Sikker brug af bærbar og telefon

Modul 5: Enheder, software og netværk · Læsetid: 10 minutter

Læringsmål: Efter denne lektion kan du beskytte bærbare computere og telefoner mod tab, tyveri og malware, og du ved hvad du skal gøre i den første time, hvis en enhed forsvinder.
Nøglebegreber: skærmlås, diskkryptering, gendannelsesnøgle, find og slet enhed, indbygget sikkerhed, standardbruger, administratorkonto, apprettigheder, fjernstyring (MDM)

Enheden er din nøgleknippe

På en bærbar eller telefon tilhørende en virksomhedsejer ligger ikke kun filer. Der er også logget ind på mail, bogføring og bank, gemte adgangskoder, authenticator-appen til totrinsbekræftelse, kundedata i download-mappen og billeder af pas som nogen "lige" havde sendt. En mistet eller stjålet enhed er derfor næsten altid mere end en udgift. Den kan give adgang til hele din virksomhed, og den kan udgøre et databrud (lektion 8.2).

Der findes to slags risici, med forskellige tiltag:

Skærmlås: den første dør

Uden lås kan alle der tager din enhed op, straks fortsætte dér hvor du slap. Indstil derfor:

• en pinkode eller adgangskode på hver enhed, med biometri (fingeraftryk eller ansigt) som bekvemmelighed oveni. En pinkode på seks cifre eller mere er langt stærkere end fire; et stregmønster kan ofte aflæses af sporene på skærmen;
• automatisk lås efter nogle få minutters inaktivitet;
• vanen med selv at låse når du går fra enheden. På Windows er det Windows-tasten + L, på en Mac Control + Command + Q;
• begræns notifikationer på låseskærmen. En login-kode via sms eller et uddrag af en fortrolig mail behøver ikke være synlig for den, der ser din telefon ligge på bordet.

Diskkryptering: det en tyv ikke kan læse

En skærmlås stopper en forbipasserende, men ikke en tyv med tid. Den kan tage disken ud af en bærbar og læse den i en anden computer. Mod det scenarie hjælper diskkryptering: alle data på lagringsmediet krypteres med en nøgle, der først frigives, når du logger ind. Uden den nøgle er disken bare en samling ulæselige tegn.

Til kryptering hører en gendannelsesnøgle: en lang kode som du kan bruge til at få adgang til dine data, hvis din adgangskode ikke længere virker eller efter en større ændring på enheden. Opbevar den nøgle et sted du også kan nå, hvis den bærbare selv er væk, for eksempel i din adgangskodeadministrator eller i din organisations konto. En gendannelsesnøgle på en seddel i computertasken er lige så nyttig som husnøglen under dørmåtten.

Hvorfor dette er vigtigt for GDPR (databeskyttelsesforordningen): mister du en krypteret enhed hvor nøglen er sikker opbevaret, er risikoen for misbrug af dataene lille. Med en ukrypteret bærbar med kundedata er det anderledes. Hvordan du vurderer det, lærer du i lektion 8.2.

Væk? Den første time

Sæt det op nu, så det virker når det bliver nødvendigt:

1. Slå find og slet på afstand til. Apple, Google og Microsoft har hver en funktion til at vise en enhed på kortet, få den til at bippe, låse den og slette den. Det virker kun, hvis det er aktiveret på forhånd.
2. Ved hvor du logger ind for at gøre det, og sørg for at du også kan gøre det uden den mistede enhed. Står din totrinsbekræftelse kun på den telefon, har du brug for dine gendannelseskoder (lektion 2.3).

Hvis enheden er væk:

1. Lås den på afstand, og vis en besked med et telefonnummer.
2. Træk sessioner tilbage hos dine vigtigste tjenester: mail, cloudlagring, bogføring. I Nextcloud kan du for eksempel tilbagekalde adgangen pr. enhed eller give enheden besked på at slette dataene fra den tjeneste.
3. Skift adgangskoder til konti, der var åbne på enheden, fra en anden, ren enhed.
4. Slet enheden på afstand, hvis du ikke hurtigt finder den igen.
5. Vurder og dokumentér om der lå persondata på den, og anmeld tyveriet til politiet (https://politi.dk/).

Malware: indbygget sikkerhed og minimale rettigheder

En moderne bærbar eller telefon har allerede meget sikkerhed indbygget: Windows har Microsoft Defender, macOS har egne kontroller af programmer, og Apples og Googles app-butikker kontrollerer apps, før de udbydes. En separat antivirus-pakke kan tilbyde ekstra funktioner, men det vigtigste er at den indbyggede sikkerhed er slået til og bliver opdateret.

To vaner gør en stor forskel:

• Arbejd dagligt som standardbruger, ikke som administrator. Malware du ved et uheld starter, får samme rettigheder som dig. Som standardbruger kan den langt mindre: kan ikke installere software, ændre systemindstillinger eller slå sikkerhed fra. Har du en gang brug for administratorrettigheder, beder systemet om administratoradgangskoden. Det øjeblik med eftertanke er netop meningen.
• Installér kun fra den officielle app-butik eller producentens egen side. På Android betyder det: lad "installation fra ukendte kilder" være slået fra. Svindlere sender ved hjælpebedrageri eller falske bankmeddelelser gerne et link til en "app", der i virkeligheden overtager din skærm.

Apprettigheder: hvad må en app?

Hver app beder om rettigheder: kamera, mikrofon, placering, kontakter, filer. En lommelygte-app, der vil have adgang til dine kontakter, har ingen god grund til det. Gennemgå rettighederne i din telefons indstillinger en gang i kvartalet:

• giv kun adgang til placering "mens appen bruges", ikke altid;
• tilbagekald adgang til kontakter og filer hos apps, der ikke har brug for det. Dine kontakter er andres persondata;
• fjern apps du ikke længere bruger;
• vær ekstra opmærksom på apps der beder om tilgængelighedsrettigheder eller skærmdeling. Dermed kan en app se og klikke på alt, hvad du ser.

Flere enheder? Fjernstyring

Arbejder du med nogle få personer eller flere, bliver "alle klarer det selv" svært at kontrollere. Med fjernstyring (Mobile Device Management, MDM) indstiller du centralt at hver enhed er krypteret, har en lås, modtager opdateringer og kan slettes på afstand. Der findes løsninger indbygget i de store erhvervspakker, separate tjenester og open source. For medarbejderes egne telefoner (bring your own device) kan du ofte kun administrere den erhvervsmæssige del, så du ikke får adgang til nogens private billeder.

Også uden MDM kan du lave aftaler og gennemgå dem sammen én gang om året. Tjeklisten i opgaven hjælper med det.

I praksis: sådan ser det ud

I Nextcloud, som WebOké tilbyder det, findes der under Indstillinger, Sikkerhed en liste Enheder & sessioner. Der kan du se hver browser, app og hvert appadgangskode, der har adgang. Via de tre prikker tilbagekalder du adgangen for én enhed, eller giver du enheden besked på at slette Nextcloud-dataene, så snart den igen får forbindelse. Hos andre cloudtjenester hedder det ofte "enheder", "sessioner" eller "sikkerhedsoversigt" og fungerer på lignende vis.

Opsummering

• En enhed er en nøgleknippe: sessioner, adgangskoder og 2FA-appen ligger på den.
• Lås automatisk, brug en stærk pinkode, og begræns notifikationer på låseskærmen.
• Slå diskkryptering til, og opbevar gendannelsesnøglen et andet sted end hos enheden.
• Slå find og slet på afstand til på forhånd; ved tab: lås, tilbagekald sessioner, skift adgangskoder, slet, vurder.
• Arbejd som standardbruger, installér kun fra officielle kilder, og gennemgå apprettighederne.

Quiz

Opgave

Opgave D5.2: Gennemgang af din bærbare og telefon. Kontrollér på din egen bærbare og telefon låsen, diskkrypteringen, gendannelsesnøglen, find og slet på afstand, din kontotype og apprettighederne. Afkryds tjeklisten, og skriv ned hvad du ville gøre, hvis din telefon bliver stjålet i morgen.

Læs mere

Trinene i WebOké-artiklerne gælder for WebOkés eget miljø; hos andre udbydere fungerer det på lignende vis.

• Nextcloud-vejledning 3.6: Enheder og sessioner se, tilbagekalde eller fjernslette
• Nextcloud-vejledning 3.10: Telefon væk eller 2FA væk: sådan kommer du ind igen
• WebOké vejledning 3.6: Se aktive sessioner og log ud
• Det nederlandske NCSC om mobilt udstyr: https://www.ncsc.nl/mobiele-apparatuur
• Microsoft, Enhedskryptering i Windows: https://support.microsoft.com/nl-nl/windows/apparaatversleuteling-in-windows-cf7e2b6f-3e70-4882-9532-18633605b7df
• Apple, adgangskoder og databeskyttelse (engelsk): https://support.apple.com/guide/security/passcodes-and-passwords-sec20230a10d/web