Zgubiony laptop to nie jest problem za pięć tysięcy złotych na nowy sprzęt. To jest problem zgłoszenia naruszenia do PUODO w ciągu 72 godzin, paniki klientów i kosztu powiadomień. Szyfrowanie dysku jest jedyną rzeczą, która zamienia ten incydent w zwykły protokół wymiany sprzętu.
Mówimy o tym osobno, bo szyfrowanie dysku to dziwna funkcja: wbudowana w Windowsa od dekady, darmowa, jednoklikowa — i mimo to w większości polskich MŚP wyłączona. Powód jest zawsze ten sam. „Nie potrzebujemy, mamy hasło do Windowsa". To nie jest to samo.
Dlaczego sam Windows nie wystarczy
Hasło do Windowsa zabezpiecza tylko ekran logowania. Kiedy ktoś wyjmie dysk z laptopa i podłączy go w innym komputerze jako dysk zewnętrzny, system Windows w ogóle się nie uruchamia — nie ma żadnego hasła do ominięcia. Atakujący widzi pliki użytkownika, pliki firmowe, cookies przeglądarki, zapamiętane hasła. Cała zawartość. Bez żadnego narzędzia hakerskiego — wystarczy śrubokręt i adapter USB-SATA za 30 zł.
To nie jest scenariusz teoretyczny. Laptop zginął z bagażnika podczas wizyty handlowca u klienta. Pracownik zostawił komputer w pokoju hotelowym i poszedł na śniadanie. Plecak ze sprzętem został w pociągu. Te trzy historie wydarzyły się u naszych klientów w ciągu ostatnich dwóch lat. Każda z nich kończyła się tym samym pytaniem: „czy mamy szyfrowany dysk?".
Jeśli odpowiedź brzmi „tak" — wpisujesz do protokołu, że dane były nieczytelne, zerujesz konto pracownika w usługach chmurowych, zamawiasz nowy laptop. Koniec sprawy. Jeśli odpowiedź brzmi „nie" — masz 72 godziny, żeby zgłosić naruszenie do PUODO, ewentualnie zawiadomić osoby, których dane były na dysku, i tłumaczyć się, dlaczego komputer z danymi klientów nie był zaszyfrowany.
BitLocker — co to jest naprawdę
BitLocker to mechanizm szyfrowania dysku w Windowsie 10/11 Pro (i Enterprise). Szyfruje cały wolumen systemowy, działa w tle, dla użytkownika jest praktycznie niewidoczny — laptop startuje normalnie, użytkownik loguje się hasłem, pracuje jak zwykle. Różnica pojawia się dopiero w momencie, w którym dysk zostanie wyjęty: poza oryginalnym sprzętem i bez klucza odzyskiwania pliki są bezużyteczne.
Dla MŚP to wystarczająca tarcza. Nie chronimy się tu przed służbami specjalnymi, tylko przed złodziejem laptopa i przed scenariuszem „zostawiłem komputer w taksówce". BitLocker te scenariusze załatwia w 100%.
Ważne: BitLocker jest dostępny tylko w wersjach Pro/Enterprise Windowsa. Jeśli komuś w firmie kupiliście laptop z Windows Home, szyfrowania nie włączycie — trzeba podbić licencję do Pro (jednorazowo ok. 600 zł za stanowisko) albo wymienić sprzęt przy następnej rotacji. Nie ma sensu kupować laptopów dla firmy z wersją Home.
Klucze odzyskiwania — gdzie najczęściej coś pęka
Każdy zaszyfrowany dysk ma 48-cyfrowy klucz odzyskiwania. Wpisuje się go w sytuacji, w której coś poszło nie tak: zepsuł się TPM, zmieniono płytę główną, użytkownik wpisał za dużo razy złe hasło. Bez klucza dysk jest zablokowany na zawsze — także dla Was.
To jest miejsce, w którym najczęściej widzimy chaos. Dział IT włącza BitLockera „na szybko", klucz odzyskiwania zapisuje na pulpicie tego samego laptopa (czyli też zostanie zaszyfrowany razem z nim) albo wysyła sobie mailem na konto, do którego nikt poza tym jednym informatykiem nie ma dostępu. Pół roku później informatyk odchodzi z firmy, a po kolejnym roku jakiś użytkownik dostaje ekran „Recovery Key required" i nagle nie da się zrobić nic.
Jedyne sensowne miejsca na klucze odzyskiwania:
- Microsoft Entra ID (dawne Azure AD) — jeśli macie Microsoft 365 Business Premium, klucze BitLockera lądują w panelu administracyjnym automatycznie. To jest opcja domyślna, jeśli firma już korzysta z M365.
- Active Directory — analogicznie, jeśli macie kontroler domeny on-premise.
- Intune — jeśli macie MDM, klucze są widoczne w panelu razem z resztą inwentaryzacji urządzeń.
- Manager haseł firmowy (Bitwarden, 1Password Business) — wpis per laptop, dostęp ograniczony do dwóch–trzech osób.
Co absolutnie nie nadaje się jako miejsce na klucze: prywatna skrzynka mailowa, pendrive w szufladzie, Excel na dysku sieciowym. Klucz odzyskiwania ma być tam, gdzie znajdziecie go za 3 lata, kiedy zapomnicie, że w ogóle istnieje.
Mac i Linux — krótko
Mac ma FileVault — odpowiednik BitLockera, włącza się w „Ustawienia → Prywatność i ochrona → FileVault". Tak samo: zapisać klucz, przechować poza tym laptopem. W praktyce z FileVault problem jest mniejszy, bo Apple od lat dość natrętnie pyta użytkownika, czy włączyć szyfrowanie podczas pierwszego uruchomienia — w MŚP większość Maców mamy już zaszyfrowanych „mimochodem".
Linux — LUKS, konfigurowany podczas instalacji systemu. Jeśli macie deweloperów na Linuksie i instalacja była robiona bez LUKSa, jedynym sposobem na włączenie szyfrowania jest reinstalka. To dobry argument, żeby standard dla nowych instalacji ustalić raz i się go trzymać.
Pułapki, na które trzeba uważać
Trzy rzeczy, które najczęściej psują projekt szyfrowania w MŚP.
Stary sprzęt bez TPM. TPM to mały układ na płycie głównej, w którym BitLocker trzyma klucze. Laptopy starsze niż ~2018 mogą go nie mieć. Można BitLockera włączyć bez TPM (z hasłem startowym), ale w praktyce wygodniej jest po prostu wymienić sprzęt, który już i tak jest na granicy żywotności.
Tryb uśpienia zamiast hibernacji. BitLocker chroni dysk dopiero po pełnym wyłączeniu komputera. Laptop zamknięty pokrywą, ale w trybie sleep, wciąż ma klucze szyfrowania w pamięci. Dla firm pracujących z danymi wrażliwymi (kancelarie, biura rachunkowe, służba zdrowia) warto wymusić politykę hibernacji albo wyłączania komputera na noc.
Brak protokołu na wypadek utraty sprzętu. Szyfrowany dysk to dopiero połowa pracy. Druga połowa to konkretna procedura: kto dzwoni do działu IT, kto blokuje konta w Microsoft 365 i CRM, kto wystawia nowe urządzenie, gdzie się to dokumentuje. Bez tego nawet z BitLockerem incydent będzie chaotyczny.
Konkretny przykład
U jednego z naszych klientów — 18-osobowa kancelaria prawna z Trójmiasta — laptop wspólnika zniknął z bagażnika podczas wizyty u klienta na Pomorzu. Na dysku były projekty umów, korespondencja z klientami, dwa lata maili. Przed wdrożeniem BitLockera taka utrata oznaczałaby zgłoszenie do PUODO, indywidualne powiadomienia kilkudziesięciu klientów, ryzyko utraty zaufania w branży, w której zaufanie jest jedynym aktywem.
Dysk był zaszyfrowany od ośmiu miesięcy. Klucze odzyskiwania były w Microsoft Entra ID. Konto wspólnika w M365 zostało zablokowane w 15 minut. Nowy laptop pojechał z kuriera następnego dnia, dane wróciły z OneDrive w trzy godziny. Zgłoszenia do PUODO nie było, bo dane były nieczytelne dla osoby trzeciej — co wystarczy do uznania, że naruszenie nie miało miejsca. Cały „incydent" kosztował firmę 6 tysięcy złotych na nowy laptop i pół dnia pracy informatyka. Bez szyfrowania kosztowałby co najmniej dziesięciokrotnie więcej i kilka tygodni nerwów.
Co zrobić teraz
Pięć rzeczy, które warto sprawdzić w tej kolejności:
- Ile macie w firmie laptopów i które z nich mają włączony BitLockera (na Windowsie sprawdzicie poleceniem
manage-bde -statusz prawami administratora). - Gdzie są klucze odzyskiwania — i czy znajdziecie je, jeśli za rok zniknie obecny informatyk.
- Czy nowy sprzęt kupowany w firmie ma od razu wersję Windows Pro.
- Jak wygląda procedura na wypadek zguby/kradzieży laptopa — czy ktoś ją kiedykolwiek spisał.
- Czy w polityce bezpieczeństwa firmy jest punkt o szyfrowaniu (potrzebny przy kwestionariuszach od klientów, audytach RODO, ubezpieczeniu cyber).
Jeśli żadna z tych odpowiedzi nie jest jednoznaczna, to znak, że temat warto domknąć, zanim zniknie pierwszy laptop. Pomożemy to ustawić raz, tak żeby nie trzeba było wracać do tematu przez kolejne lata.
Hasło do Windowsa zabezpiecza ekran logowania. Szyfrowanie dysku zabezpiecza dane. To dwie różne rzeczy i tylko jedna z nich liczy się dla PUODO.