sieciowym na działający, zalogowany system. To uzupełnienie pozostałych zabezpieczeń, nie ich zamiennik.

Kiedy to nie jest problem szyfrowania, tylko coś innego

Jeśli sprzęt jest wycofywany z użycia na stałe, a nie chodzi o ochronę danych na wciąż używanym urządzeniu, właściwym tematem jest trwałe usuwanie danych ze starego sprzętu. Jeśli obawa dotyczy przede wszystkim ataku sieciowego, a nie fizycznej utraty nośnika, dokładniejszym tematem jest ochrona przed złośliwym oprogramowaniem albo firewall i zabezpieczenie sieci firmowej.

Warunki współpracy

Wdrożenie szyfrowania dysków i nośników przenośnych wycenia się indywidualnie, zależnie od liczby urządzeń objętych konfiguracją — cennika usług nie publikujemy. Dojazd do klienta na terenie Warszawy i okolicznych powiatów jest bezpłatny. Na wykonaną konfigurację obowiązuje gwarancja do 12 miesięcy. Firma nie jest płatnikiem VAT, więc wykonaną pracę dokumentuje fakturą bez VAT.

Przykład z praktyki

Typowe zgłoszenie: pracownik zostawia laptopa służbowego w pociągu podczas podróży służbowej. Sprzęt nigdy się nie odnajduje. Ponieważ dysk był wcześniej zaszyfrowany, a klucz odzyskiwania zapisany bezpiecznie w firmie, jedyną stratą jest koszt samego sprzętu — dane klientów i dokumenty firmowe zapisane na dysku pozostają nieczytelne dla kogokolwiek, kto znalazłby laptopa. Bez wcześniej włączonego szyfrowania sytuacja wyglądałaby zupełnie inaczej: firma musiałaby zakładać, że wszystkie dane z dysku są potencjalnie ujawnione, z możliwym obowiązkiem zgłoszenia naruszenia ochrony danych.

Szyfrowanie a kopie zapasowe

Warto pamiętać, że zaszyfrowany dysk główny nie oznacza automatycznie zaszyfrowanej kopii zapasowej — jeśli kopia trafia na osobny nośnik albo do chmury, wymaga własnego, niezależnego szyfrowania. Zdarza się, że firma szyfruje laptopy służbowe, ale kopia zapasowa danych z tych laptopów, wykonywana na dysk sieciowy, pozostaje bez żadnego dodatkowego zabezpieczenia — co tworzy furtkę tam, gdzie główne zabezpieczenie zostało już wdrożone poprawnie.

Szyfrowanie a wymiana lub serwis sprzętu

Laptop oddany do naprawy zewnętrznej, z zaszyfrowanym dyskiem, wymaga dodatkowego ustalenia z serwisem: czy naprawa wymaga dostępu do zawartości dysku, czy da się ją wykonać bez odszyfrowywania danych. W większości napraw sprzętowych — wymiana matrycy, klawiatury, baterii — dostęp do zawartości dysku w ogóle nie jest potrzebny, więc szyfrowanie nie stanowi przeszkody. Inaczej wygląda sytuacja przy naprawach związanych bezpośrednio z samym dyskiem czy odzyskiwaniem danych, gdzie hasło odszyfrowujące bywa niezbędne do wykonania usługi — i to klient decyduje, czy i kiedy je udostępnić.

Standardy szyfrowania stosowane na rynku

Współczesne systemy operacyjne oferują wbudowane mechanizmy szyfrowania całego dysku, zwykle wystarczające dla większości firm bez konieczności inwestowania w dodatkowe, płatne oprogramowanie. Wybór konkretnego mechanizmu zależy od używanego systemu operacyjnego i wersji — element, który ustala się indywidualnie podczas wdrożenia, dopasowując konfigurację do posiadanego sprzętu i oprogramowania, zamiast narzucać jedno rozwiązanie niezależnie od realiów firmy.

Szyfrowanie w pracy zdalnej

Laptop używany do pracy zdalnej, przemieszczający się między domem a biurem albo zabierany w podróże, jest właśnie tym rodzajem sprzętu, dla którego szyfrowanie ma największe praktyczne znaczenie — więcej okazji do zgubienia czy kradzieży niż przy komputerze, który nigdy nie opuszcza jednego, kontrolowanego pomieszczenia. Firmy przechodzące na model pracy hybrydowej czy w pełni zdalnej powinny traktować szyfrowanie floty laptopów jako jeden z pierwszych kroków przy takiej zmianie, nie jako dodatek do rozważenia później.

Dobrą praktyką przy takiej zmianie jest też jednorazowy przegląd wszystkich nośników przenośnych używanych w firmie — nie tylko laptopów, ale i pendrive'ów, dysków zewnętrznych oraz kart pamięci, które równie łatwo giną, a równie rzadko bywają szyfrowane w praktyce.

To niewielki dodatkowy krok, który zamyka lukę pozostawioną, gdyby ograniczyć uwagę wyłącznie do sprzętu komputerowego, pomijając resztę nośników krążących po firmie.