Kryptering

Sådan virker det – kort fortalt

Kryptering bruger en matematisk metode og en nøgle til at omdanne læsbare data til noget, der ligner tilfældige tegn. Kun den, der har nøglen, kan omdanne dem tilbage. Sikkerheden afhænger af to ting: at metoden er stærk, og at nøglen er beskyttet. Den stærkeste kryptering hjælper ikke, hvis nøglen ligger på en seddel ved siden af computeren – eller hvis adgangskoden, der låser nøglen op, er let at gætte.

Det skelnes typisk mellem data, der ligger (på en disk, i en database, i en backup), og data, der sendes (over internettet eller netværket). De to beskyttes med forskellige teknikker, og det ene dækker ikke det andet.

Kryptering af computere: BitLocker

På Windows-computere hedder den indbyggede diskkryptering BitLocker. Den krypterer hele drevet, så data ikke kan læses, hvis computeren bliver stjålet, eller disken tages ud og sættes i en anden maskine. BitLocker kan aktiveres på Windows Pro og Enterprise og bruger normalt computerens TPM-chip til at sikre, at ingen har pillet ved computeren, mens den var slukket.

Mange nye computere krypterer automatisk (Microsoft kalder det enhedskryptering). Når computeren er tilknyttet Microsoft Entra ID, gemmes gendannelsesnøglen der. Bruges der kun en lokal konto, er data ifølge Microsoft krypteret, men enheden står stadig ubeskyttet, fordi nøglen ikke er sikret.

Hvorfor det betyder noget ved tyveri

Datatilsynet bruger en stjålet computer eller USB-nøgle som eksempel i sin vejledning om brud på persondatasikkerheden. Er personoplysningerne ikke krypteret, er det et brud, fordi tyven har adgang til dem – uanset om adgangen bliver udnyttet. Er mediet beskyttet af stærk kryptering, der ikke kan omgås, er det ikke et brud. Er krypteringen svag, eller er der tvivl om, hvorvidt nøglen var beskyttet, skal det vurderes konkret.

Datatilsynet anbefaler, at det indgår i virksomhedens risikovurdering, om bærbare computere, telefoner og USB-nøgler skal krypteres.

Kryptering i Microsoft 365 og i mail

Microsoft krypterer data i Microsoft 365, både når de ligger i datacentrene (bl.a. med BitLocker og tjenestekryptering for Exchange, SharePoint og OneDrive), og når de sendes mellem jeres enheder og Microsoft (TLS). Det sker automatisk og kræver ikke noget af jer.

Mail mellem forskellige virksomheder er en anden sag. Det er Datatilsynets opfattelse, at kryptering som udgangspunkt er en passende foranstaltning, når der sendes fortrolige og følsomme personoplysninger med mail over internettet, og at krypteringen som minimum skal være TLS 1.2. Krypteringen mellem to mailservere beskytter dog kun på vejen mellem dem. Se også SSL/TLS og sikker mail.

Det beskytter kryptering ikke mod

• Overtagne konti: Logger en angriber ind med en medarbejders adgangskode, ser angriberen data i læsbar form. Her hjælper MFA, ikke kryptering.
• En åben computer: Diskkryptering beskytter en slukket eller låst computer. En ulåst computer i et mødelokale er ikke beskyttet.
• Sletning og nedbrud: Krypterede data kan stadig gå tabt. Det kræver backup – som i øvrigt også bør krypteres, anbefaler sikkerdigital.dk.

Kryptering og ransomware – samme teknik, modsat formål

Ransomware bruger også kryptering: Angriberen krypterer jeres data og beholder nøglen. Jeres egen kryptering forhindrer ikke det, fordi angriberen arbejder på data, der allerede er låst op. Forsvaret mod ransomware er adskilt backup, opdateringer og sikre log-in.

Spørgsmål I kan stille

• Er alle vores bærbare computere krypteret – og kan vi dokumentere det?
• Hvor ligger gendannelsesnøglerne, og kan vi finde dem, hvis en medarbejder er fraværende?
• Hvordan sender vi fortrolige eller følsomme personoplysninger med mail i dag?
• Er vores backup krypteret, og hvem har nøglen?

Hvornår giver det mening at få hjælp?

Få hjælp, hvis I ikke kan dokumentere, at jeres computere er krypteret, hvis gendannelsesnøglerne ikke ligger centralt, eller hvis I sender følsomme personoplysninger med mail og er i tvivl om, hvordan det gøres sikkert.

Spørgsmål og svar

Relaterede ord