Szyfrowanie danych w chmurze i na dyskach — jak chronić firmę

Szyfrowanie danych zamienia czytelny tekst jawny w szyfrogram. Aby odzyskać treść, trzeba użyć właściwego klucza.¹ Artykuł omawia ochronę danych zapisanych i przesyłanych, zarządzanie kluczami oraz obowiązki firmy wynikające z RODO. Art. 32 ust. 1 lit. a RODO wymienia szyfrowanie danych osobowych jako jeden z możliwych środków bezpieczeństwa.²

Czym jest szyfrowanie danych i na czym polega?

Szyfrowanie danych opiera się na kryptografii: algorytm przekształca informacje, a klucz wpływa na wynik tego działania. Znajomość samego algorytmu nie wystarcza do odczytania chronionej treści. Standard FIPS 197 przewiduje dla klucza AES długości 128, 192 lub 256 bitów.³

Gdzie stosuje się szyfrowanie danych?

Dane można szyfrować na urządzeniach, w plikach i bazach danych, a także podczas wymiany między systemami. Firma może chronić w ten sposób dokumenty klientów zapisane na dysku oraz wiadomości przesyłane przez sieć. Znaczenie ma zakres ochrony: całe urządzenie, wybrane pliki lub połączenie.⁴

Jaki jest cel szyfrowania informacji?

Szyfrowanie ma uniemożliwić odczyt treści osobie, która nie ma właściwego dostępu. Dokument pozostaje poufny także wtedy, gdy ktoś zdobędzie jego zaszyfrowaną kopię. Nie zwalnia to firmy z ograniczania uprawnień osób, które mogą odszyfrować plik. Kontrola AC-6 standardu NIST SP 800-53 wymaga zasady najmniejszych uprawnień: dostępu tylko do zasobów potrzebnych do wykonania zadań.⁵

Jak klucz i algorytm chronią zaszyfrowane dane?

Algorytm wykonuje operacje na danych, a klucz dostarcza wartości niezbędnej do uzyskania konkretnego wyniku. Firma musi więc chronić również klucz pozwalający odzyskać treść. FIPS 140-3 wyróżnia cztery poziomy bezpieczeństwa modułów kryptograficznych. Obejmuje też wymagania dotyczące poufnych parametrów, w tym kluczy.⁶

• Algorytm szyfrujący określa reguły przekształcania informacji. Bezpieczeństwo nie powinno zależeć od utrzymywania tych reguł w tajemnicy.
• Klucz szyfrujący wpływa na wynik pracy algorytmu. Korzystać z niego powinny tylko osoby i systemy wykonujące szyfrowanie.
• Klucz deszyfrujący pozwala odzyskać treść. Jego utrata może odebrać dostęp uprawnionym osobom, a ujawnienie – osłabić ochronę danych.

Poufność zależy od tego, czy firma kontroluje dostęp do kluczy. Gdy wiedza o kluczu jest dzielona między ludzi, potrzeba co najmniej dwóch osób. Według NIST żadna z nich nie powinna mieć dostępu do wszystkich udziałów.⁷

Czym jest ochrona danych w spoczynku i transmisji za pomocą klucza symetrycznego?

Szyfrowanie symetryczne używa tego samego tajnego klucza do szyfrowania i odszyfrowywania. Może chronić zawartość pliku na nośniku albo dane przesyłane między urządzeniami. W obu przypadkach klucz musi pozostać poza zasięgiem osób nieuprawnionych. Przykładem ochrony transmisji jest zestaw TLS_AES_128_GCM_SHA256 w TLS 1.3, który wykorzystuje 128-bitowy klucz AES.⁸

AES stosuje się między innymi do szyfrowania plików, dysków i połączeń sieciowych.¹ Nazwa algorytmu nie mówi jednak, które pliki objęto ochroną ani kto może używać klucza. Niezależnie od długości klucza AES szyfruje bloki danych liczące 128 bitów.³

Jak chronić dane zapisane na nośniku?

Szyfrowanie danych w spoczynku chroni pliki zapisane na dysku lub innym nośniku. Ma ograniczyć możliwość ich odczytu, gdy ktoś uzyska dostęp do tego nośnika. BitLocker pozwala na przykład szyfrować dysk metodą XTS-AES z kluczem 128- lub 256-bitowym.⁹

• Szyfrowanie całego dysku obejmuje dane zapisane na urządzeniu. Włącz je, zanim trafią tam firmowe informacje.
• Szyfrowanie wybranych plików chroni wskazane dokumenty lub katalogi. Ustal, które dane muszą pozostać chronione również po skopiowaniu na inne urządzenie.
• Kontrola dostępu do klucza ogranicza możliwość odszyfrowania danych. Informacje potrzebne do odzyskania dostępu przechowuj oddzielnie od chronionego nośnika.¹⁰

Ochrona nośnika dotyczy jego zawartości, ale nie zabezpiecza automatycznie kopii utworzonych gdzie indziej. Kontrola CP-9(8) standardu NIST SP 800-53 przewiduje kryptograficzną ochronę informacji w kopiach zapasowych.⁵

Jak chronić dane podczas przesyłania?

Szyfrowanie transmisji danych chroni informacje w drodze między użytkownikiem a usługą lub między systemami firmy. Zgodnie z RFC 8446 implementacja TLS 1.3 musi obsługiwać zestaw TLS_AES_128_GCM_SHA256, o ile profil aplikacyjny nie stanowi inaczej.⁸

• Połączenie szyfrowane powinno chronić kanał używany do przesyłania danych firmy. Nie wysyłaj ich połączeniem bez ochrony transmisji.
• Weryfikacja tożsamości serwera pomaga stwierdzić, czy urządzenie łączy się z właściwą usługą. Odrzucaj połączenia z błędem certyfikatu, zamiast ignorować ostrzeżenie.
• Ochrona całej drogi przesyłania obejmuje również połączenia między usługami. Ustal, gdzie kończy się szyfrowany kanał i czy następny odcinek także chroni dane.

Szyfrowanie transmisji zabezpiecza drogę przesyłania, nie zaś dane po ich zapisaniu. Tej drugiej kwestii dotyczy kontrola SC-28 standardu NIST SP 800-53: ochrona poufności lub integralności informacji w spoczynku.⁵

Czym różni się ochrona danych w spoczynku od ochrony w transmisji?

Ochrona danych w spoczynku dotyczy zawartości nośnika, a ochrona transmisji – informacji przemieszczających się przez sieć. W pierwszym przypadku ryzyko wiąże się z dostępem do zapisu, w drugim z przesyłaniem. NIST SP 800-53 rozróżnia kontrolę SC-8 dla informacji przesyłanych i SC-28 dla informacji w spoczynku.⁵

Tabela pokazuje obie formy ochrony, odpowiadające im kontrole oraz granice ich działania.

Dane wymagają ochrony zarówno podczas zapisu, jak i przesyłania. PCI DSS 4.0 traktuje te obszary oddzielnie: wymaganie 3 dotyczy zapisanych danych konta. Wymaganie 4 obejmuje transmisję danych posiadacza karty przez otwarte sieci publiczne.¹¹

Korzyści, ryzyka i ograniczenia ochrony kryptograficznej

Ochrona kryptograficzna utrudnia osobom nieuprawnionym odczyt firmowych danych. Nie powstrzyma jednak ich usunięcia ani udostępnienia przez użytkownika, który ma dostęp. Skuteczność zależy od objęcia szyfrowaniem właściwych zasobów i kontroli kluczy.¹²

Co zyskuje firma dzięki szyfrowaniu?

Osoba bez klucza nie odczyta łatwo chronionego pliku ani zawartości zaszyfrowanego nośnika. Firma może tak zabezpieczyć dokumenty klientów na urządzeniach pracowników. Nadal potrzebuje jednak zasad nadawania uprawnień oraz kopii zapasowych.⁴

Co grozi firmie, gdy danych nie zaszyfrowano lub zrobiono to błędnie?

Niezaszyfrowany plik może odczytać osoba, która uzyska do niego dostęp. Błędna konfiguracja potrafi też pozostawić poza ochroną kopie dokumentów lub otworzyć dostęp nieuprawnionym osobom. Włączenie szyfrowania nie oznacza więc ochrony każdego zasobu firmy. Art. 32 ust. 1 lit. d RODO przewiduje regularne testowanie, mierzenie i ocenianie skuteczności zabezpieczeń również po włączeniu szyfrowania.²

Jak zmieniają się wyzwania związane z ochroną danych?

Ochrona staje się trudniejsza, gdy informacje trafiają na kolejne urządzenia, do aplikacji i do kopii. Firma powinna wiedzieć, gdzie powstają nowe egzemplarze danych. Musi też ustalić, kto może je odczytać.

• Kopie plików mogą opuścić pierwotnie chronione urządzenie. Zasady ochrony powinny obejmować także eksportowane dokumenty i załączniki.
• Zmiany uprawnień wpływają na dostęp pracowników do informacji. Odbieraj go osobom, którym nie jest już potrzebny.
• Nowe miejsca przechowywania zwiększają liczbę zasobów wymagających kontroli. Uwzględniaj również dane przenoszone między usługami.⁴

Jakie problemy trzeba rozwiązać po wdrożeniu szyfrowania?

Zarządzanie kluczami zaczyna się od ustalenia, kto może ich używać i jak firma odzyska dostęp do danych. Utrata klucza może uniemożliwić odszyfrowanie informacji, a jego przejęcie – naruszyć ich poufność.¹ Zasady dostępu muszą działać również po zmianach pracowników i systemów.

Szyfrowanie chroni poufność wtedy, gdy obejmuje właściwe zasoby, a klucze pozostają pod kontrolą.

Dobór metody ochrony do danych i sposobu ich użycia

Metodę ochrony danych dobiera się do miejsca zapisu, sposobu przesyłania i osób uprawnionych do odczytu. Firmowy dysk potrzebuje ochrony zawartości, a połączenie – ochrony transmisji. Przy współdzielonym dokumencie liczy się także kontrola uprawnień. Decyzję warto oprzeć na całej drodze danych, od utworzenia do odczytu.

Gdzie firma potrzebuje ochrony kryptograficznej?

Ochrona kryptograficzna jest potrzebna tam, gdzie osoba nieuprawniona mogłaby odczytać firmowe informacje. Zagrożenie może dotyczyć urządzenia, kopii pliku albo przesyłania. Dokument na laptopie wymaga ochrony nośnika lub samego pliku. Po wysłaniu tego dokumentu znaczenia nabierają również zabezpieczenie kanału i właściwe nadanie dostępu odbiorcy.

Jak dobrać algorytm do zastosowania?

Algorytm szyfrowania należy wybierać jako część rozwiązania dopasowanego do sposobu używania danych. Znaczenie mają poziom bezpieczeństwa, wydajność oraz zgodność ze standardami i używanymi systemami.¹ Sama nazwa algorytmu nie opisuje tych warunków.

• Poziom bezpieczeństwa powinien odpowiadać chronionym informacjom. Ustal, jakie skutki przyniósłby ich odczyt przez nieuprawnioną osobę.
• Wydajność wpływa na pracę systemu wykonującego operacje kryptograficzne. Oceniaj ją w zastosowaniu, w którym dane będą szyfrowane i odczytywane.
• Zgodność decyduje o współpracy z obecnymi systemami i odbiorcami. Uwzględnij wymianę danych oraz możliwość odzyskania dostępu.

Dobór algorytmu powinien wynikać z zadania, nie z rozpoznawalności nazwy metody.

Jakie technologie chronią dane w transmisji i w spoczynku?

Szyfrowanie dysku lub pliku chroni dane w spoczynku, a szyfrowane połączenie – podczas przesyłania. Szyfrowanie end-to-end chroni treść między nadawcą a odbiorcą i pozwala zapytać, kto po drodze może ją odczytać. W przypadku komunikatorów WhatsApp i Signal firma powinna ustalić zakres ochrony wybranego sposobu komunikacji. Istotne jest również to, co dzieje się z treścią na urządzeniach uczestników.

Jak dopasować metodę do rodzaju danych i dostępu do nich?

Metoda ochrony musi odpowiadać poufności danych, ale też potrzebom osób, które mają je odczytywać. Podziel informacje według miejsca zapisu, drogi przesyłania i uprawnionych odbiorców. Taki podział ułatwia wskazanie zasobów wymagających odrębnych zabezpieczeń.

• Dane na urządzeniu wymagają ochrony zapisu, jeśli utrata nośnika mogłaby ujawnić ich treść. Pamiętaj również o plikach kopiowanych poza urządzenie.
• Dane współdzielone wymagają zasad nadawania i odbierania dostępu. Szyfrowanie nie ograniczy działań osoby uprawnionej do odczytu.
• Dane przesyłane potrzebują ochrony w drodze do odbiorcy. Ustal także, jak odbiorca przechowuje otrzymaną treść.

Właściwa metoda chroni dane tam, gdzie firma ich używa, i zachowuje dostęp dla uprawnionych osób.

Czym różni się szyfrowanie symetryczne od asymetrycznego?

Szyfrowanie symetryczne wymaga wspólnego tajnego klucza. Szyfrowanie asymetryczne pozwala natomiast szyfrować dane bez przekazywania nadawcy klucza potrzebnego do ich odszyfrowania. Różnica dotyczy więc przede wszystkim sposobu użycia kluczy.

Tabela porównuje role kluczy w obu metodach oraz warunki uzyskania dostępu przez odbiorcę.

Dane w tabeli: 1

Wybór zależy od tego, czy strony mogą bezpiecznie współdzielić sekret. Jeśli nie, potrzebują sposobu szyfrowania bez przekazywania klucza deszyfrującego.

Ochrona danych wrażliwych w firmie i bazach danych

Szyfrowanie baz danych chroni zapisaną zawartość, ale nie zastępuje kontroli dostępu do rekordów, kopii i eksportów. Zakres ochrony zależy od zagrożenia: odczytu nośnika, kopii bazy lub wybranych pól. Użytkownik uprawniony do pracy w aplikacji nadal może odczytać udostępnione mu dane.¹³

Jak ograniczyć dostęp do informacji w bazie danych?

Dostęp do bazy danych powinien obejmować tylko konta i operacje potrzebne do pracy. Oddzielne uprawnienia dla aplikacji, administratorów i użytkowników ograniczają ilość informacji dostępnych po przejęciu konta.¹³ Warto utrzymywać ten podział również wtedy, gdy zmieniają się obowiązki pracowników.

• Uprawnienia kont powinny dotyczyć tylko niezbędnych tabel i operacji. Usuń możliwość odczytu lub zmiany danych, gdy zadanie jej nie wymaga.
• Konta aplikacji potrzebują uprawnień odpowiednich do swoich funkcji. Nie używaj konta administratora do zwykłej obsługi zapytań.
• Dostęp pracowników wymaga przeglądu po zmianie obowiązków. Odbieraj uprawnienia, które przestały być potrzebne.

Jak chronić zawartość bazy danych?

Bazę trzeba chronić w działającym systemie, w kopiach i w plikach eksportu. Szyfrowanie nośnika nie powstrzyma aplikacji przed odczytem danych, jeśli działa ona z nadmiernymi uprawnieniami.¹⁴ Poszczególne miejsca zapisu wymagają więc osobnej uwagi.

• Szyfrowanie przechowywania ogranicza odczyt danych przez osoby bez właściwego klucza. Ochroną obejmij także miejsce zapisu kopii bazy.¹⁵
• Szyfrowanie wybranych pól pozwala oddzielnie chronić szczególnie poufne informacje. Ustal, które funkcje aplikacji muszą odszyfrowywać te pola.
• Kontrola eksportów ogranicza powstawanie niechronionych kopii. Prawo do eksportu nadaj tylko osobom, które go potrzebują.

Jak zabezpieczyć wrażliwe dane osobowe?

Wrażliwe dane osobowe wymagają ochrony wszędzie tam, gdzie firma je zbiera, udostępnia lub kopiuje. Samo zalogowanie do systemu nie powinno dawać dostępu do całej jego zawartości. Zakres uprawnień musi odpowiadać obowiązkom użytkownika.

• Zakres zbierania danych powinien odpowiadać celowi ich przetwarzania. Nie zapisuj informacji, których firma do tego celu nie potrzebuje.
• Dostęp do rekordów powinien ograniczać się do danych potrzebnych pracownikowi. Oddziel możliwość przeglądania od prawa do eksportu.
• Kopie i eksporty wymagają ochrony odpowiedniej do zawartych w nich informacji. Usuń zbędne egzemplarze z urządzeń i katalogów współdzielonych.

Dlaczego hasła w bazie należy haszować, a nie szyfrować?

Hasła użytkowników należy przechowywać jako wyniki funkcji haszującej przeznaczonej do haseł. System nie potrzebuje bowiem odzyskiwać ich pierwotnej treści. Podczas logowania przetwarza podane hasło i porównuje wynik z zapisanym wzorcem. Szyfrowanie pozwala odzyskać oryginał za pomocą klucza, co tworzyłoby dodatkową drogę ujawnienia haseł. Unikalna sól, przypisana do hasła przed haszowaniem, utrudnia rozpoznanie identycznych haseł w bazie.

Ochrona bazy wymaga łącznie ograniczenia uprawnień, zabezpieczenia kopii i właściwego przechowywania haseł.

Rodzaje zabezpieczeń, algorytmy i narzędzia kryptograficzne

Mechanizm kryptograficzny dobiera się do zadania. Szyfrowanie ukrywa treść, podpis cyfrowy pozwala sprawdzić jej pochodzenie i integralność, a wymiana kluczy pomaga rozpocząć chronioną komunikację. Sama nazwa algorytmu nie mówi, czy program zabezpiecza plik, dysk czy wiadomość.

Jakie są rodzaje ochrony kryptograficznej?

Rodzaje ochrony kryptograficznej służą różnym celom. Firma powinna najpierw ustalić, czy potrzebuje poufności, potwierdzenia pochodzenia informacji czy bezpiecznego uzgodnienia klucza. Dopiero wtedy może dobrać odpowiedni mechanizm.

• Szyfrowanie treści ogranicza odczyt pliku lub wiadomości bez właściwego klucza. Samo nie potwierdza autora dokumentu.
• Podpis cyfrowy pomaga zweryfikować pochodzenie i integralność danych. Nie ukrywa treści przed odbiorcą mającym do niej dostęp.
• Wymiana kluczy pozwala stronom uzgodnić ochronę komunikacji. Nie zabezpiecza kopii plików zapisanych później.

Czym różnią się algorytmy kryptograficzne?

Algorytmy kryptograficzne różnią się zastosowaniem i sposobem użycia kluczy. Długości kluczy z różnych rodzin nie oznaczają automatycznie jednakowego poziomu bezpieczeństwa. RSA wykorzystuje się do szyfrowania danych, podpisów cyfrowych i wymiany kluczy.¹ DES uznaje się za algorytm przestarzały i mniej bezpieczny.¹

Tabela zestawia AES, ChaCha20, RSA i algorytmy oparte na krzywych eliptycznych wraz z podanymi długościami kluczy.

Dane w tabeli: 1

Jakie standardy opisują ochronę danych?

Standard algorytmu opisuje działanie mechanizmu kryptograficznego. Protokół określa natomiast zasady ochrony wymiany danych między systemami. Dokumentacja wdrożenia powinna wskazywać konfigurację mechanizmu i miejsce jego użycia, nie tylko nazwę. Przywołanie standardu nie dowodzi jeszcze, że firma szyfruje wszystkie kopie danych.

Jak wybierać programy do ochrony plików i dysków?

Program do szyfrowania danych wybieraj według zasobu, który ma chronić, oraz sposobu odzyskiwania dostępu. Ochrona dokumentów i wiadomości to inne zadanie niż szyfrowanie całego dysku. Zakres produktu trzeba więc oceniać w odniesieniu do konkretnej potrzeby.

• Zakres ochrony wskazuje, czy program obejmuje pliki, wiadomości czy nośnik. Scalefusion oferuje funkcje „Szyfrowanie FileDoc” i „Szyfrowanie wiadomości”.¹⁶
• Obsługa kluczy określa, kto odszyfruje dane i jak firma odzyska do nich dostęp. Ustal te zasady przed zaszyfrowaniem jedynej kopii pliku.
• Zgodność z używanym środowiskiem wpływa na dostępność danych dla uprawnionych osób. FortiCrypt i FortiMail oceniaj osobno: podobna nazwa nie oznacza jednakowego zakresu produktów.

O wyborze narzędzia powinny rozstrzygać rodzaj danych i wymagany zakres ochrony, nie sama nazwa produktu.

Zarządzanie kluczami i kontrola zabezpieczeń

Zarządzanie kluczami szyfrującymi decyduje, kto może odszyfrować firmowe dane i czy firma odzyska do nich dostęp. Obejmuje kontrolę dostępu, rotację, kopie zapasowe oraz monitorowanie użycia kluczy.¹ Rotacja polega na zastąpieniu używanego klucza nowym. Trzeba przy tym zachować możliwość odczytu danych zaszyfrowanych wcześniej.

Jak sprawdzić, czy plik, urządzenie lub połączenie jest chronione?

Stan szyfrowania sprawdzaj osobno dla pliku, urządzenia i połączenia. Każdy z tych zasobów może mieć inną konfigurację. Obecność programu szyfrującego nie potwierdza ochrony wszystkich trzech.

• Plik wymaga sprawdzenia, czy chroniona jest jego zawartość, czy tylko miejsce zapisu. Ustal, czy kopię można odczytać poza chronionym urządzeniem.
• Urządzenie wymaga potwierdzenia, że szyfrowanie obejmuje właściwy dysk. Sprawdź również, kto może skorzystać z metody odzyskiwania danych.
• Połączenie wymaga ochrony transmisji i poprawnego potwierdzenia tożsamości serwera. Nie ignoruj ostrzeżenia o błędzie certyfikatu.

Potwierdzenie ochrony dotyczy konkretnego zasobu i sposobu korzystania z niego, nie samej instalacji programu.

Keeper i 256-bitowy AES: co sprawdzić w dokumentacji produktu?

Keeper używa algorytmu AES z kluczem 256-bitowym.¹⁷ Przy ocenie produktu ustal, które dane obejmuje to szyfrowanie i gdzie następuje odszyfrowanie. Ważne jest także to, kto kontroluje dostęp do kluczy. Sama długość klucza nie określa ochrony plików, urządzeń ani połączeń.

Kontrola zabezpieczeń musi obejmować zarówno stan szyfrowania danych, jak i zasady dostępu do kluczy.

Szyfrowanie danych w chmurze: kto kontroluje klucze?

Szyfrowanie danych w chmurze nie mówi samo przez się, kto kontroluje klucze. Odpowiedź zależy od modelu przyjętego w konkretnej usłudze. Firma powinna odróżniać szyfrowanie wykonywane przez usługę od samodzielnego zarządzania kluczami. Ochrona dysku nie określa też automatycznie ochrony połączenia.

Dyski komputerów w chmurze Windows 365 Enterprise i Business chronią szyfrowanie po stronie serwera (SSE) usługi Azure Storage oraz szyfrowanie oparte na hoście.¹⁸ Dane zapisywane na dyskach komputerów w chmurze Windows 365 są szyfrowane automatycznie.¹⁸ Usługa używa do tego AES z kluczem 256-bitowym.¹⁸ BitLocker nie jest obsługiwany jako opcja szyfrowania komputerów w chmurze Windows 365.¹⁸

Jak chronić dane przesyłane i przechowywane w usłudze online?

Dane w usłudze online potrzebują ochrony podczas przesyłania i po zapisaniu. Zasady dostępu do kluczy należy oceniać dla konkretnej usługi. Jeden mechanizm nie opisuje całej drogi danych.

• Ochrona transmisji zabezpiecza połączenie użytkownika z usługą. Windows 365 stosuje TLS 1.2 do połączeń inicjowanych ze składnikami Azure Virtual Desktop. Obsługuje też TLS 1.3 dla transportu odwrotnego połączenia.¹⁸
• Ochrona zapisanych danych dotyczy zawartości utrwalonej w usłudze. Ustal, czy obejmuje także kopie i dane eksportowane poza usługę.
• Kontrola kluczy określa, kto może umożliwić odszyfrowanie danych. Rozróżnij klucze zarządzane przez operatora usługi od kluczy kontrolowanych przez firmę.

Usługę chmurową oceniaj oddzielnie pod kątem transmisji, zapisu i kontroli kluczy.

Moduł HSM Utimaco a zarządzanie kluczami

Hardware Security Module (HSM) to urządzenie służące do ochrony kluczy i wykonywania operacji kryptograficznych. Moduł szyfruje i odszyfrowuje dane, zarządza kluczami oraz monitoruje ich użycie. Pozwala też audytować związane z nimi operacje.¹⁹

Urządzenia Utimaco HSM umożliwiają szyfrowanie baz danych i integrację z systemami MS-SQL oraz Oracle.¹⁹ HSM przydaje się organizacji, która potrzebuje kontrolować użycie kluczy i audytować operacje kryptograficzne. Integracja z bazą nie zastępuje jednak ograniczania uprawnień do jej zawartości.

Ochrona dysków i pendrive’ów funkcjami systemu operacyjnego

Szyfrowanie dysku lub pendrive’a chroni zapisane dane przed odczytem przez osobę bez właściwego dostępu. Może obejmować cały nośnik, partycję albo kontener. BitLocker jest przykładem funkcji szyfrowania dysku w systemie Windows. Kontener pozwala natomiast wydzielić chroniony obszar na wybrane pliki.

Kontener szyfrowany jest zaszyfrowanym plikiem zawierającym inne pliki; system traktuje go jak oddzielny dysk.²⁰ Zaszyfrowanie partycji z systemem Windows może wymagać wpisania hasła przed uruchomieniem komputera.²⁰ Oba rozwiązania różnią się zakresem danych objętych ochroną.

Tabela porównuje ochronę całego nośnika z kontenerem oraz pokazuje, co dzieje się z plikami poza nim.

Wybór zależy od tego, czy firma chce chronić cały nośnik, czy tylko wydzielone pliki.

Czy zaszyfrowane dane są bezpieczne?

Zaszyfrowane dane pozostają nieczytelne bez właściwego klucza. Znaczenie mają jednak również hasło i stan urządzenia. Osoba, która uzyska dostęp do już odszyfrowanego pliku, może odczytać jego treść mimo zastosowanego szyfrowania.

Od czego zależy bezpieczeństwo zaszyfrowanych danych?

Ochrona zaszyfrowanych danych zależy także od trudności odgadnięcia hasła. Liczy się również to, czy hasło pozostaje bezpieczne podczas pracy komputera. Łatwe hasło lub jego niezaszyfrowana postać pozostawiona w pamięci urządzenia mogą osłabić zabezpieczenie.²⁰ Firma powinna chronić hasło i blokować dostęp do komputera po zakończeniu pracy użytkownika.

Czy można złamać zabezpieczenia utworzone w VeraCrypt?

VeraCrypt nie chroni niezależnie od hasła i stanu urządzenia. Odgadnięcie hasła oraz dostęp do już odblokowanych danych to dwie różne drogi odczytu. W teście programów przeprowadzono 1,4 miliona ataków siłowych na zaszyfrowane dane. Ta liczba nie dowodzi, że zabezpieczenia VeraCrypt zostały przełamane.²⁰

Tabela rozróżnia próby odgadnięcia hasła od dostępu do otwartego woluminu.

VeraCrypt wymaga ochrony hasła i urządzenia. Sama liczba prób odgadnięcia hasła nie przesądza o przełamaniu szyfrowania.

Szyfrowanie danych osobowych a RODO: jakie obowiązki ma firma?

RODO nie nakazuje wprost szyfrowania wszystkich danych osobowych. Firma musi dobrać zabezpieczenia do ryzyka. Art. 32 ust. 1 RODO wymaga odpowiednich środków, a szyfrowanie może być jednym z nich.¹⁷ Przy wyborze uwzględnij rodzaj danych, sposób ich zapisu i przesyłania oraz skutki nieuprawnionego odczytu.

Szyfrowanie danych osobowych nie zwalnia z ograniczania dostępu ani ochrony kluczy. Firma powinna ustalić zakres szyfrowania. Musi też wiedzieć, kto może odzyskać treść.

Dyrektywa NIS2 przewiduje odrębny obowiązek dla podmiotów kluczowych i ważnych. Art. 21 ust. 2 lit. h wymaga stosowania kryptografii oraz, w stosownych przypadkach, szyfrowania.²¹ Obowiązki wynikające z NIS2 nie oznaczają, że RODO nakazuje każdej firmie szyfrować wszystkie dane.

Firma dobiera ochronę do ryzyka i przepisów, którym podlega.

Czy ochrona kryptograficzna spowalnia komputer?

Komputer z szyfrowaniem dysku nie musi pracować wolniej niż komputer bez niego. Odczyt i zapis wymagają wprawdzie dodatkowych operacji kryptograficznych, ale ich wpływ zależy od urządzenia. Znaczenie ma również sposób korzystania z komputera.

Tabela pokazuje różnice w ochronie danych i odczycie oraz warunki oceny szybkości pracy.

Windows 365 jest przykładem usługi, w której szyfrowanie dysków komputerów w chmurze nie wpływa na wydajność. Działa w każdym regionie bez dodatkowych kosztów.¹⁸ Nie należy przenosić tego wyniku na inne komputery.

Werdykt: włączenie szyfrowania samo w sobie nie przesądza o spowolnieniu komputera.

Kryteria porównania programów do ochrony danych

Programy do ochrony danych porównuj najpierw według zadania, a później według ceny, rabatu czy okresu próbnego. PGP Whole Disk Encryption służy do szyfrowania dysku, podczas gdy Keeper jest menedżerem haseł. Nie są to zamienne produkty. Cena przytoczona w teście, promocja dla nowych użytkowników i okres próbny opisują różne warunki.

Tabela zestawia podane warunki dla PGP Whole Disk Encryption oraz planów Keeper, z rozróżnieniem ceny, rabatów i okresu próbnego.

Dane w tabeli: 17,20,22,23

Cena z testu nie jest bieżącym cennikiem. Rabaty dla nowych użytkowników planów indywidualnego i rodzinnego nie opisują planu firmowego. Bez ceny planu stanowiącej podstawę naliczenia rabatu nie da się też porównać go kwotowo z ceną zakupu.

PGP Whole Disk Encryption pasuje do potrzeby ochrony dysku, lecz nie zastąpi firmie menedżera haseł.

Keeper pomaga zarządzać hasłami, ale nie zastępuje szyfrowania całego dysku.

Plik o wielkości 42 kB a ryzyko dla danych: dlaczego potrzebne są także kopie zapasowe?

Kopie zapasowe są potrzebne, bo szyfrowanie nie przywróci usuniętego pliku ani danych z utraconego nośnika. Dotyczy to także niewielkich dokumentów, których brak może zatrzymać pracę firmy. Kopię przechowuj oddzielnie od oryginału i również obejmij ochroną. Regularnie sprawdzaj, czy można z niej odtworzyć dane.

Odzyskiwanie danych wymaga dostępu do kopii oraz klucza potrzebnego do jej odszyfrowania. Jeśli jedyna kopia i dane odzyskiwania znajdują się na tym samym urządzeniu, firma może stracić oba zasoby jednocześnie.

Ceny i warunki sprawdzone u źródeł: październik 2026.