Datasikkerhed: Vogn 71, plads 45. I toget over for Steen sidder en midaldrende mand i jakkesæt. Han introducerede sig kort, da han satte sig – noget med revision af fondsejede virksomheder – men Steen havde tankerne et andet sted:
Han er på vej til bestyrelsesmøde, hvor regnskabet skal præsenteres. PowerPoint-filen ligger klar på computerens skrivebord, og han kan den udenad. Steen klapper computeren sammen og lukker øjnene – bare lige 5 minutters hvil, inden han ankommer.
”København Hovedbanegård” skratter i højtalerne, og Steen åbner øjnene. Han må være faldet hen. Overfor er revisoren væk. Det samme er Steens bærbare computer med årets regnskab liggende på skrivebordet !
Nu er der to udfald: Enten har IT-afdelingen krypteret
Steens computer, eller også risikerer de, at alle Steens lokale filer ender i
de forkerte hænder.
Alle enheder skal krypteres for at opretholde datasikkerhed
I de 15 år jeg har arbejdet med IT- og datasikkerhed, har jeg endnu til gode at møde en virksomhed, der på trods af IT-politik med sikkerhed kan sige, at deres medarbejdere aldrig gemmer filer lokalt på deres computere. Selvom datasikkerhed har fået særlig opmærksomhed efter GDPR-forordningen trådte i kraft, er det stadig medarbejderne – men også ledelsen – der er IT-sikkerhedens svageste led.
Som IT-chef har du derfor ikke noget valg, hvis du vil sikre jeres data: Du skal kryptere alle jeres enheder.
Da Microsoft introducerede krypteringsværktøjet BitLocker, var det netop med datasikkerhed for øje. Og selvom BitLocker er et gratis værktøj, der følger med som standard i Windows 10 og 11, er det ikke uden udfordringer at implementere det.
Hvis du vil sikre jeres data med BitLocker – og skal stole på, at det virker – kræver det nemlig tre ting:
- Alle enheder skal være modne til at kunne krypteres
- Du skal kunne overvåge, om enhederne forbliver krypterede
- BitLocker recovery keys skal gemmes centralt, så en medarbejders harddisk kan låses op, hvis medarbejderen mister adgangen til den.
BitLocker-kryptering skal kunne overvåges fra centralt hold
De fleste organisationer, jeg taler med, har brug for at kunne kryptere hele maskinparken fra en central IT-afdeling. Man kan selvfølgelig også bruge ”gummisko”-metoden og gå rundt til alle medarbejdere, tjekke og modne deres maskiner og kryptere dem én efter én.
”Gummisko”-metoden har dog to overhængende problemer. Selvfølgelig er der hele tidsaspektet, men faktisk mister du også kontrollen, så snart du forlader den computer, du lige har krypteret.
Hvad værre er, så ved du faktisk heller ikke, om din kollegas maskine fortsætter med at være krypteret, efter du forlader rummet.
Særligt den sidste pointe er væsentlig, hvis du ser på datasikkerheden fra et GDPR-mæssigt synspunkt. Som IT-chef skal du nemlig kunne være 100 procent sikker på, at alle jeres person- og virksomhedsfølsomme data er beskyttet. Og hvis du er usikker på, om alle maskiner er krypteret, ved du det strengt taget ikke.
Som IT-chef i en virksomhed er det derfor alfa og omega, at du både har mulighed for at igangsætte og monitorere krypteringen af de enkelte maskiner fra centralt hold, og at du samtidigt har adgang til de enkelte maskiners recovery keys, så dine folk kan supportere jeres kolleger.
LÆS OGSÅ: Sådan forklarer du IT-sikkerhed, så medarbejderne forstår det
En stjålen computer er ikke nødvendigvis et sikkerhedsbrud
For Steen endte historien godt.
Efter en reprimande fra IT-chefen om aldrig at gemme filer lokalt, fik de gendannet en backup, så Steen kunne gennemføre præsentationen fra en anden computer.
I telefonen kunne IT-chefen forsikre Steen om, at selvom han havde brudt virksomhedens datapolitikker, så var hans computer krypteret, og hverken filer på skrivebordet eller andre steder på computeren kunne tilgås af hackere.
Selvom Steens i forvejen lange dag blev lidt længere, så var den stjålne computer blot en mistet bunke hardware – intet andet.
