En bærbar, der er glemt i toget eller stjålet fra en bil, er et af de mest almindelige sikkerhedsproblemer i en IT-afdelings hverdag. Spørgsmålet er ikke, om maskinen kommer tilbage, men om dataene på den kan læses af den, der har den. Svaret hviler på diskkryptering, og på om den er slået til på alle maskiner, sat rigtigt op og understøttet af en opstart, der ikke kan omgås. En klienttest kan afprøve netop den situation: maskinen i fremmede hænder, uden at nogen er logget ind.
Hvad kryptering beskytter mod
Diskkryptering gør indholdet på maskinens lager ulæseligt uden den rette nøgle. Microsoft beskriver formålet med den indbyggede kryptering i Windows som beskyttelse mod tyveri eller eksponering af data fra tabte, stjålne eller forkert kasserede enheder. Apple beskriver den tilsvarende funktion på Mac på samme måde.
Det er værd at holde fast i, hvad kryptering ikke gør.
- Den beskytter ikke en tændt og ulåst maskine · når brugeren er logget ind, er dataene tilgængelige som normalt.
- Den beskytter ikke data, der allerede er sendt videre · filer i skyen eller på et USB-drev er et andet spørgsmål.
- Den erstatter ikke andre kontroller · en krypteret maskine med svag adgangskode til brugeren er kun så stærk som adgangskoden.
Krypteringen er altså værnet for den slukkede eller låste maskine. Det er den situation, testen skal afprøve.
Det, testen afprøver
I en klienttest med udgangspunkt i en tabt maskine får testeren enheden uden brugerens loginoplysninger. Spørgsmålet er, hvad der kan opnås derfra. Testen ser typisk på følgende.
- Er disken krypteret · både systemdrevet og eventuelle andre drev i maskinen.
- Hvordan nøglen beskyttes · om nøglen frigives automatisk ved opstart, eller om der kræves noget ekstra fra brugeren, fx en kode før styresystemet starter.
- Opstartens beskyttelse · om maskinen kan startes fra andet end sit eget lager, og om indstillingerne i firmwaren er låst. → Firmware og opstartsbeskyttelse på klienter
- Gendannelsesnøglen · hvor den gemmes, og hvem der kan se den.
- Andre veje til data · om der ligger data uden for det krypterede område, fx på et ekstra drev eller et hukommelseskort.
Testen ændrer ikke maskinens data permanent, men den kan ændre indstillinger. Maskinen skal derfor geninstalleres, før den gives til en medarbejder igen.
Fundtyper, I kan møde
Fundene i området handler ikke nødvendigvis om, at krypteringen i sig selv svigter. De handler om, hvordan den er indført og vedligeholdt.
- Maskiner uden kryptering · fx ældre maskiner, enheder købt uden om den normale proces eller maskiner, der aldrig er kommet ind i den centrale styring. → Enheder uden ejer
- Kryptering, der aldrig blev afsluttet · krypteringen er startet, men står i en tilstand, hvor nøglen ikke er beskyttet. Microsoft beskriver, at automatisk kryptering på en maskine med kun lokale konti ikke giver reel beskyttelse, selv om dataene er krypteret.
- Gendannelsesnøgler uden styr · nøgler, der ikke er gemt centralt, eller som mange kan slå op.
- Svag eller ingen ekstra beskyttelse ved opstart · på maskiner med særligt følsomme data kan det være en beslutning, der ikke er truffet bevidst.
- Ulåst firmware · indstillinger, som kan ændres af enhver, der har maskinen i hånden.
Det første fund er det mest almindelige og det vigtigste. En politik om kryptering hjælper kun de maskiner, den når.
Hvad IT forbereder
Før testen skal I vide, hvad I forventer. Ellers kan rapporten ikke skelne mellem en fejl og et valg.
- Beskriv politikken · hvilke maskiner skal være krypteret, med hvilken beskyttelse ved opstart, og hvor gendannelsesnøglerne gemmes.
- Træk en status · hvor mange maskiner rapporterer i dag, at de er krypteret? Det giver testen et grundlag at vurdere fundene mod. → Intune og enhedspolitikker
- Vælg en repræsentativ maskine · klargjort som en ny medarbejders, og gerne suppleret med en ældre model, hvis den stadig er i brug.
- Afklar varianterne · Windows-maskiner, Mac’er og eventuelle andre platforme har hver deres opsætning og hver deres ejer.
Hvad fundene betyder, og hvordan I retter
Prioriteringen afhænger af, hvad der ligger på maskinerne. Bærbare, der bruges til persondata, økonomi eller administration, kommer først.
- Dæk hele flåden · find maskinerne uden kryptering og få dem krypteret eller udskiftet. Det behøver ikke være teknisk svært, men det kræver en opgørelse.
- Afslut krypteringen · maskiner, hvor den står halvt færdig, bringes i den tilstand, politikken kræver.
- Styr gendannelsesnøglerne · de gemmes centralt, og adgangen til dem behandles som privilegeret adgang.
- Beslut beskyttelsen ved opstart · for maskiner med følsomme data tages der stilling til, om automatisk frigivelse af nøglen er nok.
- Lås firmwaren · indstillinger, der påvirker opstarten, kan kun ændres af IT.
Kryptering er også relevant, når data er fundet andre steder i testen. Ligger følsomme filer lokalt på mange maskiner, øger det betydningen af hver tabt enhed. → Følsomme data fundet under testen
Når en maskine faktisk bliver væk
Testens resultat får betydning den dag, en medarbejder ringer og siger, at den bærbare er væk. Så skal servicedesken hurtigt kunne svare på tre spørgsmål: var maskinen krypteret, hvilken bruger og hvilke data hørte til den, og kan maskinen spærres eller slettes på afstand?
Kan I svare på de tre spørgsmål ud fra jeres egne systemer, er krypteringen en del af en proces og ikke bare en indstilling. Kan I ikke, er det et fund i sig selv, uanset hvad testen viste om den enkelte maskine. Hvis persondata kan være berørt, skal det også vurderes, om tabet skal håndteres som et sikkerhedsbrud.
Det skal I lade være med
- At tro, at en politik betyder, at alle maskiner er krypteret. Kontrollér status på den enkelte maskine.
- At gemme gendannelsesnøgler i et regneark. De skal ligge et sted med adgangsstyring og log.
- At glemme Mac’erne og de ældre maskiner. De kan falde uden for den proces, der gælder for resten.
- At kassere maskiner uden at slette nøglerne og dataene. Den kasserede maskine er også en tabt enhed.
- At lade testmaskinen gå videre uden geninstallation. Den kan have fået ændret indstillinger.
Hvad kan og ikke kan konkluderes
Testen viser, om den testede maskine beskyttede sine data, da den var slukket eller låst, og om opstarten kunne omgås. Den viser ikke, at alle andre maskiner er sat op på samme måde. Det er en opgørelse over flåden, der kan svare på det. Testen siger heller ikke noget om data, der er kopieret væk fra maskinen før tabet. → Klienttest for IT-afdelingen
Tjekliste til kryptering af bærbare
- ☐ Er det beskrevet, hvilke maskiner der skal krypteres, og hvordan?
- ☐ Kender I status på krypteringen for hver maskine?
- ☐ Gemmes gendannelsesnøgler centralt med begrænset adgang?
- ☐ Er firmwaren låst, så opstarten ikke kan ændres?
- ☐ Er Mac’er og ældre maskiner med i opgørelsen?
- ☐ Slettes nøgler og data, når maskiner kasseres?
Kilder
- Microsoft Learn: BitLocker overview: kryptering af hele drev mod tyveri eller eksponering fra tabte, stjålne eller forkert kasserede enheder; mulighed for ekstra kode ved opstart; automatisk kryptering på maskiner med kun lokale konti giver ikke reel beskyttelse.
- Apple Platform Deployment: Intro to FileVault: FileVault beskytter organisationens data på en Mac, hvis den bliver tabt eller stjålet.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Intune og enhedspolitikker · Enheder uden ejer
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
