Nešiojamas kompiuteris pamestas. Ar BitLocker apsaugos įmonės duomenis?
Disko šifravimas gali padėti apsaugoti kompiuteryje saugomus duomenis, jei įrenginys pametamas ar pavagiamas. Tačiau svarbu patikrinti, ar šifravimas įjungtas, atkūrimo raktas išsaugotas ir darbuotojai žino, kam pranešti.
Pametamas įrenginys, o ne vien kompiuterio krepšys
Darbuotojas vyksta pas klientą su nešiojamuoju kompiuteriu, kuriame yra el. pašto priedai, vietinės darbo bylos ir prisijungimo priemonės. Kelionės pabaigoje kompiuterio nebėra. Įmonei kyla du atskiri klausimai: ar pavyks sustabdyti prieigą prie paskyrų ir ar svetimas žmogus galės perskaityti duomenis, likusius diske?
Tai iliustracinė situacija. Ji parodo, kad įrenginio apsauga susideda iš kelių veiksmų: disko šifravimo, atkūrimo rakto valdymo, paskyrų sesijų peržiūros ir greito pranešimo. Vien tik Windows prisijungimo PIN kodas nėra viso disko šifravimo pakaitalas.
Ką BitLocker apsaugo?
„Microsoft“ dokumentacijoje BitLocker aprašomas kaip viso tomo šifravimo funkcija, skirta mažinti duomenų atskleidimo riziką pametus, pavogus ar netinkamai utilizavus įrenginį. TPM lustas padeda patikrinti, ar nebuvo pakeista įprasta kompiuterio paleidimo grandinė. Šifravimas ypač svarbus, kai kas nors galėtų išimti diską ir mėginti jį perskaityti kitame įrenginyje.
BitLocker pats savaime neišjungia Microsoft 365 paskyros, neatšaukia aktyvių sesijų ir nesustabdo kenkėjiškos programos, veikiančios jau atrakintame kompiuteryje. Dingus įrenginiui, šie klausimai sprendžiami atskirai pagal įmonės incidentų tvarką. Techninis aprašas pateiktas oficialioje Microsoft BitLocker apžvalgoje.
Įjungtas šifravimas dar negarantuoja atkūrimo
Kompiuteriui pakeitus paleidimo būseną arba atsidūrus kitame atkūrimo situacijoje, gali prireikti BitLocker atkūrimo rakto. Jei raktas saugomas tik pačiame užrakintame įrenginyje, administratorius jo negalės panaudoti. Jei jis prieinamas bet kuriam darbuotojui be kontrolės, kyla kitas pavojus. Įmonė turi žinoti, kur raktai saugomi, kas turi teisę juos nuskaityti ir kaip atpažįstamas teisėtas prašytojas.
Priklausomai nuo įrenginio prijungimo ir politikos, atkūrimo informacija gali būti saugoma Microsoft Entra ID arba vietiniame Active Directory. Negalima manyti, kad tai įvyko automatiškai visuose kompiuteriuose. Microsoft atkūrimo vadove aprašyti galimi atkūrimo scenarijai ir rakto saugojimo pasirinkimai.
Inventorizuokite įmonės kompiuterius
INsec rekomenduojame turėti įrenginių sąrašą su savininku, naudotoju, operacinės sistemos versija, šifravimo būsena ir atkūrimo informacijos vieta. Patikrinkite ne tik stalinius kompiuterius, bet ir nešiojamuosius, atsarginius ar retai prie tinklo jungiamus įrenginius. Naujai paruoštas kompiuteris neturėtų būti atiduodamas darbuotojui, kol šifravimo būsena ir raktų atsarginė kopija nepatvirtinta.
Prieš rašydami politiką įvertinkite organizacijos Windows leidimus, įrenginių prijungimo būdą ir valdymo priemones. BitLocker valdymo bei įjungimo licencijavimo sąlygos gali skirtis. Jei įmonėje yra kelių tipų įrenginių, juos suskirstykite į aiškias grupes ir patikrinkite kiekvieną pagal taikomą konfigūraciją.
Patikrinkite, ar atkūrimo procesas veikia
Kontroliuojamo bandymo metu pasirinkite atstovaujamą bandomąjį kompiuterį ir patikrinkite, ar administratorius gali rasti būtent jam skirtą raktą pagal nustatytą tapatybės patvirtinimo procedūrą. Tikrasis raktas yra slapta prieigos priemonė: jo nereikia kopijuoti į viešą dokumentą, pokalbį ar šio bandymo ataskaitą. Pakanka užfiksuoti, kad įgaliotas darbuotojas jį rado ir procesas pavyko.
Taip pat aprašykite, ką darysite pametus įrenginį: kas priima pranešimą, kaip žymimas kompiuteris, kas patikrina paskyras ir sesijas bei kas praneša vadovui. Atskirai įvertinkite, ar įrenginyje buvo vietinių duomenų, kurie sinchronizuojami arba saugomi kitur.
Pametus įrenginį, reaguokite pagal tvarką
Darbuotojai turėtų žinoti paprastą pranešimo kanalą, kurį pasiektų ir neturėdami savo kompiuterio. Gavusi pranešimą IT komanda patikrina įrenginio identifikatorių, jo valdymo būseną ir taiko įmonės nuotolinio blokavimo ar duomenų šalinimo procedūras, jei jos sukonfigūruotos. Kartu peržiūrimos paskyrų sesijos bei autentifikavimo priemonės. Šie veiksmai turi atitikti faktinę įmonės platformą ir incidento aplinkybes.
Pradėkite nuo vieno klausimo: ar galite šiandien patvirtinti, kad kiekvienas įmonės nešiojamasis kompiuteris yra šifruotas ir jo atkūrimo raktas pasiekiamas tik įgaliotam IT darbuotojui?
INsec padeda valdyti įmonės Windows darbo vietas ir jų saugumo nustatymus. Aptarkime jūsų įrenginių apsaugą.
Šaltiniai
BitLocker savybės paremtos oficialia dokumentacija; inventorizavimo ir reagavimo eiga – INsec praktinės rekomendacijos.