Bezpieczne korzystanie z laptopa i telefonu

Moduł 5: Urządzenia, oprogramowanie i sieć · Czas czytania: 10 minut

Cel lekcji: Po tej lekcji będą Państwo potrafili zabezpieczyć laptopy i telefony przed utratą, kradzieżą i złośliwym oprogramowaniem oraz będą Państwo wiedzieli, co zrobić w pierwszej godzinie po zgubieniu urządzenia.
Kluczowe pojęcia: blokada ekranu, szyfrowanie dysku, klucz odzyskiwania, lokalizowanie i zdalne czyszczenie urządzenia, wbudowane zabezpieczenia, konto standardowego użytkownika, konto administratora, uprawnienia aplikacji, zdalne zarządzanie urządzeniami (MDM)

Urządzenie to pęk kluczy

Na laptopie czy telefonie przedsiębiorcy znajdują się nie tylko pliki. Są tam również zalogowane sesje poczty, księgowości i bankowości, zapisane hasła, aplikacja uwierzytelniająca do weryfikacji dwuskładnikowej, dane klientów w folderze pobranych plików oraz zdjęcia paszportów, które ktoś „akurat” przesłał. Zgubione lub skradzione urządzenie to zatem niemal zawsze coś więcej niż tylko strata finansowa. Może dać dostęp do całej Państwa firmy i może stanowić naruszenie ochrony danych (lekcja 8.2).

Istnieją dwa rodzaje zagrożeń, wymagające różnych środków zaradczych:

Blokada ekranu: pierwsze drzwi

Bez blokady każdy, kto weźmie Państwa urządzenie do ręki, może od razu kontynuować pracę w miejscu, w którym Państwo przerwali. Dlatego należy ustawić:

• kod PIN lub hasło na każdym urządzeniu, z biometrią (odcisk palca lub twarz) jako dodatkowym ułatwieniem. Kod PIN składający się z sześciu lub więcej cyfr jest znacznie silniejszy niż czterocyfrowy; wzór odblokowania można często odczytać ze śladów na ekranie;
• automatyczną blokadę po kilku minutach bezczynności;
• nawyk samodzielnego blokowania urządzenia, gdy Państwo od niego odchodzą. W systemie Windows to klawisz Windows + L, na komputerze Mac Control + Command + Q;
• ograniczenie powiadomień na ekranie blokady. Kod logowania przesłany SMS-em czy fragment poufnej wiadomości e-mail nie musi być widoczny dla kogoś, kto widzi Państwa telefon leżący na stole.

Szyfrowanie dysku: czego złodziej nie odczyta

Blokada ekranu powstrzyma przypadkowego przechodnia, ale nie złodzieja, który ma czas. Taka osoba może wyjąć dysk z laptopa i odczytać go w innym komputerze. Przed takim scenariuszem chroni szyfrowanie dysku: wszystkie dane na nośniku są szyfrowane kluczem, który uwalnia się dopiero po zalogowaniu. Bez tego klucza dysk to zbiór nieczytelnych znaków.

Do szyfrowania należy klucz odzyskiwania: długi kod, dzięki któremu można uzyskać dostęp do danych, gdy hasło przestanie działać lub po dużej zmianie w urządzeniu. Proszę przechowywać ten klucz w miejscu dostępnym również wtedy, gdy samego laptopa już nie ma, na przykład w menedżerze haseł lub na koncie organizacji. Klucz odzyskiwania na kartce w torbie od laptopa jest równie przydatny co klucz do domu pod wycieraczką.

Dlaczego ma to znaczenie dla RODO: jeśli zgubią Państwo zaszyfrowane urządzenie, którego klucz jest bezpiecznie przechowywany, ryzyko nadużycia danych jest niewielkie. W przypadku niezaszyfrowanego laptopa z danymi klientów sytuacja wygląda inaczej. Jak to ocenić, dowiedzą się Państwo w lekcji 8.2.

Zgubione? Pierwsza godzina

Proszę przygotować to już teraz, aby zadziałało, gdy będzie potrzebne:

1. Włączyć lokalizowanie i zdalne czyszczenie urządzenia. Apple, Google i Microsoft oferują funkcje pokazywania urządzenia na mapie, uruchamiania sygnału dźwiękowego, blokowania i czyszczenia danych. Działa to tylko wtedy, gdy zostało wcześniej włączone.
2. Proszę wiedzieć, gdzie się Państwo logują, aby to zrobić, i upewnić się, że mogą to Państwo zrobić również bez zgubionego urządzenia. Jeśli weryfikacja dwuskładnikowa jest ustawiona tylko na tym telefonie, będą potrzebne kody odzyskiwania (lekcja 2.3).

Jeśli urządzenie zostało zgubione:

1. Proszę je zablokować zdalnie i wyświetlić komunikat z numerem telefonu.
2. Proszę unieważnić sesje w najważniejszych usługach: poczcie, chmurze, księgowości. W Nextcloud można na przykład cofnąć dostęp dla konkretnego urządzenia lub polecić mu usunięcie danych danej usługi.
3. Proszę zmienić hasła kont, które były otwarte na urządzeniu, korzystając z innego, bezpiecznego urządzenia.
4. Proszę zdalnie wyczyścić urządzenie, jeśli szybko się nie odnajdzie.
5. Proszę ocenić i udokumentować, czy znajdowały się na nim dane osobowe, oraz zgłosić kradzież na Policji.

Złośliwe oprogramowanie: wbudowane zabezpieczenia i minimalne uprawnienia

Nowoczesny laptop czy telefon ma już wiele zabezpieczeń: system Windows ma Microsoft Defender, macOS posiada własne mechanizmy kontroli aplikacji, a sklepy z aplikacjami Apple i Google weryfikują aplikacje przed ich udostępnieniem. Osobny program antywirusowy może oferować dodatkowe funkcje, ale najważniejsze jest to, aby wbudowane zabezpieczenia były włączone i aktualizowane.

Dwa nawyki robią dużą różnicę:

• Na co dzień proszę pracować jako standardowy użytkownik, a nie jako administrator. Złośliwe oprogramowanie, które przypadkowo Państwo uruchomią, otrzyma takie same uprawnienia, jakie ma zalogowany użytkownik. Jako standardowy użytkownik może ono zrobić znacznie mniej: nie może instalować oprogramowania, zmieniać ustawień systemowych ani wyłączać zabezpieczeń. Jeśli raz potrzebują Państwo uprawnień administratora, system poprosi o hasło administratora. Ten moment zastanowienia jest właśnie celem tego mechanizmu.
• Proszę instalować oprogramowanie wyłącznie z oficjalnego sklepu z aplikacjami lub ze strony producenta. W systemie Android oznacza to pozostawienie wyłączonej opcji „instalowanie z nieznanych źródeł”. Oszuści przy oszustwach na „pomoc techniczną” lub fałszywych powiadomieniach bankowych chętnie przesyłają link do „aplikacji”, która w rzeczywistości przejmuje kontrolę nad ekranem.

Uprawnienia aplikacji: co wolno aplikacji?

Każda aplikacja prosi o uprawnienia: aparat, mikrofon, lokalizacja, kontakty, pliki. Aplikacja latarki, która chce mieć dostęp do kontaktów, nie ma ku temu dobrego powodu. Raz na kwartał proszę przejrzeć uprawnienia w ustawieniach telefonu:

• proszę udzielać dostępu do lokalizacji tylko „podczas korzystania z aplikacji”, nie zawsze;
• proszę cofnąć dostęp do kontaktów i plików aplikacjom, które go nie potrzebują. Kontakty to dane osobowe innych osób;
• proszę usunąć aplikacje, z których Państwo już nie korzystają;
• proszę zwrócić szczególną uwagę na aplikacje, które proszą o uprawnienia dostępności lub udostępnianie ekranu. Dzięki nim aplikacja może widzieć i klikać wszystko to, co widzą Państwo.

Więcej urządzeń? Zdalne zarządzanie

Jeśli pracują Państwo z kilkoma osobami lub większym zespołem, zasada „każdy radzi sobie sam” staje się trudna do kontrolowania. Dzięki zdalnemu zarządzaniu urządzeniami (Mobile Device Management, MDM) można centralnie ustawić, że każde urządzenie jest zaszyfrowane, ma blokadę, otrzymuje aktualizacje i może zostać zdalnie wyczyszczone. Takie rozwiązania są wbudowane w duże pakiety biurowe dla firm, dostępne jako osobne usługi oraz jako oprogramowanie open source. W przypadku prywatnych telefonów pracowników (bring your own device) często można zarządzać wyłącznie częścią służbową, dzięki czemu nie mają Państwo dostępu do prywatnych zdjęć pracownika.

Nawet bez MDM można ustalić zasady i przeglądać je wspólnie raz w roku. Pomoże w tym lista kontrolna w zadaniu.

W praktyce: jak to wygląda

W Nextcloud, w wersji oferowanej przez WebOké, w sekcji Ustawienia, Bezpieczeństwo znajduje się lista Urządzenia i sesje. Widoczna jest tam każda przeglądarka, aplikacja i hasło aplikacji, które mają dostęp. Za pomocą trzech kropek można cofnąć dostęp dla jednego urządzenia lub polecić mu usunięcie danych Nextcloud, gdy tylko ponownie połączy się z siecią. W innych usługach chmurowych funkcja ta często nazywa się „urządzenia”, „sesje” lub „przegląd zabezpieczeń” i działa w podobny sposób.

Podsumowanie

• Urządzenie to pęk kluczy: znajdują się na nim sesje, hasła i aplikacja do weryfikacji dwuskładnikowej.
• Proszę ustawić automatyczną blokadę, korzystać z silnego kodu PIN i ograniczyć powiadomienia na ekranie blokady.
• Proszę włączyć szyfrowanie dysku i przechowywać klucz odzyskiwania w innym miejscu niż samo urządzenie.
• Proszę wcześniej włączyć lokalizowanie i zdalne czyszczenie urządzenia; w razie zgubienia: zablokować, unieważnić sesje, zmienić hasła, wyczyścić dane, ocenić sytuację.
• Proszę pracować jako standardowy użytkownik, instalować oprogramowanie wyłącznie z oficjalnych źródeł i regularnie przeglądać uprawnienia aplikacji.

Quiz

Zadanie

Zadanie D5.2: Sprawdzenie laptopa i telefonu. Proszę sprawdzić na swoim laptopie i telefonie blokadę ekranu, szyfrowanie dysku, klucz odzyskiwania, funkcję lokalizowania i zdalnego czyszczenia, typ konta oraz uprawnienia aplikacji. Proszę zaznaczyć punkty na liście kontrolnej i zapisać, co by Państwo zrobili, gdyby telefon został skradziony jutro.

Przeczytaj więcej

Kroki opisane w artykułach WebOké dotyczą środowiska WebOké; u innych dostawców działa to w podobny sposób.

• Podręcznik Nextcloud 3.6: Przeglądanie, cofanie dostępu lub zdalne czyszczenie urządzeń i sesji
• Podręcznik Nextcloud 3.10: Zgubiony telefon lub brak dostępu do uwierzytelniania dwuskładnikowego: jak odzyskać dostęp
• Podręcznik WebOké 3.6: Przeglądanie aktywnych sesji i wylogowywanie się
• CERT Polska, poradniki dotyczące urządzeń mobilnych: https://cert.pl/
• Microsoft, szyfrowanie urządzenia w systemie Windows: https://support.microsoft.com/nl-nl/windows/apparaatversleuteling-in-windows-cf7e2b6f-3e70-4882-9532-18633605b7df
• Apple, kody dostępu i ochrona danych (w języku angielskim): https://support.apple.com/guide/security/passcodes-and-passwords-sec20230a10d/web