Bruk laptop og telefon trygt

Modul 5: Enheter, programvare og nettverk · Lesetid: 10 minutter

Læringsmål: Etter denne leksjonen kan du sikre laptoper og telefoner mot tap, tyveri og skadevare, og du vet hva du gjør den første timen hvis en enhet er borte.
Kjernebegreper: skjermlås, diskkryptering, gjenopprettingsnøkkel, finn og slett enhet, innebygd sikkerhet, standardbruker, administratorkonto, apptillatelser, fjernstyring (MDM)

Enheten er nøkkelknippet

På en laptop eller telefon som tilhører en bedriftseier, ligger det ikke bare filer. Der ligger også innloggede økter for e-post, regnskap og bank, lagrede passord, autentiseringsappen for tofaktorautentisering (2FA), kundeopplysninger i nedlastingsmappen og bilder av pass som noen «bare» hadde sendt. En mistet eller stjålet enhet er derfor nesten alltid mer enn en utgiftspost. Den kan gi tilgang til hele bedriften din, og det kan være et avvik (datalekkasje) (leksjon 8.2).

Det finnes to typer risiko, med ulike tiltak:

Skjermlås: den første døren

Uten lås kan hvem som helst som plukker opp enheten din, fortsette rett der du slapp. Still derfor inn:

• en PIN-kode eller passord på hver enhet, med biometri (fingeravtrykk eller ansikt) som en ekstra bekvemmelighet. En PIN-kode på seks sifre eller mer er mye sterkere enn fire; et sveiemønster kan ofte leses av smussmerkene på skjermen;
• automatisk lås etter noen minutters inaktivitet;
• vanen med å låse selv når du går fra enheten. På Windows er det Windows-tasten + L, på Mac er det Control + Command + Q;
• begrens varslinger på låseskjermen. En innloggingskode på SMS eller et utdrag fra en fortrolig e-post trenger ikke være synlig for den som ser telefonen din ligge på bordet.

Diskkryptering: det en tyv ikke kan lese

En skjermlås stopper en forbipasserende, men ikke en tyv med tid. Vedkommende kan ta ut disken fra en laptop og lese den i en annen datamaskin. Mot det scenarioet hjelper diskkryptering: alle data på lagringsmediet krypteres med en nøkkel som først frigis når du logger inn. Uten den nøkkelen er disken bare en samling uleselige tegn.

Til kryptering hører en gjenopprettingsnøkkel: en lang kode som gir deg tilgang til dataene hvis passordet ditt slutter å virke eller etter en stor endring på enheten. Oppbevar den nøkkelen et sted du også kan nå selv om laptopen er borte, for eksempel i passordbehandleren din eller i organisasjonens konto. En gjenopprettingsnøkkel på en lapp i laptopvesken er like nyttig som husnøkkelen under dørmatten.

Hvorfor dette teller for GDPR (personvernforordningen): mister du en kryptert enhet der nøkkelen er trygt oppbevart, er risikoen for misbruk av dataene liten. Med en ukryptert laptop med kundeopplysninger er det annerledes. Hvordan du vurderer det, lærer du i leksjon 8.2.

Borte? Den første timen

Sett dette opp nå, så virker det når du trenger det:

1. Slå på finn og slett på avstand. Apple, Google og Microsoft har hver sin funksjon for å vise en enhet på kartet, få den til å pipe, låse den og slette den. Den fungerer bare hvis den er aktivert på forhånd.
2. Vit hvor du logger inn for å gjøre dette, og sørg for at du kan gjøre det selv uten den bortkomne enheten. Hvis tofaktorautentiseringen din kun er koblet til den telefonen, trenger du gjenopprettingskodene dine (leksjon 2.3).

Hvis enheten er borte:

1. Lås den på avstand og vis en melding med et telefonnummer.
2. Trekk tilbake økter hos de viktigste tjenestene dine: e-post, skylagring, regnskap. I Nextcloud kan du for eksempel trekke tilbake tilgangen per enhet, eller be enheten slette dataene for den tjenesten.
3. Endre passord for kontoer som var åpne på enheten, fra en annen, ren enhet.
4. Slett enheten på avstand hvis du ikke finner den igjen raskt.
5. Vurder og dokumenter om det lå personopplysninger på enheten, og meld fra ved tyveri (anmeldelse til politiet, https://www.politiet.no/).

Skadevare: innebygd sikkerhet og minimale rettigheter

En moderne laptop eller telefon har allerede mye sikkerhet innebygd: Windows har Microsoft Defender, macOS har egne kontroller på programmer, og appbutikkene til Apple og Google kontrollerer apper før de blir tilgjengelige. En egen antivirusløsning kan gi ekstra funksjoner, men det viktigste er at den innebygde sikkerheten er slått på og blir oppdatert.

To vaner gjør en stor forskjell:

• Jobb daglig som standardbruker, ikke som administrator. Skadevare du starter ved et uhell, får da de samme rettighetene som deg. Som standardbruker kan den gjøre mye mindre: ikke installere programvare, ikke endre systeminnstillinger, ikke slå av sikkerhet. Trenger du administratorrettigheter en gang iblant, spør systemet om administratorpassordet. Det øyeblikket med ettertanke er nettopp hensikten.
• Installer bare fra den offisielle appbutikken eller fra utviklerens egen nettside. På Android betyr det: la «installer fra ukjente kilder» stå avslått. Svindlere ved hjelpebedrageri eller falske bankvarsler sender gjerne en lenke til en «app» som i virkeligheten tar over skjermen din.

Apptillatelser: hva får en app lov til?

Hver app ber om rettigheter: kamera, mikrofon, posisjon, kontakter, filer. En lommelykt-app som vil ha tilgang til kontaktene dine, har ingen god grunn til det. Gå gjennom rettighetene i telefoninnstillingene én gang i kvartalet:

• gi posisjon kun «mens appen brukes», ikke alltid;
• trekk tilbake tilgangen til kontakter og filer for apper som ikke trenger det. Kontaktene dine er andres personopplysninger;
• fjern apper du ikke lenger bruker;
• vær ekstra oppmerksom på apper som ber om tilgjengelighetsrettigheter eller skjermdeling. Med det kan en app se og klikke på alt du ser.

Flere enheter? Fjernstyring

Jobber du med noen få personer eller flere, blir «alle ordner det selv» vanskelig å kontrollere. Med fjernstyring (Mobile Device Management, MDM) stiller du sentralt inn at hver enhet er kryptert, har en lås, får oppdateringer og kan slettes på avstand. Det finnes løsninger innebygd i de store forretningspakkene for kontorbruk, frittstående tjenester og åpen kildekode. For telefoner som ansatte selv eier (bring your own device) kan du ofte bare administrere den forretningsmessige delen, slik at du ikke kommer til noens private bilder.

Også uten MDM kan du lage avtaler og gå gjennom dem sammen én gang i året. Sjekklisten i oppgaven hjelper deg med det.

I praksis: slik ser det ut

I Nextcloud, slik WebOké tilbyr det, finner du under Innstillinger, Security en liste kalt Devices. Der ser du hver nettleser, app og hvert app-passord som har tilgang. Via de tre prikkene trekker du tilbake tilgangen til én enhet, eller ber enheten slette Nextcloud-dataene neste gang den kobler til. Hos andre skytjenester heter det ofte «enheter», «økter» eller «sikkerhetsoversikt» og fungerer på lignende måte.

Oppsummering

• En enhet er et nøkkelknippe: økter, passord og 2FA-appen ligger på den.
• Lås automatisk, bruk en sterk PIN-kode og begrens varslinger på låseskjermen.
• Slå på diskkryptering og oppbevar gjenopprettingsnøkkelen et annet sted enn ved enheten.
• Sett opp finn og slett på avstand på forhånd; ved tap: lås, trekk tilbake økter, endre passord, slett, vurder.
• Jobb som standardbruker, installer bare fra offisielle kilder og gå gjennom apptillatelsene.

Quiz

Oppgave

Oppgave D5.2: Gå gjennom laptopen og telefonen din. Kontroller på din egen laptop og telefon låsen, diskkrypteringen, gjenopprettingsnøkkelen, finn og slett på avstand, kontotypen din og apptillatelsene. Kryss av i sjekklisten og skriv ned hva du ville gjort hvis telefonen din ble stjålet i morgen.

Les mer

Trinnene i WebOké-artiklene gjelder for miljøet til WebOké; hos andre leverandører fungerer det på lignende måte.

• Nextcloud-veiledning 3.6: Vise, avslå eller fjernslette enheter og økter
• Nextcloud-veiledning 3.10: Mistet telefonen eller 2FA: slik kommer du inn igjen
• WebOké-veiledning 3.6: Vise og logge ut aktive økter
• Nasjonal sikkerhetsmyndighet (NSM), råd om mobile enheter: https://nsm.no/
• Microsoft, enhetskryptering i Windows: https://support.microsoft.com/nl-nl/windows/apparaatversleuteling-in-windows-cf7e2b6f-3e70-4882-9532-18633605b7df
• Apple, tilgangskoder og databeskyttelse (engelsk): https://support.apple.com/guide/security/passcodes-and-passwords-sec20230a10d/web