Page 92

TIETOTURVALLISUUDEN KÄSIKIRJA Sivu 91 / 127 • • • • • • TIETOTURVALLISUUDEN KÄSIKIRJA Normaali yhdistelmä BitLocker + TPM-siru suojaa hyvin tilanteessa, jossa kone varastetaan sammutettuna, levy irrotetaan ja kytketään toiseen koneeseen sekä käyttöjärjestelmä yritetään käynnistää USB-tikulta. Näissä tapauksissa levyn sisältö ei ole luettavissa ilman BitLocker-avainta. TPM vapauttaa avaimen vain, jos käynnistysympäristö näyttää muuttumattomalta. Tätä edellä mainittua suojausta tehokkaampi yhdistelmä on TPM + PINkoodi. Microsoftin mukaan käynnistysvaiheen PIN-koodi estää salausavainten lataamisen muistiin ennen käyttäjän tunnistautumista. Pelkkä TPM-pohjainen BitLocker suojaa hyvin levyvarkauksilta ja USB-käynnistysyrityksiltä, mutta TPM+PIN antaa lisäsuojaa kehittyneitä fyysisiä hyökkäyksiä vastaan. Siksi korkean tietoturvatason ympäristöissä käynnistyksen yhteydessä kysyttävä PIN-koodi on perusteltu. Vaihtoedot siis ovat: TPM-only eli kone käynnistyy ilman käyttäjän toimenpiteitä; tämä ratkaisun on yleisin. TPM + PIN, eli Käynnistyksen yhteydessä kysytään PIN-koodi; tämä vaihtoehto suojaa paremmin fyysisiltä hyökkäyksiltä. Nämä kaksi edellistä ovat tyypillisimpiä ratkaisuja yritysympäristössä Kolmasvaihtoehto on TPM + Startup Key (USB); jossa USB-tikku täytyy olla paikallaan käynnistyksessä, ja tikun häviäminen tarkoittaa ette kone ei käynnisty. Neljäntenä vaihtoehtona on TPM + PIN + Startup Key, jossa vaaditan sekä PIN että suojausavain. Jos haitantekijä pääsee koneelle kiinni, vaikka USB-tikulla, BitLocker salauksen murtaminen on mahdollista, mikäli PIN-koodikysely ei ole käytössä. PIN-koodia käytettäessä jokaisen käyttäjän pitää muistaa oma PIN-koodinsa, muutoin laitteen käynnistys estyy ja palautuminen vaatii BitLocker-palautusavainta. Microsoft Entra ID (Azure AD) -liitetyissä ja Intune-hallituissa laitteissa palautusavain tallentuu Entra ID:hen, josta ylläpitäjä tai riippuen asetuksista itse käyttäjä voi hakea sen. Jos palautusavainta ei ole tallennettu mihinkään tai sitä ei löydy, BitLocker-salattuja tietoja ei käytännössä voida palauttaa. Käyttöoikeudet ja tallennustilat Tallenna tekemäsi työ ensisijaisesti aina sovittuun järjestelmään tai sijaintiin. Vältä tilannetta, jossa asiakirja tai muu aineisto olisi ainoastaan sellaisella laitteella tai tietovälineellä, jonka varmuuskopiointi on epäsäännöllistä. • Tallenna tietokoneen kiintolevylle vain työkopioita tai väliaikaistiedostoja. • Henkilökohtaiset pilvitallennuspalvelut eivät ole sallittu työkäytössä. • Ulkoiset tallennusmediat (USB-tikut, CD/DVD-levyt, USB-kiintolevyt, muistikortit) ovat sallittu vain siirrettäessä tietoja järjestelmästä toiseen. Jos kyseessä on arkaluontoista tietoa, tulee tallennusmedia yli kirjoittaa käytön jälkeen. • Tuntemattomia USB-laitteita ei tule liittää koneisiin missään tapauksessa. • Muiden tietojen tallennukseen käytetään aina sovittua tiedontallennuspaikkaa. • Organisaation mobiililaitteilla on rajoitettu tiedostojen siirto henkilökohtaisiin tileihin. • Organisaation mobiililaitteisiin ja tileihin on rajoitettu asennettavia sovelluksia. • Jos tarvitset jotain sovellusta tietokoneeseen tai mobiililaitteeseen, mitä ei löydy sovellusvalikoimasta, ole yhteydessä ICT-tukeen.