Modul 5 · 5.2
Sigurna uporaba prijenosnog računala i telefona
Modul 5: Uređaji, softver i mreža · Vrijeme čitanja: 10 minuta
Cilj učenja: Nakon ove lekcije moći ćete zaštititi prijenosna računala i telefone od gubitka, krađe i zlonamjernog softvera, te ćete znati što trebate učiniti u prvom satu ako uređaj nestane.
Ključni pojmovi: zaključavanje zaslona, enkripcija diska, ključ za oporavak, pronalaženje i brisanje uređaja, ugrađena zaštita, standardni korisnik, administratorski račun, dopuštenja aplikacija, upravljanje na daljinu (MDM)
Uređaj je svežanj ključeva
Na prijenosnom računalu ili telefonu poduzetnika ne nalaze se samo datoteke. Tu su i prijavljene sesije e-pošte, knjigovodstva i banke, spremljene lozinke, authenticator aplikacija za dvofaktorsku autentifikaciju (2FA), podaci o klijentima u mapi preuzimanja i fotografije putovnica koje je netko "samo na brzinu" poslao. Izgubljen ili ukraden uređaj zato je gotovo uvijek više od troška. On može omogućiti pristup cijelom Vašem poslovanju i može predstavljati povredu osobnih podataka (lekcija 8.2).
Postoje dvije vrste rizika, s različitim mjerama:
| Rizik | Primjer | Najvažnije mjere |
|---|---|---|
| Fizički | Prijenosno računalo ostane u vlaku, telefon ukraden na terasi | Zaključavanje zaslona, enkripcija diska, pronalaženje i brisanje na daljinu |
| Digitalni | Zlonamjerni softver putem privitka, lažna aplikacija, zastarjeli program | Ažuriranja (lekcija 5.1), ugrađena zaštita, bez administratorskih prava, dopuštenja aplikacija |
Zaključavanje zaslona: prva vrata
Bez zaključavanja, svatko tko uzme Vaš uređaj može odmah nastaviti ondje gdje ste Vi stali. Zato postavite:
- PIN kod ili lozinku na svakom uređaju, uz biometriju (otisak prsta ili lice) kao dodatnu praktičnost. PIN kod od šest ili više znamenki mnogo je jači od četveroznamenkastog; uzorak povlačenja prstom često se može pročitati iz tragova na zaslonu;
- automatsko zaključavanje nakon nekoliko minuta nekorištenja;
- naviku da sami zaključate uređaj kad odlazite. Na Windows sustavu to je tipka Windows + L, na Mac uređaju Control + Command + Q;
- ograničavanje obavijesti na zaključanom zaslonu. Kod za prijavu putem SMS-a ili dio povjerljive poruke e-pošte ne treba biti vidljiv svakome tko vidi Vaš telefon na stolu.
Enkripcija diska: ono što lopov ne može pročitati
Zaključavanje zaslona zaustavlja slučajnog prolaznika, ali ne i lopova s dovoljno vremena. On može izvaditi disk iz prijenosnog računala i pročitati ga u drugom računalu. Protiv tog scenarija pomaže enkripcija diska: svi podaci na pohrani enkriptiraju se ključem koji se otključava tek kad se prijavite. Bez tog ključa disk je skup nečitljivih znakova.
| Uređaj | Kako se zove | Što trebate znati |
|---|---|---|
| Windows | BitLocker (Pro, Enterprise, Education) ili Enkripcija uređaja (dostupna i na Windows Home, na prikladnim uređajima) | Enkripcija uređaja automatski se uključuje ako se prilikom postavljanja prijavite Microsoft računom ili poslovnim odnosno školskim računom; s lokalnim računom ne. Provjerite to pod Privatnost i sigurnost. |
| Mac | FileVault | Uključuje se u postavkama sustava pod Privatnost i sigurnost. |
| iPhone i iPad | Zaštita podataka | Automatski se uključuje čim postavite pristupni kod. |
| Android | Enkripcija uređaja | Na modernim telefonima uključena je prema zadanim postavkama; provjerite pod Sigurnost. |
Uz enkripciju ide ključ za oporavak: dugačak kod pomoću kojeg možete pristupiti podacima ako lozinka prestane raditi ili nakon veće izmjene na uređaju. Taj ključ čuvajte na mjestu do kojeg možete doći i ako samo prijenosno računalo nestane, primjerice u Vašem upravitelju lozinki ili u računu Vaše organizacije. Ključ za oporavak na papiriću u torbi za prijenosno računalo jednako je koristan kao kućni ključ ispod otirača.
Zašto je to važno za GDPR: izgubite li enkriptirani uređaj čiji je ključ siguran, vjerojatnost zlouporabe podataka je mala. Kod neenkriptiranog prijenosnog računala s podacima o klijentima situacija je drukčija. Kako to procijeniti, naučit ćete u lekciji 8.2.
Nestao? Prvi sat
Pripremite ovo sada, kako bi radilo kad zatreba:
- Uključite pronalaženje i brisanje na daljinu. Apple, Google i Microsoft svatko ima funkciju za prikazivanje uređaja na karti, puštanje zvuka, zaključavanje i brisanje uređaja. To radi samo ako je unaprijed uključeno.
- Znajte gdje se za to prijavljujete i pobrinite se da to možete učiniti i bez izgubljenog uređaja. Ako je Vaša dvofaktorska autentifikacija vezana samo uz taj telefon, trebat će Vam kodovi za oporavak (lekcija 2.3).
Kad uređaj nestane:
- Zaključajte ga na daljinu i prikažite poruku s telefonskim brojem.
- Poništite sesije na najvažnijim uslugama: e-pošta, cloud pohrana, knjigovodstvo. U Nextcloudu, na primjer, možete po uređaju povući pristup ili narediti uređaju da obriše podatke te usluge.
- Promijenite lozinke računa koji su bili otvoreni na uređaju, s drugog, čistog uređaja.
- Obrišite uređaj na daljinu ako ga ubrzo ne pronađete.
- Procijenite i dokumentirajte jesu li na njemu bili osobni podaci, i podnesite kaznenu prijavu u slučaju krađe.
Zlonamjerni softver: ugrađena zaštita i minimalna prava
Moderno prijenosno računalo ili telefon već ima puno ugrađene zaštite: Windows ima Microsoft Defender, macOS ima vlastite provjere programa, a trgovine aplikacijama Applea i Googlea provjeravaju aplikacije prije nego što postanu dostupne. Zaseban antivirusni paket može ponuditi dodatne funkcije, ali najvažnije je da ugrađena zaštita bude uključena i ažurirana.
Dvije navike čine veliku razliku:
- Svakodnevno radite kao standardni korisnik, a ne kao administrator. Zlonamjerni softver koji slučajno pokrenete dobiva ista prava kao i Vi. Kao standardni korisnik, on može mnogo manje: ne može instalirati softver, mijenjati sistemske postavke niti isključiti zaštitu. Ako jednom zatrebate administratorska prava, sustav će tražiti administratorsku lozinku. Taj trenutak razmišljanja upravo je svrha.
- Instalirajte samo iz službene trgovine aplikacija ili sa stranice proizvođača. Na Androidu to znači: ostavite isključenom opciju "instaliranje iz nepoznatih izvora". Prevaranti kod prijevara s pomoći ili lažnih bankovnih obavijesti rado šalju poveznicu na "aplikaciju" koja u stvarnosti preuzima kontrolu nad Vašim zaslonom.
Dopuštenja aplikacija: što smije aplikacija?
Svaka aplikacija traži dopuštenja: kamera, mikrofon, lokacija, kontakti, datoteke. Aplikacija za svjetiljku koja traži pristup Vašim kontaktima nema za to dobar razlog. Jednom u tromjesečju pregledajte dopuštenja u postavkama telefona:
- dopustite pristup lokaciji samo "tijekom korištenja", ne uvijek;
- povucite pristup kontaktima i datotekama aplikacijama kojima to nije potrebno. Vaši kontakti su osobni podaci drugih osoba;
- uklonite aplikacije koje više ne koristite;
- posebno pazite na aplikacije koje traže prava pristupačnosti ili dijeljenje zaslona. Pomoću njih aplikacija može vidjeti i kliknuti sve što Vi vidite.
Više uređaja? Upravljanje na daljinu
Radite li s nekoliko osoba ili više, pristup "svatko si to sam uredi" postaje teško nadzirati. Pomoću upravljanja na daljinu (Mobile Device Management, MDM) centralno postavljate da je svaki uređaj enkriptiran, da ima zaključavanje, da prima ažuriranja i da se može obrisati na daljinu. Postoje rješenja ugrađena u velike poslovne uredske pakete, zasebne usluge i otvoreni softver. Za telefone u privatnom vlasništvu zaposlenika (bring your own device) često možete upravljati samo poslovnim dijelom, tako da nemate pristup nečijim privatnim fotografijama.
I bez MDM-a možete dogovoriti pravila i jednom godišnje ih zajedno provjeriti. Popis za provjeru u zadatku pomaže pri tome.
U praksi: kako to izgleda
U Nextcloudu, kako ga nudi WebOké, pod Postavke, Security nalazi se popis Devices & sessions. Ondje vidite svaki preglednik, aplikaciju i lozinku aplikacije koja ima pristup. Preko tri točkice možete povući pristup jednom uređaju, ili narediti uređaju da obriše Nextcloud podatke čim se sljedeći put poveže. Kod drugih cloud usluga to se često zove "uređaji", "sesije" ili "pregled sigurnosti" i radi na sličan način.
Sažetak
- Uređaj je svežanj ključeva: na njemu su sesije, lozinke i aplikacija za 2FA.
- Uključite automatsko zaključavanje, koristite jak PIN kod i ograničite obavijesti na zaključanom zaslonu.
- Uključite enkripciju diska i čuvajte ključ za oporavak negdje drugdje, ne uz uređaj.
- Unaprijed uključite pronalaženje i brisanje na daljinu; u slučaju gubitka: zaključajte, poništite sesije, promijenite lozinke, obrišite, procijenite.
- Radite kao standardni korisnik, instalirajte samo iz službenih izvora i pregledajte dopuštenja aplikacija.
Kviz
Zadatak
Zadatak D5.2: Provjera Vašeg prijenosnog računala i telefona. Provjerite na vlastitom prijenosnom računalu i telefonu zaključavanje, enkripciju diska, ključ za oporavak, pronalaženje i brisanje na daljinu, vrstu računa i dopuštenja aplikacija. Označite popis za provjeru i zapišite što biste učinili ako Vam telefon sutra bude ukraden.
Zadatak D5.2: Provjera Vašeg prijenosnog računala i telefona
Evo kako to učiniti: (1) Zaključavanje: postavite PIN kod od najmanje šest znamenki ili lozinku, automatsko zaključavanje nakon najviše 5 minuta, i ograničite obavijesti na zaključanom zaslonu. (2) Enkripcija diska: provjerite na svom laptopu je li uključen BitLocker ili Enkripcija uređaja (Windows) odnosno FileVault (Mac); na telefonu provjerite je li uključena enkripcija (iPhone: uključena čim postoji pristupni kod). (3) Ključ za oporavak: provjerite gdje je pohranjen ključ za oporavak Vašeg laptopa i provjerite možete li do njega doći bez tog laptopa. Ključ nigdje u tečaju sami ne unosite. (4) Traženje i brisanje na daljinu: uključite funkciju traženja Vašeg operacijskog sustava i provjerite s drugog uređaja da možete vidjeti svoj laptop i telefon. (5) Vrsta računa: provjerite je li Vaš svakodnevni račun standardni korisnički račun. Ako je administratorski, napravite zaseban administratorski račun i postavite svakodnevni račun na standardni (ili zabilježite zašto to sada nije moguće). (6) Ugrađena zaštita: provjerite je li ugrađena zaštita (na primjer Microsoft Defender) uključena i ažurirana. (7) Dopuštenja aplikacija: na telefonu pregledajte dopuštenja za lokaciju, kontakte, kameru, mikrofon, datoteke i pristupačnost. Isključite ono što nije potrebno. Uklonite aplikacije koje ne koristite. (8) Sesije: kod svoje pošte ili pohrane u oblaku pogledajte popis uređaja i sesija (na primjer u Nextcloudu pod *Uređaji i sesije*) i isključite stare uređaje.
Vaše kvačice i bilješke ostaju samo u ovom pregledniku; ne šaljemo ih nikamo. Ako ste prijavljeni, u Moji tečajevi čuvamo samo podatak da ste zadatak završili.
Dodatno štivo
Koraci u WebOké člancima vrijede za okruženje WebOké; kod drugih pružatelja usluga rad je sličan.
- Nextcloud priručnik 3.6: Uređaje i sesije pregledati, opozvati ili daljinski izbrisati
- Nextcloud priručnik 3.10: Izgubljeni telefon ili izgubljena dvofaktorska autentifikacija: ovako ponovno dobivate pristup
- Priručnik za WebOké 3.6: Pregled aktivnih sesija i odjava
- Nacionalni CERT, mobilni uređaji (nizozemski izvor): https://www.cert.hr/
- Microsoft, enkripcija uređaja u Windowsima: https://support.microsoft.com/nl-nl/windows/apparaatversleuteling-in-windows-cf7e2b6f-3e70-4882-9532-18633605b7df
- Apple, pristupni kodovi i zaštita podataka (engleski): https://support.apple.com/guide/security/passcodes-and-passwords-sec20230a10d/web