Computeren blev glemt i toget

Uge 5 af 7: IT-sikkerhed, som enhver kan forholde sig til
Denne uge: Kryptering, og hvorfor koden på computeren ikke beskytter jeres data
Næste uge: Microsoft tager ikke backup af jeres data

Thomas er salgschef og tager lyntoget til København hver tirsdag. Denne tirsdag ringer telefonen lige før Odense, han rejser sig og går ud i vognen for at tage den. Toget holder, han står af med telefonen i hånden.

Computeren ligger stadig på sædet.

Den indeholder kundelisten, prisaftalerne, et par lønsedler og hele hans mailboks.

Om det her bliver en ærgerlig udgift på 12.000 kroner eller en sag hos Datatilsynet, afhænger af én indstilling, Thomas aldrig har hørt om.

“Der er jo kode på computeren”

Det er det første, de fleste siger. Og det er rigtigt, at man skal bruge en kode for at logge ind i Windows.

Men koden beskytter kun selve indgangen. Den beskytter ikke det, der ligger på harddisken. Den, der finder computeren, behøver ikke logge ind. Man kan skrue disken ud, sætte den i en anden computer og læse alt, hvad der ligger på den. Det tager omkring ti minutter og kræver en skruetrækker.

Det eneste, der forhindrer det, er kryptering. Når disken er krypteret, er indholdet ulæseligt uden den rigtige nøgle. Så er den bærbare bare en bærbar.

Forskellen mellem en udgift og et databrud

Mister man en computer med personoplysninger, er det som udgangspunkt et brud på persondatasikkerheden. Det skal anmeldes til Datatilsynet inden for 72 timer, og i nogle tilfælde skal de berørte personer også have besked.

Er computeren krypteret, og er koden ikke kommet på afveje, vurderes risikoen typisk som lav. Så er det en sag for forsikringen, ikke for Datatilsynet.

Det er ikke teoretisk. En dansk kommune fik en bøde på 50.000 kroner, efter at en ukrypteret arbejdscomputer med oplysninger om 1.600 medarbejdere blev stjålet. Kommunen havde bedt medarbejderne slette filerne, når de var færdige med dem. Retten fastslog, at det ikke var nok. Kryptering var nødvendig.

Og bøden er sjældent den dyreste del. Det er at skulle ringe til kunderne og fortælle, at deres oplysninger er på afveje.

Kryptering alene er ikke hele svaret

Kryptering beskytter det, der ligger på disken. Men Thomas’ computer har også adgang til mail, filer og kundesystemer i skyen, og den adgang følger ikke med disken. Den følger med computeren, så længe den er logget ind.

Derfor er der to ting mere, der skal være på plads:

I skal kunne slette computeren på afstand. Ringer Thomas til IT, inden toget når København, kan firmadata være væk, før nogen når at åbne låget.

I skal kunne lukke adgangen med det samme. IT skal kunne logge computeren ud af Microsoft 365 med det samme, så den ikke længere kan bruges til at nå jeres data, heller ikke selvom nogen skulle finde koden.

Tre spørgsmål til jeres næste ledermøde

1. Er alle vores bærbare krypteret, og kan vi se det?
   “Det tror jeg” er ikke et svar. Det skal kunne tjekkes på en liste.

2. Kan vi slette en computer på afstand, hvis den bliver væk?
   Hvis ikke, er der intet at gøre, når den først er væk.

3. Ved medarbejderne, hvem de skal ringe til?
   Jo hurtigere IT hører om det, jo mindre kan nå at ske.

Kort sagt

En computer, der bliver væk, er ikke en sikkerhedshændelse i sig selv. Det er den kun, hvis den, der finder den, kan læse indholdet.

Med kryptering er en glemt computer en udgift. Uden er det et databrud.

Til den it-ansvarlige

Tag listen med til jeres it-leverandør og spørg, hvilke punkter I allerede er dækket på.

Kryptering

• BitLocker via Intune (Endpoint security → Disk encryption) med XTS-AES 256 og silent encryption.

• Recovery keys escrowed til Entra ID.

• Et compliance-krav om kryptering, så ukrypterede enheder ikke får adgang via Conditional Access.

Ved tab

• Remote Wipe eller Retire via Intune.

• Revoke sessions på brugeren i Entra ID, og deaktiver enheden, så refresh tokens ikke længere virker.

• Vurder hændelsen, og dokumenter den, uanset om den skal anmeldes til Datatilsynet.

Senere på ugen: Bekræft, at du er et menneske. Om ClickFix, og hvorfor det ikke er den fra Haribo.

Næste mandag: Microsoft tager ikke backup af jeres data.

Kilder: Datatilsynet om anmeldelse af brud på persondatasikkerheden · Dansk Erhverv, november 2022: 50.000 kr. i bøde for mangelfuld sikkerhed på arbejdscomputere