BitLocker för företag hjälper er att skydda information på jobbdatorer som tappas bort eller blir stulna. När disken är krypterad ska en obehörig inte kunna läsa innehållet bara genom att flytta lagringsenheten till en annan dator. För VD och kontorschef på företag med fem till hundra anställda handlar det därför om både tekniska inställningar och ett tydligt ansvar: vilka datorer är skyddade, vem kan återställa dem och hur följs avvikelser upp?
Kryptering ersätter inte inloggningsskydd, säkerhetskopiering eller incidenthantering. Den skyddar främst lagrad information när enheten inte är tillgänglig för användning. En dator som redan är upplåst behöver andra skydd. Här beskriver vi hur ni planerar BitLocker i en mindre verksamhet i Stockholmsområdet utan att göra återställningsnyckeln till en ny säkerhetsrisk.
Varför jobbdatorns disk behöver krypteras
En bärbar dator kan innehålla nedladdade avtal, mejl, kunduppgifter och lokala kopior av molnfiler. Att dokumenten normalt ligger i Microsoft 365 betyder inte att ingenting finns på datorn. Ett vanligt Windows-lösenord är inte samma sak som diskkryptering. Kartlägg därför vilka enheter som används på kontoret, hemma och under resor, även reservdatorer och datorer som sällan ansluter till företagets nätverk.
GDPR kräver en bedömning av verksamhetens risker
Kryptering kan vara en relevant teknisk skyddsåtgärd för personuppgifter, men är inte ett automatiskt bevis på att företaget uppfyller GDPR. Vid förlust behöver ni bedöma vilka uppgifter som kan vara berörda och om skyddet verkligen var aktivt. Följ IMY:s aktuella vägledning och ta juridisk hjälp när bedömningen kräver det. Vår checklista för IT-säkerhet i småföretag sätter krypteringen i ett bredare sammanhang.
Så fungerar BitLocker, TPM och återställningsnyckeln
BitLocker krypterar volymer på datorns lagringsenhet. TPM är en säkerhetsfunktion i hårdvaran som kan skydda nyckelmaterial och kontrollera förutsättningar vid uppstart. I ett vanligt företagsupplägg kan datorn starta utan att användaren anger en separat krypteringsnyckel varje gång. En start-PIN kan ingå i andra upplägg. IT behöver välja inställningar utifrån risk, hårdvarustöd och Microsofts aktuella rekommendationer, inte utifrån vad som råkar vara enklast att aktivera.
Återställning är en kontrollerad undantagsväg
Om datorn inte kan låsa upp volymen på vanligt sätt kan den begära en återställningsnyckel. Nyckeln gör det möjligt att komma åt krypterade data och måste därför behandlas som en känslig säkerhetsuppgift. Skilj nyckelns identifierare från själva nyckeln när ni dokumenterar ett ärende. Identifieraren hjälper IT att hitta rätt post; den fullständiga nyckeln ska inte skickas i öppna chattar, vanliga ärendetexter eller gemensamma kalkylblad.
Hantera kryptering och nycklar centralt
Med en lämpligt konfigurerad Microsoft-miljö kan Intune styra krypteringsinställningar och ge en översikt över enheternas status. Återställningsnycklar kan säkerhetskopieras till Microsoft Entra ID när enhetens anslutning och policy stöder det. En lokal domänmiljö kan använda andra godkända lösningar. Bestäm företagets avsedda lagringsplats före utrullningen och verifiera att rätt nyckel faktiskt finns där för varje berörd dator.
Begränsa åtkomst och kontrollera avvikelser
Ge bara behöriga personer tillgång till återställningsnycklar och använd tillgänglig loggning för att följa åtkomsten. Kontrollera identiteten på den som behöver hjälp innan nyckeln lämnas ut. Följ upp enheter med misslyckad kryptering, utebliven rapportering eller saknad nyckel. En tilldelad policy betyder inte att allt är genomfört. Läs om hantering av mobiler och datorer med Intune och vår tjänst för Microsoft 365 och Google Workspace.
Kontrollera Windows-utgåva, licenser och Mac-datorer
BitLocker-hantering finns normalt i Windows Pro, Enterprise och Education. Vissa andra Windows-enheter kan erbjuda enhetskryptering, men funktioner och hanteringsmöjligheter är inte identiska. Kontrollera aktuell Windows-utgåva, TPM, firmware och Microsofts dokumentation innan ni beställer datorer eller beslutar om policy. Central hantering med Intune kräver dessutom lämpliga licenser och enhetsregistrering. Utgå inte från att alla Microsoft 365-abonnemang innehåller samma funktioner.
FileVault är Mac-miljöns motsvarande skydd
På Mac används FileVault för att skydda åtkomsten till lagrade data. Hantering och återställning skiljer sig från BitLocker och behöver följa Apples aktuella dokumentation samt ert hanteringsverktygs stöd. Säkerställ även här en godkänd förvaring av återställningsinformation. Ha separata kontrollpunkter för Windows och Mac i samma utrustningsregister. Vid hårdvara och inköp bör krypteringskraven finnas med från början, inte bli en fråga efter leveransen.
När datorn visar en återställningsskärm
Ändringar i BIOS, firmware eller uppstartsmiljö kan göra att BitLocker begär återställning. Det betyder inte automatiskt att datorn är angripen, men orsaken ska undersökas. Fotografera vid behov felinformationen utan att sprida nyckelmaterial och kontakta IT genom en känd kanal. Låt inte användaren prova slumpmässiga BIOS-inställningar, rensa TPM eller formatera disken för att få bort skärmen. Sådana åtgärder kan försvåra återställningen.
Saknad nyckel kan innebära att data inte går att rädda
IT behöver söka i godkända nyckelarkiv och kontrollera att enhet och nyckelidentifierare matchar. Om ingen fungerande återställningsmetod finns kan krypterade data vara oåtkomliga. Därför behövs en separat, verifierad backup av verksamhetens information. Läs vår guide om backup för företag. Planerade firmwareändringar bör förberedas enligt tillverkarens anvisningar, med kontroll av nyckelförvaring och eventuell tillfällig paus av skyddet som IT ansvarar för att återaktivera.
Checklista för införande och löpande uppföljning
Bekräfta skyddet, inte bara inställningen
- Inventera datorer, Windows-utgåvor, hårdvarustöd och ansvarig användare.
- Bestäm krypteringspolicy och testa den på en representativ grupp enheter.
- Verifiera aktiv kryptering och att rätt återställningsnyckel finns i godkänt arkiv.
- Begränsa nyckelåtkomst och dokumentera hur identitet kontrolleras vid support.
- Följ upp saknade statusrapporter, misslyckad kryptering och ändrad hårdvara.
- Kontrollera backup och rutinen inför firmwareändring, datorbyte och kassering.
Ta även med externa lagringsenheter i riskbedömningen. BitLocker på datorns systemdisk innebär inte att ett USB-minne eller en separat disk automatiskt är krypterad. Bestäm vilka medier som får användas, vilket skydd de behöver och hur återställningen ska hanteras. Kontrollera aktuellt stöd och använd inte privata lagringsenheter för verksamhetens känsliga information.
Utse en ansvarig som regelbundet granskar översikten och ser till att avvikelser blir ärenden. Prova återställningsrutinen kontrollerat på en testdator och dokumentera vad supporten behöver kunna hitta. Förklara för medarbetarna hur en återställningsskärm ser ut och vart de ska vända sig. En begriplig rutin minskar risken att nycklar lämnas till fel person eller att användaren försöker lösa ett legitimt säkerhetsskydd genom att stänga av det.
Rutiner vid förlust, datorbyte och kassering
Vid en försvunnen dator behöver IT kontrollera senaste kända krypteringsstatus, hantera konton och sessioner samt bedöma möjliga dataförluster. Läs rutinen för borttappad eller stulen jobbdator. Vid byte ska nödvändiga filer säkras och den gamla enheten raderas med en metod som passar lagringsmediet och verksamhetens krav. Att datorn är krypterad gör inte vilken raderingsmetod som helst tillräcklig.
Dokumentera mottagare, radering och återbruk eller återvinning. Ta bort gamla hanteringsposter och nycklar först när överlämningen och eventuella bevarandekrav är hanterade. På nästa dator ska kryptering och nyckelförvaring verifieras på nytt. Windows Autopilot kan ingå i etableringen av en ny enhet, men ersätter inte kontroll av resultatet eller rutinen för den gamla datorn.
Sammanfattning: kombinera kryptering med fungerande återställning
BitLocker ger ett viktigt skydd när jobbdatorer försvinner, men nyttan beror på faktisk kryptering, säker nyckelförvaring och tydliga rutiner. IT Support Stockholm drivs av Tele-Byrån i Kalmar AB. Vi hjälper företag i Kista och Solna att se över IT-säkerhet och backup samt planera utrustningens livscykel. Kontakta oss för att diskutera hur kryptering och återställning bör hanteras i er miljö.
Vanliga frågor
Räcker Windows-lösenordet för att skydda en stulen dator?
Nej, ett inloggningslösenord är inte samma sak som diskkryptering. BitLocker kan skydda lagrade data mot åtkomst utanför den vanliga inloggningen. Kontoskydd, backup och en rutin för förlust behövs också.
Var ska företagets BitLocker-nycklar lagras?
I ett godkänt, åtkomststyrt arkiv. Microsoft Entra ID kan användas i en lämpligt konfigurerad miljö. Kontrollera att rätt nyckel faktiskt har säkerhetskopierats för varje dator och begränsa vilka som kan läsa den.
Varför frågar BitLocker efter nyckeln efter en firmwareuppdatering?
Ändringar i firmware eller uppstartsmiljö kan utlösa återställning. IT bör kontrollera orsaken och matcha nyckelidentifieraren mot rätt arkivpost. Rensa inte TPM eller formatera datorn som en första felsökningsåtgärd.
Ingår BitLocker och central hantering i alla Windows-licenser?
Nej, Windows-utgåva och hanteringslicenser spelar roll. BitLocker finns normalt i Pro, Enterprise och Education, medan Intune-hantering har egna krav. Kontrollera alltid Microsofts aktuella dokumentation och villkor för ert upplägg.
Fördjupning: Checklista IT-säkerhet · Backup för företag. Vi hjälper företag i bland annat Kista och Solna.