Varno uporabljajte prenosnik in telefon

Modul 5: Naprave, programska oprema in omrežje · Čas branja: 10 minut

Cilj lekcije: Po tej lekciji boste znali zaščititi prenosnike in telefone pred izgubo, krajo in zlonamerno programsko opremo, in vedeli boste, kaj storiti v prvi uri, ko naprava izgine.
Ključni pojmi: zaklepanje zaslona, šifriranje diska, obnovitveni ključ, iskanje in brisanje naprave, vgrajena zaščita, standardni uporabnik, skrbniški račun, dovoljenja aplikacij, upravljanje na daljavo (MDM)

Naprava je Vaša zveza ključev

Na prenosniku ali telefonu podjetnika ni samo datotek. Na njih so tudi prijavljene seje e-pošte, računovodstva in banke, shranjena gesla, aplikacija za preverjanje pristnosti za dvostopenjsko preverjanje, podatki strank v mapi s prenosi in fotografije potnih listov, ki Vam jih je nekdo "samo na hitro" poslal. Izgubljena ali ukradena naprava je zato skoraj vedno več kot le strošek. Lahko omogoči dostop do celotnega Vašega podjetja, in lahko pomeni kršitev varstva podatkov (lekcija 8.2).

Obstajata dve vrsti tveganj, z različnimi ukrepi:

Zaklepanje zaslona: prva vrata

Brez zaklepanja lahko vsak, ki dvigne Vašo napravo, nadaljuje tam, kjer ste ostali Vi. Zato nastavite:

• PIN kodo ali geslo na vsaki napravi, z biometrijo (prstni odtis ali obraz) kot dodatno udobje. PIN koda s šestimi ali več števkami je veliko močnejša od štirih; vzorec potega po zaslonu je pogosto mogoče razbrati po madežih na zaslonu;
• samodejno zaklepanje po nekaj minutah neuporabe;
• navado, da sami zaklenete napravo, ko odidete. V Windows je to tipka Windows + L, na Mac Control + Command + Q;
• omejitev obvestil na zaklenjenem zaslonu. Prijavna koda po SMS ali del zaupnega sporočila ne sme biti viden tistemu, ki vidi Vaš telefon na mizi.

Šifriranje diska: kar tat ne more prebrati

Zaklepanje zaslona ustavi mimoidočega, ne pa tatu s časom na voljo. Ta lahko vzame disk iz prenosnika in ga prebere v drugem računalniku. Pred tem scenarijem ščiti šifriranje diska: vsi podatki na pomnilniku so šifrirani s ključem, ki se sprosti šele, ko se prijavite. Brez tega ključa je disk zgolj zbirka neberljivih znakov.

Ob šifriranju sodi tudi obnovitveni ključ: dolga koda, s katero pridete do podatkov, če geslo ne deluje več ali po veliki spremembi na napravi. Ta ključ shranite na mestu, ki ga lahko dosežete tudi, če same naprave ni več, na primer v Vašem upravitelju gesel ali v računu Vaše organizacije. Obnovitveni ključ na listku v torbi za prenosnik je prav tako koristen kot hišni ključ pod predpražnikom.

Zakaj je to pomembno za GDPR: če izgubite šifrirano napravo, katere ključ je varno shranjen, je možnost zlorabe podatkov majhna. Pri nešifriranem prenosniku s podatki strank je to drugače. Kako to presoditi, se naučite v lekciji 8.2.

Izgubljena naprava? Prva ura

Pripravite to vnaprej, da bo delovalo, ko bo potrebno:

1. Vklopite iskanje in brisanje na daljavo. Apple, Google in Microsoft imajo vsak svojo funkcijo za prikaz naprave na zemljevidu, njeno zvonjenje, zaklepanje in brisanje. Deluje le, če je bila vnaprej vklopljena.
2. Vedite, kje se prijavite, da to storite, in poskrbite, da to zmorete tudi brez izgubljene naprave. Če je Vaše dvostopenjsko preverjanje nastavljeno samo na tem telefonu, boste potrebovali obnovitvene kode (lekcija 2.3).

Če je naprava izgubljena:

1. Zaklenite jo na daljavo in prikažite sporočilo s telefonsko številko.
2. Prekličite seje pri svojih najpomembnejših storitvah: e-pošta, shramba v oblaku, računovodstvo. V Nextcloud lahko na primer prekličete dostop za posamezno napravo ali ji naročite, naj izbriše podatke te storitve.
3. Spremenite gesla računov, ki so bili odprti na napravi, z druge, čiste naprave.
4. Izbrišite napravo na daljavo, če je kmalu ne najdete.
5. Presodite in dokumentirajte, ali so bili na njej osebni podatki, in v primeru kraje vložite ovadbo pri policiji.

Zlonamerna programska oprema: vgrajena zaščita in minimalne pravice

Sodoben prenosnik ali telefon ima že veliko vgrajene zaščite: Windows ima Microsoft Defender, macOS ima lastne preglede programov, trgovini z aplikacijami Apple in Google pa preverjata aplikacije, preden jih ponudita. Samostojen protivirusni paket lahko ponudi dodatne funkcije, vendar je najpomembneje, da je vgrajena zaščita vklopljena in posodobljena.

Dve navadi naredita veliko razliko:

• Vsak dan delajte kot standardni uporabnik, ne kot skrbnik. Zlonamerna programska oprema, ki jo po nesreči zaženete, dobi enake pravice kot Vi. Kot standardni uporabnik lahko naredi veliko manj: ne more namestiti programske opreme, spremeniti sistemskih nastavitev ali izklopiti zaščite. Če enkrat potrebujete skrbniške pravice, sistem zahteva skrbniško geslo. Ta trenutek premisleka je točno namenjen temu.
• Nameščajte le iz uradne trgovine z aplikacijami ali s spletne strani izdelovalca. Na Androidu to pomeni: naj ostane izklopljeno "nameščanje iz neznanih virov". Goljufi pri prevarah s prošnjo za pomoč ali lažnimi bančnimi obvestili radi pošljejo povezavo do "aplikacije", ki v resnici prevzame nadzor nad Vašim zaslonom.

Dovoljenja aplikacij: kaj sme aplikacija?

Vsaka aplikacija zahteva dovoljenja: kamero, mikrofon, lokacijo, stike, datoteke. Aplikacija za žepno svetilko, ki želi dostop do Vaših stikov, za to nima dobrega razloga. Enkrat na četrtletje preglejte dovoljenja v nastavitvah telefona:

• lokacijo dovolite le "med uporabo", ne vedno;
• prekličite dostop do stikov in datotek pri aplikacijah, ki tega ne potrebujejo. Vaši stiki so osebni podatki drugih oseb;
• odstranite aplikacije, ki jih ne uporabljate več;
• bodite še posebej pozorni na aplikacije, ki zahtevajo pravice za dostopnost ali deljenje zaslona. S tem lahko aplikacija vidi in klikne vse, kar vidite Vi.

Več naprav? Upravljanje na daljavo

Če delate z nekaj ljudmi ali več, postane "vsak naj si uredi sam" težko nadzorovati. Z upravljanjem na daljavo (Mobile Device Management, MDM) centralno nastavite, da je vsaka naprava šifrirana, ima zaklepanje, prejema posodobitve in jo je mogoče izbrisati na daljavo. Rešitve so vgrajene v velike poslovne pisarniške pakete, obstajajo tudi samostojne storitve in odprtokodne rešitve. Pri telefonih, ki jih zaposleni prinesejo sami (bring your own device), lahko pogosto upravljate samo poslovni del, tako da nimate dostopa do zasebnih fotografij.

Tudi brez MDM lahko sklenete dogovore in jih enkrat letno skupaj pregledate. Pri tem pomaga kontrolni seznam v nalogi.

V praksi: tako je videti

V Nextcloud, kot ga ponuja WebOké, je pod Nastavitve, Varnost seznam Naprave in seje. Tam vidite vsak brskalnik, aplikacijo in geslo za aplikacijo, ki ima dostop. Prek treh pik prekličete dostop ene naprave ali ji naročite, naj izbriše podatke Nextcloud, takoj ko se spet poveže. Pri drugih storitvah v oblaku se to pogosto imenuje "naprave", "seje" ali "pregled varnosti" in deluje podobno.

Povzetek

• Naprava je zveza ključev: na njej so seje, gesla in aplikacija za 2FA.
• Nastavite samodejno zaklepanje, uporabite močno PIN kodo in omejite obvestila na zaklenjenem zaslonu.
• Vklopite šifriranje diska in obnovitveni ključ shranite na drugem mestu kot napravo samo.
• Vnaprej vklopite iskanje in brisanje na daljavo; ob izgubi: zaklenite, prekličite seje, spremenite gesla, izbrišite, presodite posledice.
• Delajte kot standardni uporabnik, nameščajte le iz uradnih virov in preglejte dovoljenja aplikacij.

Kviz

Naloga

Naloga D5.2: Preverjanje Vašega prenosnika in telefona. Na svojem prenosniku in telefonu preverite zaklepanje, šifriranje diska, obnovitveni ključ, iskanje in brisanje na daljavo, vrsto računa in dovoljenja aplikacij. Odkljukajte kontrolni seznam in zapišite, kaj bi storili, če bi Vam telefon jutri ukradli.

Za nadaljnje branje

Koraki v člankih WebOké veljajo za okolje WebOké; pri drugih ponudnikih deluje podobno.

• Priročnik za Nextcloud 3.6: Naprave in seje ogled, preklic ali daljinski izbris
• Priročnik za Nextcloud 3.10: Izgubljen telefon ali izgubljena dvostopenjska avtentikacija: tako se znova prijavite
• Priročnik WebOké 3.6: Prikaz in odjava aktivnih sej
• SI-CERT, mobilne naprave: https://www.cert.si/
• Microsoft, šifriranje naprave v Windows: https://support.microsoft.com/nl-nl/windows/apparaatversleuteling-in-windows-cf7e2b6f-3e70-4882-9532-18633605b7df
• Apple, dostopne kode in zaščita podatkov (v angleščini): https://support.apple.com/guide/security/passcodes-and-passwords-sec20230a10d/web