Eksterne lagringsenheder i virksomheden: GDPR og kryptering

GDPR og USB-diske – hvad kræver loven af din virksomhed?

Virksomheder er juridisk forpligtet til at implementere passende tekniske og organisatoriske foranstaltninger for at sikre personoplysninger, hvilket i praksis betyder obligatorisk kryptering af alle eksterne lagringsenheder. GDPR artikel 32 fastslår kravet om behandlingssikkerhed, mens Datatilsynet anbefaler kryptering af bærbare medier som en risikobaseret foranstaltning. Ved at anvende stærk kryptering kan en virksomhed transformere et potentielt katastrofalt databrud til en hændelse uden risiko for de registrerede, hvilket ofte eliminerer behovet for anmeldelse til myndighederne.

GDPR artikel 32 og behandlingssikkerhed

GDPR artikel 32 kræver, at den dataansvarlige implementerer foranstaltninger, der sikrer et sikkerhedsniveau, som er passende i forhold til risikoen. For eksterne harddiske betyder det, at man ikke blot kan stole på fysisk opbevaring. Kryptering sikrer, at dataene er ulæselige for enhver, der ikke besidder den korrekte nøgle.

Anmeldelse af brud efter artikel 33

Hvis et ukrypteret USB-stik med persondata mistes, udgør dette et brud på persondatasikkerheden. Hvis mediet derimod er krypteret med en industristandard, og nøglen ikke er gået tabt sammen med enheden, vurderes risikoen for de registrerede ofte som lav, hvilket kan betyde, at anmeldelse ikke er påkrævet.

Hvad indeholder GDPR og hvilke principper gælder for lagring?

GDPR (General Data Protection Regulation) er en EU-forordning, der fastsætter rammerne for behandling af personoplysninger med det formål at beskytte individets privatliv. For virksomheder betyder det, at enhver lagring af data på eksterne medier skal ske i overensstemmelse med syv grundlæggende principper: lovlighed, rimelighed og gennemsigtighed; formålsbegrænsning; dataminimering; rigtighed; opbevaringsbegrænsning; integritet og fortrolighed samt ansvarlighed. Særligt princippet om integritet og fortrolighed kræver, at data beskyttes mod uautoriseret adgang via tekniske midler som kryptering.

De 7 principper i GDPR

Principperne fungerer som den juridiske målestok for, om en virksomheds USB-politik er tilstrækkelig. Hvis en medarbejder kopierer personoplysninger til en ukrypteret disk uden et specifikt formål, brydes både princippet om formålsbegrænsning og integritet. Virksomheder bør derfor implementere politikker, der tvinger brugeren til at overveje, om dataoverførslen er nødvendig (dataminimering), før den udføres.

Hvad er ikke omfattet af GDPR?

GDPR gælder kun for personoplysninger. Data, der er fuldstændig anonymiserede, således at personen ikke længere kan identificeres, er ikke omfattet af forordningen. Det er dog vigtigt at skelne mellem anonymisering og pseudonymisering; sidstnævnte (hvor man bruger en nøgle til at genidentificere data) er stadig underlagt GDPR-krav, herunder kravet om kryptering på eksterne medier.

Hvad defineres som personoplysninger ifølge Datatilsynet?

Personoplysninger defineres som enhver form for information, der kan bruges til direkte eller indirekte at identificere en fysisk person. Dette inkluderer ikke kun åbenlyse data som navn og CPR-nummer, men også IP-adresser, lokationsdata, e-mailadresser og billeder. Når disse oplysninger flyttes til eksterne lagringsenheder, udløses alle GDPR's sikkerhedskrav, uanset om der er tale om en lille tekstfil eller en stor database på en Western Digital harddisk.

Er billeder og e-mails omfattet af GDPR?

Ja, både billeder og e-mailadresser betragtes som personoplysninger. Et foto af en medarbejder eller en kunde er en unik identifikator. Hvis en virksomhed gemmer overvågningsbilleder på en ekstern disk, skal disse beskyttes strengt. For yderligere information om lovgivningen kan man se vores guide til lovgivning om videoovervågning og GDPR.

Hvad omhandler artikel 32 i GDPR?

Artikel 32 fokuserer specifikt på sikkerheden omkring behandlingen. Den kræver, at den dataansvarlige implementerer passende tekniske foranstaltninger baseret på en risikovurdering. For transportable medier er kryptering det mest effektive værktøj til at imødegå risikoen for tab eller tyveri. Manglende implementering af kryptering ved høj risiko kan betragtes som uagtsomhed i tilfælde af et tilsyn fra Datatilsynet.

Hvordan påvirker NIS2-krav og ISO 27001 din USB-politik?

NIS2-direktivet og ISO 27001 flytter fokus fra blot at undgå bøder til proaktiv risikostyring, hvor kontrol med fjernbare medier er et centralt element. NIS2 stiller skærpede krav til cybersikkerhed for virksomheder i kritiske sektorer, hvilket inkluderer styring af hardware-interfacer og transportable medierfor at forhindre malware-infektioner og datalæk. ISO 27001:2022 kontrol 7.10 (Storage Media) kræver en fuld livscyklusstyring, hvilket betyder, at virksomheden skal have procedurer for anskaffelse, brug, opbevaring og sikker sletning af medier.

ISO 27001 og livscyklusstyring

For at opnå ISO-certificering skal en virksomhed kunne dokumentere, hvem der har adgang til hvilke medier. Dette indebærer ofte brug af hardware-krypterede løsninger som Kingston IronKey Vault Privacy 80, da disse giver en centraliseret kontrol og beviselig kryptering. ISO 27002 kontrol 8.24 uddyber yderligere kravene til kryptografi, herunder valg af algoritmer.

NIS2 og den organisatoriske risiko

NIS2 lægger vægt på ledelsens ansvar. Det betyder, at manglende USB-politik ikke længere kun er en IT-fejl, men en ledelsesmæssig forsømmelse. Virksomheder bør her overveje at begrænse brugen af ukrypterede Seagate drev til kun at gælde ikke-sensitiv data, mens alt andet kræver godkendt hardware.

Hvilken type kryptering er nødvendig for transportable medier?

For at opnå juridisk og teknisk sikkerhed bør virksomheder prioritere hardware-baseret kryptering (AES-256) fremfor software-kryptering, da det eliminerer menneskelige fejl i opsætningen. Hardware-kryptering sker direkte på chippen i enheden, hvilket betyder, at data aldrig eksisterer ukrypteret på mediet. Software-kryptering er ofte afhængig af operativsystemets konfiguration og kan omgås, hvis brugeren ikke aktiverer det korrekt eller glemmer adgangskoden.

Hardware-kryptering i praksis

En løsning som Seagate Mobile SSD Secure integrerer krypteringen direkte, hvilket gør det lettere for medarbejdere at følge politikken. Når krypteringen er hardware-baseret, kan virksomheden være mere sikker på, at dataene er beskyttet fra det øjeblik, de skrives til disken.

For virksomheder med ekstremt høje krav til datasikkerhed findes der specialiserede enheder som Kingston IronKey Vault Privacy 80. Disse enheder anvender ofte AES-256, hvilket er en symmetrisk krypteringsstandard med en nøglelængde på 256 bits, der anses for at være modstandsdygtig over for brute-force angreb.

I praksis betyder hardware-kryptering følgende:

• Uafhængighed af OS: Krypteringen fungerer uanset om mediet tilsluttes Windows, macOS eller Linux.
• Beskyttelse mod 'Cold Boot'-angreb: Da krypteringsnøglerne opbevares i en separat hardware-chip og ikke i computerens RAM (Random Access Memory), er de sværere at udtrække for it-kriminelle.
• Automatisk eksekvering: Brugeren skal ikke huske at vælge "Krypter disk" i en menu; processen sker automatisk ved hver skrivning.

Software-kryptering som supplement

Selvom hardware-løsninger er foretrukne, kan software-kryptering anvendes på eksisterende Sandisk eller Verbatim enheder. Det kræver dog en stram politik og kontrol af, at krypteringen faktisk er aktiveret via centrale administrationsværktøjer.

En udbredt misforståelse er, at software-kryptering alene er tilstrækkelig til at undgå anmeldelse af databrud. Hvis krypteringen er implementeret inkonsistent på tværs af organisationen, eller hvis adgangskoderne gemmes usikkert, kan det stadig udgøre en risiko for de registrerede personer.

Virksomheder kan overveje at kombinere hardware-krypterede drev med software-baseret styring på tværs af flåden. Ved brug af standardenheder som Western Digital eller Seagate løsninger, bør it-afdelingen sikre, at der er en fast procedure for nulstilling af adgangskoder og håndtering af mistede enheder.

Hvordan opbygger man en effektiv USB-politik for virksomheden?

En effektiv USB-politik skal definere præcis hvilke typer data der må flyttes til eksterne medier, hvem der må gøre det, og hvilken hardware der skal anvendes. Politikken bør starte med et princip om "minimal brug", hvor cloud-lagring foretrækkes, men hvor fysiske medier tillades under strenge krav om kryptering. Dokumentationen af denne politik er essentiel for at bevise compliance over for Datatilsynet i tilfælde af et tilsyn.

Krav til hardware og krypteringsstandarder

For at undgå sikkerhedshuller bør virksomheden fjerne muligheden for, at medarbejdere anvender private, ukrypterede USB-stik. AES-256 (Advanced Encryption Standard med en 256-bit nøgle) er dent industristandard for stærk kryptering, som sikrer, at data er ulæselige uden den korrekte nøgle. I praksis betyder det, at hvis en disk mistes, betragtes hændelsen ofte ikke som et brud på persondatasikkerheden, da risikoen for uautoriseret adgang er minimal.

Til kritiske opgaver anbefales hardware-krypterede løsninger, hvor krypteringen sker direkte på chippen i enheden. Eksempler på professionelle løsninger inkluderer Kingston IronKey Vault Privacy 80 (1,92 TB) eller den mindre Kingston IronKey Vault Privacy 80 (960 GB), som begge tilbyder høj sikkerhed til transport af følsomme data.

Implementering af hardwarestandarder

Virksomheder bør standardisere deres indkøb. I stedet for at lade medarbejdere købe tilfældige enheder, kan man udlevere specifikke modeller som Transcend ESD300 til hurtig dataoverførsel, forudsat at de administreres centralt eller krypteres via virksomhedens standard. For større datamængder kan en Western Digital My Passport Ultra eller en Seagate Mobile SSD Secure være relevante alternativer, afhængigt af om der prioriteres kapacitet eller hastighed.

Integration med backup-strategier

En USB-politik må ikke stå alene. Den skal integreres med en overordnet strategi for databeskyttelse. For yderligere læsning om sikring af data mod totalt tab, se vores guide til 3-2-1 backup-reglen, da eksterne diske ofte bruges som en del af denne strategi. Det er vigtigt at skelne mellem transportmedier (USB) og backup-medier; sidstnævnte bør opbevares sikkert og ikke flyttes unødigt.

Hvilken rolle spiller fysisk sikkerhed og livscyklusstyring?

Fysisk sikkerhed handler om mere end blot kryptering; det omfatter hele perioden fra indkøb til destruktion af mediet. Livscyklusstyring sikrer, at enheder ikke bliver liggende i skuffer eller smidt ud i almindeligt affald, hvor de kan genfindes. En korrekt proces inkluderer inventarliste over alle udleverede USB-stik og eksterne harddiske samt en procedure for sikker overskrivning eller fysisk destruktion af chippen.

Håndtering af hardwarens livscyklus i praksis

For at undgå huller i sikkerheden bør virksomheder implementere en stram styring af mediernes levetid. Dette indebærer, at man ikke blot køber hardware, men følger den fra vugge til grav.

• Kvalificeret indkøb: Vælg enheder med indbygget hardwarekryptering for at minimere menneskelige fejl. Eksempler på høj-sikkerhedsløsninger er Kingston IronKey Vault Privacy 80 eller Seagate Mobile SSD Secure, som er designet til professionel brug.
• Løbende kontrol: Gennemfør kvartalsvise audits af inventarlisten for at sikre, at alle tildelte enheder stadig er i besiddelse af den rette medarbejder.
• Sikker bortskaffelse: Når en disk som f.eks. en Western Digital WDBKYJ0020BSL-WESN udtjenes, skal den gennem en verificeret destruktionsproces.

Risikoen ved uautoriseret hardware

Brug af private USB-stik i virksomhedens computere (Shadow IT) udgør en massiv sikkerhedsrisiko. Shadow IT defineres som it-systemer eller software, der anvendes i en organisation uden eksplicit godkendelse fra it-afdelingen. Det kan føre til både datalæk og malware-infektioner. Virksomheder bør overveje at blokere USB-porte via Group Policy (GPO), så kun godkendte enheder fra producenter som ADATA eller andre certificerede leverandører kan læses.

Sikker sletning af data

Når en ekstern harddisk udtjenes, er simpel formatering ikke nok. Formatering fjerner ofte kun filindekset, mens selve dataene forbliver på mediet. Data kan derfor ofte genskabes med specialsoftware. Virksomheder bør anvende værktøjer til overskrivning eller benytte professionelle services til fysisk destruktion for at overholde GDPR-kravet om sletning af data.

Ved brug af SSD'er (Solid State Drives), såsom Transcend ESD300, er traditionel overskrivning mindre effektiv pga. wear leveling (slidudjævning). Her anbefales det at bruge producentens egne sletningsværktøjer eller fysisk destruktion af chippen. For en dybere gennemgang af krypteringsteknikker, se vores guide til kryptering af eksterne harddiske.

Typiske fejl ved implementering af USB-politikker

1. Stol på software-kryptering uden kontrol: Mange virksomheder antager, at medarbejderne selv aktiverer BitLocker eller lignende. Uden central styring er der ingen garanti for, at krypteringen faktisk er aktiv på alle enheder.
2. Manglende differentiering af data: At tillade alle typer data på USB-stik uden klassificering. Man bør have en politik, hvor 'fortrolige' eller 'hemmelige' data slet ikke må forlade virksomhedens sikre netværk via fysiske medier.
3. Ignorering af livscyklus: At glemme at indsamle USB-stik fra fratrådte medarbejdere. Dette skaber huller i sikkerheden, hvor følsomme data forbliver i hænderne på personer uden længere adgang til virksomheden.
4. Manglende træning af medarbejdere: At have en politik på papiret, men ikke undervise personalet i *hvorfor* kryptering er vigtig. Dette fører ofte til, at medarbejdere finder "omveje" for at gøre deres arbejde lettere.
5. Brug af billige forbrugerprodukter til erhvervsbrug: At indkøbe budget-USB'er uden hardware-kryptering og tro, at det er tilstrækkeligt. Dette øger risikoen for anmeldelsespligtige brud markant ved tab.