Bezpečné používání notebooku a telefonu

Modul 5: Zařízení, software a síť · Doba čtení: 10 minut

Cíl lekce: Po této lekci dokážete zabezpečit notebooky a telefony proti ztrátě, krádeži a malwaru a budete vědět, co dělat v první hodině po ztrátě zařízení.
Klíčové pojmy: zamykání obrazovky, šifrování disku, obnovovací klíč, vyhledání a vymazání zařízení, vestavěná ochrana, standardní uživatel, účet správce, oprávnění aplikací, vzdálená správa (MDM)

Zařízení je svazek klíčů

Na notebooku nebo telefonu podnikatele nejsou jen soubory. Jsou na něm také přihlášené relace e-mailu, účetnictví a banky, uložená hesla, autentizační aplikace pro dvoufázové ověření, údaje o zákaznících ve složce stažených souborů a fotografie pasů, které Vám někdo „jen tak“ poslal. Ztracené nebo ukradené zařízení je proto téměř vždy víc než jen finanční ztráta. Může poskytnout přístup k celému Vašemu podnikání a může jít o únik osobních údajů (lekce 8.2).

Existují dva druhy rizik, s různými opatřeními:

Zamykání obrazovky: první dveře

Bez zamykání může kdokoli, kdo vezme Vaše zařízení do ruky, pokračovat přesně tam, kde jste přestali. Proto nastavte:

• PIN kód nebo heslo na každém zařízení, s biometrií (otisk prstu nebo obličej) jako pohodlným doplňkem. PIN kód o šesti a více číslicích je mnohem silnější než čtyřmístný; vzor přejetí po obrazovce lze často odečíst podle šmouh na displeji;
• automatické zamykání po několika minutách nečinnosti;
• zvyk sami zamykat zařízení, když od něj odcházíte. Ve Windows je to klávesa Windows + L, na Macu Control + Command + Q;
• omezte oznámení na uzamčené obrazovce. Přihlašovací kód přes SMS nebo úryvek z důvěrného e-mailu nemusí být vidět pro kohokoli, kdo vidí Váš telefon ležet na stole.

Šifrování disku: co zloděj nepřečte

Zamykání obrazovky zastaví kolemjdoucího, ale ne zloděje, který má čas. Ten může disk z notebooku vyjmout a přečíst v jiném počítači. Proti tomuto scénáři pomáhá šifrování disku: všechna data na úložišti jsou zašifrována klíčem, který se uvolní až po Vašem přihlášení. Bez tohoto klíče je disk jen souborem nečitelných znaků.

K šifrování patří obnovovací klíč: dlouhý kód, pomocí kterého se dostanete k datům, pokud heslo přestane fungovat nebo po větší změně na zařízení. Uložte tento klíč na místo, které je dostupné i tehdy, když notebook samotný zmizí, například ve Vašem správci hesel nebo v účtu Vaší organizace. Obnovovací klíč na papírku v brašně na notebook je stejně užitečný jako klíč od domu pod rohožkou.

Proč na tom záleží z hlediska GDPR: ztratíte li zašifrované zařízení, jehož klíč je bezpečně uložen, je pravděpodobnost zneužití dat malá. U nezašifrovaného notebooku se zákaznickými údaji je tomu jinak. Jak toto posoudit, se naučíte v lekci 8.2.

Ztracené? První hodina

Nastavte to hned teď, aby to fungovalo, až to bude potřeba:

1. Zapněte vyhledání a vzdálené vymazání. Apple, Google a Microsoft mají každý funkci, kterou zobrazíte zařízení na mapě, necháte ho pípat, zamknete ho a vymažete. Funguje to jen tehdy, pokud je to předem zapnuté.
2. Vězte, kde se k tomu přihlašujete, a zajistěte, abyste se tam dostali i bez ztraceného zařízení. Pokud máte dvoufázové ověření jen na daném telefonu, budete potřebovat obnovovací kódy (lekce 2.3).

Pokud je zařízení ztracené:

1. Zamkněte ho na dálku a zobrazte zprávu s telefonním číslem.
2. Odhlaste relace u nejdůležitějších služeb: e-mail, cloudové úložiště, účetnictví. V Nextcloud můžete například odebrat přístup pro jednotlivé zařízení nebo dát zařízení pokyn, aby smazalo data dané služby.
3. Změňte hesla účtů, které byly na zařízení přihlášené, z jiného, čistého zařízení.
4. Vymažte zařízení na dálku, pokud ho rychle nenajdete.
5. Posuďte a zdokumentujte, zda na něm byly osobní údaje, a při krádeži podejte trestní oznámení.

Malware: vestavěná ochrana a minimální oprávnění

Moderní notebook nebo telefon má již na palubě hodně ochrany: Windows má Microsoft Defender, macOS má vlastní kontroly programů a obchody s aplikacemi Apple a Google kontrolují aplikace předtím, než jsou nabídnuty. Samostatný antivirový balík může nabídnout dodatečné funkce, ale nejdůležitější je, aby vestavěná ochrana byla zapnutá a aktualizovaná.

Dva zvyky dělají velký rozdíl:

• Pracujte denně jako standardní uživatel, ne jako správce. Malware, který omylem spustíte, získá stejná oprávnění jako Vy. Jako standardní uživatel toho zvládne mnohem méně: nemůže instalovat software, měnit systémová nastavení ani vypínat ochranu. Pokud jednou potřebujete oprávnění správce, systém si vyžádá heslo správce. Tento moment zamyšlení je přesně to, oč jde.
• Instalujte pouze z oficiálního obchodu s aplikacemi nebo z webu výrobce. Na Androidu to znamená: nechte vypnuté „instalování z neznámých zdrojů“. Podvodníci při podvodech s žádostí o pomoc nebo falešných bankovních oznámeních rádi posílají odkaz na „aplikaci“, která ve skutečnosti převezme Vaši obrazovku.

Oprávnění aplikací: co smí aplikace dělat?

Každá aplikace žádá oprávnění: fotoaparát, mikrofon, poloha, kontakty, soubory. Aplikace na baterku, která chce Vaše kontakty, k tomu nemá dobrý důvod. Jednou za čtvrtletí projděte oprávnění v nastavení telefonu:

• dávejte přístup k poloze pouze „během používání“, ne trvale;
• odeberte přístup ke kontaktům a souborům u aplikací, které ho nepotřebují. Vaše kontakty jsou osobní údaje dalších lidí;
• odstraňte aplikace, které už nepoužíváte;
• dávejte zvlášť pozor na aplikace, které žádají oprávnění pro usnadnění přístupu nebo sdílení obrazovky. Díky nim aplikace vidí a může klikat na vše, co vidíte Vy.

Více zařízení? Vzdálená správa

Pokud pracujete s několika lidmi nebo více, je „ať si to každý zařídí sám“ obtížné kontrolovat. Pomocí vzdálené správy (Mobile Device Management, MDM) centrálně nastavíte, že je každé zařízení zašifrované, má zamykání, dostává aktualizace a lze ho na dálku vymazat. Řešení jsou zabudovaná ve velkých firemních kancelářských balících, existují samostatné služby i open source varianty. U telefonů, které si zaměstnanci přinášejí sami (bring your own device), můžete často spravovat pouze firemní část, takže se nedostanete k soukromým fotografiím dané osoby.

I bez MDM můžete uzavřít dohody a jednou ročně je společně projít. Pomůže Vám k tomu kontrolní seznam v úkolu.

V praxi: jak to vypadá

V Nextcloud, jak ho nabízí WebOké, najdete v nabídce Nastavení, Zabezpečení seznam Zařízení a relace. Vidíte tam každý prohlížeč, aplikaci a heslo aplikace, které mají přístup. Přes tři tečky odeberete přístup jednomu zařízení, nebo necháte zařízení smazat data Nextcloud, jakmile se znovu připojí. U jiných cloudových služeb se to často jmenuje „zařízení“, „relace“ nebo „přehled zabezpečení“ a funguje to podobně.

Shrnutí

• Zařízení je svazek klíčů: jsou na něm relace, hesla i aplikace pro 2FA.
• Zamykejte automaticky, používejte silný PIN kód a omezte oznámení na uzamčené obrazovce.
• Zapněte šifrování disku a uložte obnovovací klíč jinde než u samotného zařízení.
• Předem zapněte vyhledání a vzdálené vymazání; při ztrátě: zamknout, odhlásit relace, změnit hesla, vymazat, posoudit.
• Pracujte jako standardní uživatel, instalujte pouze z oficiálních zdrojů a projděte oprávnění aplikací.

Kvíz

Úkol

Úkol D5.2: Kontrola notebooku a telefonu. Zkontrolujte na svém notebooku a telefonu zamykání obrazovky, šifrování disku, obnovovací klíč, vzdálené vyhledání a vymazání, typ účtu a oprávnění aplikací. Odškrtněte kontrolní seznam a napište, co byste udělali, kdyby Vám telefon zítra ukradli.

Další čtení

Postupy v článcích WebOké platí pro prostředí WebOké; u jiných poskytovatelů to funguje podobně.

• Příručka k Nextcloud 3.6: Zobrazení, odvolání nebo vzdálené vymazání zařízení a sezení
• Příručka k Nextcloud 3.10: Ztracený telefon nebo ztráta 2FA: takto se opět dostanete dovnitř
• Příručka WebOké 3.6: Zobrazení aktivních relací a odhlášení
• NÚKIB, mobilní zařízení: https://nukib.gov.cz/
• Microsoft, šifrování zařízení ve Windows: https://support.microsoft.com/nl-nl/windows/apparaatversleuteling-in-windows-cf7e2b6f-3e70-4882-9532-18633605b7df
• Apple, přístupové kódy a ochrana dat (anglicky): https://support.apple.com/guide/security/passcodes-and-passwords-sec20230a10d/web