Szyfrowanie dysku, czyli jak unikniesz zgłaszania incydentu

Nawet dla laika komputerowego jest dość oczywistym stwierdzenie, że dane, które zapisujemy w postaci zaszyfrowanej, są bezpieczniejsze. Jeżeli nie zaszyfrowaliśmy nośnika, niezależnie czy to jest dysk twardy, karta pamięci, czy pendrive, każda osoba, która go znajdzie i podłączy uzyska dostęp do zapisanych na nim danych. Dlatego szyfrowanie dysku w komputerze powinno być jedną z podstawowych rzeczy, które robi na firmowych komputerach każdy przedsiębiorca.

Przetwarzanie danych to między innymi czynności takie jak zapisywania, przechowywanie, odczytywania czy usuwanie. Oznacza to, że arkusz Excela na Twoim laptopie, nawet gdy z niego nie korzystasz, to nadal jest to czynność przetwarzania danych. Każda kradzież komputera, telefonu czy tabletu, na którym były zapisane dane osobowe, jest w RODO incydentem. Każdy incydent musisz odnotować, lecz nie każdy musisz zgłaszać do Urzędu Ochrony Danych Osobowych. Szyfrowanie dysku oraz przestrzeganie jednej prostej zasady Cię przed tym uchroni.

Szyforwanie dla laika

Nie będę zanudzał Cię masą detali, zanim jednak pokażę jak zaszyfrować dysk w systemie Windows, wyjaśnię Ci minimum tego, co musisz wiedzieć, by Twoje działania były bezpieczne. Pamiętaj, że żadna technologia Cię nie będzie chronić, jeżeli będziesz z dostępnych narzędzi korzystać nieświadomie lub nieprawidłowo.

Szyfrowanie danych na dysku twardym

Szyfrowanie polega na tym, że są dwa klucze – szyfrujący i deszyfrujący, zwane są też odpowiednio kluczami publicznymi i prywatnymi. Klucze te generowane są przez komputer i tak naprawdę nigdy ich nie widzisz. Na wybranym do zaszyfrowania nośniku danych wszystkie jego sektory (takie fragmenty dysku) zostaną zaszyfrowane za pomocą klucza szyfrującego. Aby możliwe było odczytanie zaszyfrowanego sektora, w pamięci komputera musi znajdować się klucz deszyfrujący. 

W przypadku szyfrowania ważne są dwa aspekty – algorytm oraz długość klucza szyfrującego. Algorytm to matematyczna metoda szyfrowania. Gdyby porównać to do zasady działania zamka w drzwiach Twojego mieszkania jest to metoda, w której wykonano wcięcia w kluczu, który wkładasz w zamek. Część algorytmów takich jak DES czy 3DES są już przestarzałe i łatwe do złamania. Podobnie jak zamki, w których klucz ma wcięcia tylko na górnej krawędzi. Jeżeli w jakimkolwiek programie zobaczysz stare algorytmy na liście wyboru, to z nich nie korzystaj. W praktyce jedyną bezpiecznie stosowaną rodziną jest AES. Długość klucza oznacza, jak silna jest ochrona danych. Odpowiada on długości twojego klucza do mieszkania. Im będzie od dłuższy tym więcej kombinacji wcięć na nim umieścimy. Zatem im dłuższy klucz kryptograficzny tym jest ochrona silniejsza. Jeżeli masz wybór zawsze wybieraj najwyższą wartość spomiędzy 128, 256 a 512 bitów.

Hibernacja, uśpienie, wyłączenie

Gdzie przechowywany jest klucz? W laptopach najczęściej jest on w specjalnej kości pamięci zwanej TPM, która zapewnia bezpieczeństwo przed niepowołanym jego odczytem. Jeżeli komputer nie jest wyposażony w taką kość, to klucz można przechowywać na pendrivie lub bezpośrednio na samym dysku w specjalnym obszarze pamięci. Dodatkowo dostęp do niego zazwyczaj jest chroniony kodem PIN lub ustawionym przez użytkownika hasłem. Aby uruchomić komputer i załadować system operacyjny Windows, musisz podać jedno z nich, wtedy odblokowany zostanie dostęp do kluczy i zostaną one wgrane do pamięci komputera.

Klucze szyfrujący i deszyfrujący, gdy komputer jest uruchomiony, przechowywane są w pamięci operacyjnej urządzenia. Dane w niej zapisane są utrzymywane tak długo, jak jest ona zasilana. I tu tkwi najtrudniejszy haczyk sprawiający, że szyfrowanie dysku może okazać się jedynie złudnym zabezpieczeniem. Nie każdy sposób zakończenia pracy na komputerze powoduje usunięcie kluczy z jego pamięci. Wszystko zależy od tego, jaką akcję masz skonfigurowaną, gdy wciśniesz przycisk włączania/wyłączania na obudowie lub klawiaturze, zamkniesz pokrywę laptopa, lub którą wybierzesz w menu opcję. Komputer może znajdować się w jednym z pięciu stanów:

  1. Wyłączony, gdy całkowicie go wyłączysz (na przykład wybierając Start -> Zasilanie -> Wyłącz).
  2. Włączony, gdy normalnie na nim pracujesz.
  3. Uśpiony, w którym po prostu zatrzymujesz jego pracę, ale wszystkie dane w pamięci komputera są w niej nadal utrzymywane, dzięki temu szybko możesz ją wznowić. Komputer wtedy zużywa prąd na podtrzymanie zasilania między innymi do pamięci, gdzie znajdują się klucze.
  4. Hibernacji, w którym wszystko, co znajdowało się w pamięci jest zapisywane na dysku twardym, a następnie komputer jest całkowicie wyłączany. Wznowienie pracy trwa dłużej, gdyż wymaga wgrania informacji z dysku twardego ponownie do pamięci operacyjnej.
  5. Hybrid sleep, który jest pośredni pomiędzy hibernacją a uśpieniem. Kopia pamięci operacyjnej jest zapisywana na dysku komputera jak w hibernacji, lecz zasilanie wybranych układów jest podtrzymywane jak w uśpieniu.

Musisz pamiętać, że jedynie komputer całkowicie wyłączony lub w stanie hibernacji zapewnia bezpieczeństwo Twoim danym. Dlatego uruchomienie komputera, jak i wyjście ze stanu hibernacji, wymagają podania kodu PIN lub hasła aby uzyskać dostęp do kluczy. Dlatego musisz się upewnić, jaki tryb jest skonfigurowany na Twoim komputerze.

Jeżeli nie masz modułu TPM

Szyfrowanie dysku w systemie Windows to usługa o nazwie BitLocker. W Windows 7 czy Windows 10 bardzo prosto ją włączysz. Jeżeli twój komputer nie ma modułu TPM, to przy próbie uruchomienia szyfrowania zobaczysz komunikat o błędzie.

Komunikat błędu o braku modułu TPM

Opcja umożliwiająca pominięcie modułu TPM jest domyślnie wyłączona. Aby zaszyfrować dysk z systemem operacyjnym musisz najpierw ją włączyć.

Kod awaryjny

Może się zdarzyć, że zapomnisz hasło do zaszyfrowanego dysku, albo zwolnisz pracownika a ten odmówi podania ustawionego hasła lub kodu PIN. Na takim urządzeniu przecież znajdują się cenne dla firmy informacje, których utrata byłaby kosztowna. Dlatego oprócz klucza szyfrującego i deszyfrującego generowany jest też specjalny klucz odzyskiwania. Możesz go przechowywać na jeden z czterech sposobów:

  1. Zapisać na serwerze Microsoft, jeżeli konto pracownika powiązane jest z usługą Microsoft dla osób prywatnych lub biznesową Azure Active Directory. W tym pierwszym wypadku nie jest to dobra metoda, gdyż nie masz dostępu do prywatnego konta pracownika w serwisie Microsoft. Nie masz zatem kontroli nad kluczem odzyskiwania. Należy unikać takich sytuacji.
  2. Zapisać na dedykowanym urządzeniu pendrive wkładanym w port USB. Pamiętaj, że później musisz pendrive przechowywać w sposób bezpieczny, na przykład w sejfie.
  3. Zapisać w pliku, lecz nie może być on się znajdować na dyskach na stałe wbudowanych w komputer. Nie zalecam tej metody, gdyż klucz awaryjny będzie przechowywany w pliku tekstowym, zatem trzeba będzie go specjalnie dodatkowo chronić.
  4. Wydrukować na kartce, którą będziesz przechowywać w bezpiecznym miejscu, na przykład w sejfie.

W większości firm znajduje się sejf lub inna zabezpieczona przed dostępem szafka. W większości małych firm ostatnia opcja będzie wystarczająca, o ile wybierzesz bezpieczne miejsce do przechowywania wydruku.

Włączamy szyfrowanie dysku

Włączenie usługi BitLocker jest bardzo proste i zajmuje parę minut. Pamiętaj, aby zawsze wybrać opcję szyfrowania całości dysku, a nie tylko zajmowanej aktualnie przestrzeni. Sam proces szyfrowania może potrwać nawet parę godzin. Wszystko odbywa się w tle, zatem możesz swobodnie wykonywać dalej swoją pracę.

Kiedy muszę zgłaszać incydent?

Najczęstsze incydenty związane z użytkowaniem komputera związane są z jego kradzieżą lub zgubieniem. RODO nakazuje rejestrować wszystkie incydenty związane z przetwarzaniem danych osobowych w wewnętrznym rejestrze, lecz nie wszystkie musisz zgłaszać do UODO. Administrator jest zwolniony z tego obowiązku, jeżeli istnieje małe prawdopodobieństwo, by naruszenie ochrony danych osobowych skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Włączone szyfrowanie dysku z systemem oraz danymi i dobre praktyki używania komputera są elementem minimalizacji prawdopodobieństwa naruszenia. O ryzyku naruszenia praw lub wolności mówimy na przykład w sytuacji, gdy dane, które utraciliśmy, mogą powodować stratę finansową, kradzież tożsamości osoby, ale także dyskryminację tej osoby. Ocena sytuacji i odpowiednia decyzja należy tutaj do administratora, czyli Ciebie. Na zgłoszenie naruszenia do UODO masz 72 godziny od momentu jego potwierdzenia, dlatego ważne jest, aby mieć przygotowane odpowiednie procedury na taki wypadek, o czym pisałem w poprzednim artykule.

Informuj mnie o nowościach

Podając nam swój adres email wyrażasz zgodę na otrzymywanie od nas wiadomości o nowościach w serwisie RODOwskaz.online, usługach czy podsumowaniem ważnych zmian i interpretacji prawa związanych z przetwarzaniem danych osobowych w Twojej firmie. W każdej chwili możesz zrezygnować z otrzymywania informacji wypisując się z listy. Odpowiedni odnośnik znajdziesz w każdym mailu. Więcej informacji o przetwarzaniu danych osobowych znajdziesz w naszej polityce prywatności.

Pobierz poradnik, dzięki któremu zaczniesz dostosowywać swoją firmę do wymogów RODO