Externa lagringsenheter i företaget: GDPR och kryptering

GDPR och USB-diskar – vad kräver lagen av ditt företag?

Företag är juridiskt skyldiga att implementera lämpliga tekniska och organisatoriska åtgärder för att säkra personuppgifter, vilket i praktiken innebär obligatorisk kryptering av alla externa lagringsenheter. GDPR artikel 32 fastställer kravet på behandlingssäkerhet, medan tillsynsmyndigheter rekommenderar kryptering av bärbara medier som en riskbaserad åtgärd. Genom att använda stark kryptering kan ett företag förvandla ett potentiellt katastrofalt dataintrång till en händelse utan risk för de registrerade, vilket ofta eliminerar behovet av anmälan till myndigheterna.

GDPR artikel 32 och behandlingssäkerhet

GDPR artikel 32 kräver att den personuppgiftsansvarige implementerar åtgärder som säkerställer en säkerhetsnivå som är lämplig i förhållande till risken. För Externa hårddiskar betyder det att man inte bara kan lita på fysisk förvaring. Kryptering säkerställer att data är oläsliga för alla som inte innehar den korrekta nyckeln.

Anmälan av intrång enligt artikel 33

Om ett okrypterat USB-minne med personuppgifter försvinner utgör detta ett brott mot personuppgiftssäkerheten. Om mediet däremot är krypterat enligt industristandard, och nyckeln inte har gått förlorad tillsammans med enheten, bedöms risken för de registrerade ofta som låg, vilket kan innebära att anmälan inte är nödvändig.

Vad innehåller GDPR och vilka principer gäller för lagring?

GDPR (General Data Protection Regulation) är en EU-förordning som fastställer ramarna för behandling av personuppgifter i syfte att skydda individens privatliv. För företag innebär det att all lagring av data på externa medier måste ske i överensstämmelse med sju grundläggande principer: laglighet, korrekthet och öppenhet; ändamålsbegränsning; uppgiftsminimering; riktighet; lagringsbegränsning; integritet och konfidentialitet samt ansvarsskyldighet. Särskilt principen om integritet och konfidentialitet kräver att data skyddas mot obehörig åtkomst via tekniska medel som kryptering.

De 7 principerna i GDPR

Principerna fungerar som den juridiska måttstocken för om ett företags USB-policy är tillräcklig. Om en medarbetare kopierar personuppgifter till en okrypterad disk utan ett specifikt ändamål bryts både principen om ändamålsbegränsning och integritet. Företag bör därför implementera policyer som tvingar användaren att överväga om dataöverföringen är nödvändig (uppgiftsminimering) innan den utförs.

Vad omfattas inte av GDPR?

GDPR gäller endast för personuppgifter. Data som är helt anonymiserade, så att personen inte längre kan identifieras, omfattas inte av förordningen. Det är dock viktigt att skilja mellan anonymisering och pseudonymisering; det senare (där man använder en nyckel för att återidentifiera data) lyder fortfarande under GDPR-krav, inklusive kravet på kryptering på externa medier.

Vad definieras som personuppgifter enligt tillsynsmyndigheten?

Personuppgifter definieras som varje form av information som kan användas för att direkt eller indirekt identifiera en fysisk person. Detta inkluderar inte bara uppenbara data som namn och personnummer, utan även IP-adresser, lokaliseringsdata, e-postadresser och bilder. När dessa uppgifter flyttas till externa lagringsenheter aktiveras alla GDPR:s säkerhetskrav, oavsett om det rör sig om en liten textfil eller en stor databas på en Western Digital hårddisk.

Omfattas bilder och e-post av GDPR?

Ja, både bilder och e-postadresser betraktas som personuppgifter. Ett foto av en medarbetare eller en kund är en unik identifierare. Om ett företag sparar övervakningsbilder på en extern disk måste dessa skyddas strikt. För ytterligare information om lagstiftningen kan du se vår guide till lagstiftning om videoövervakning och GDPR.

Vad handlar artikel 32 i GDPR om?

Artikel 32 fokuserar specifikt på säkerheten kring behandlingen. Den kräver att den personuppgiftsansvarige implementerar lämpliga tekniska åtgärder baserat på en riskbedömning. För transportabla medier är kryptering det mest effektiva verktyget för att motverka risken för förlust eller stöld. Bristande implementering av kryptering vid hög risk kan betraktas som vårdslöshet i händelse av en tillsyn från myndigheterna.

Hur påverkar NIS2-krav och ISO 27001 din USB-policy?

NIS2-direktivet och ISO 27001 flyttar fokus från att bara undvika böter till proaktiv riskhantering, där kontroll av utbytbara medier är ett centralt element. NIS2 ställer skärpta krav på cybersäkerhet för företag i kritiska sektorer, vilket inkluderar hantering av hårdvarugränssnitt och transportabla medier för att förhindra malware-infektioner och dataläckor. ISO 27001:2022 kontroll 7.10 (Storage Media) kräver en fullständig livscykelhantering, vilket innebär att företaget måste ha rutiner för inköp, användning, förvaring och säker radering av medier.

ISO 27001 och livscykelhantering

För att uppnå ISO-certifiering måste ett företag kunna dokumentera vem som har åtkomst till vilka medier. Detta innebär ofta användning av hårdvarukrypterade lösningar som Kingston IronKey Vault Privacy 80, då dessa ger en centraliserad kontroll och bevisbar kryptering. ISO 27002 kontroll 8.24 fördjupar ytterligare kraven på kryptografi, inklusive val av algoritmer.

NIS2 och den organisatoriska risken

NIS2 lägger stor vikt vid ledningens ansvar. Det betyder att en bristfällig USB-policy inte längre bara är ett IT-fel, utan en ledningsmässig försummelse. Företag bör här överväga att begränsa användningen av okrypterade Seagate-enheter till att endast gälla icke-känsliga data, medan allt annat kräver godkänd hårdvara.

Vilken typ av kryptering är nödvändig för transportabla medier?

För att uppnå juridisk och teknisk säkerhet bör företag prioritera hårdvarubaserad kryptering (AES-256) framför mjukvarukryptering, då det eliminerar mänskliga fel vid konfigurationen. Hårdvarukryptering sker direkt på chippen i enheten, vilket innebär att data aldrig existerar okrypterat på mediet. Mjukvarukryptering är ofta beroende av operativsystemets konfiguration och kan kringgås om användaren inte aktiverar den korrekt eller glömmer lösenordet.

Hårdvarukryptering i praktiken

En lösning som Seagate Mobile SSD Secure integrerar krypteringen direkt, vilket gör det lättare för anställda att följa policyn. När krypteringen är hårdvarubaserad kan företaget vara tryggare i att datan är skyddad från det ögonblick den skrivs till disken.

För företag med extremt höga krav på datasäkerhet finns specialiserade enheter som Kingston IronKey Vault Privacy 80. Dessa enheter använder ofta AES-256, vilket är en symmetrisk krypteringsstandard med en nyckellängd på 256 bitar som anses vara resistent mot brute-force-attacker.

I praktiken innebär hårdvarukryptering följande:

• Oberoende av OS: Krypteringen fungerar oavsett om mediet ansluts till Windows, macOS eller Linux.
• Skydd mot 'Cold Boot'-attacker: Eftersom krypteringsnycklarna lagras i ett separat hårdvaruchip och inte i datorns RAM (Random Access Memory), är de svårare för it-kriminella att extrahera.
• Automatisk exekvering: Användaren behöver inte komma ihåg att välja "Kryptera disk" i en meny; processen sker automatiskt vid varje skrivning.

Mjukvarukryptering som komplement

Även om hårdvarulösningar är att föredra, kan mjukvarukryptering användas på befintliga Sandisk eller Verbatim enheter. Det kräver dock en strikt policy och kontroll av att krypteringen faktiskt är aktiverad via centrala administrationsverktyg.

En vanlig missuppfattning är att mjukvarukryptering ensamt är tillräckligt för att undvika anmälan om dataintrång. Om krypteringen är implementerad inkonsekvent inom organisationen, eller om lösenorden sparas osäkert, kan det fortfarande utgöra en risk för de registrerade personerna.

Företag kan överväga att kombinera hårdvarukrypterade diskar med mjukvarubaserad styrning av hela flottan. Vid användning av standardenheter från Western Digital eller Seagate bör it-avdelningen säkerställa att det finns en fast procedur för återställning av lösenord och hantering av borttappade enheter.

Hur bygger man en effektiv USB-policy för företaget?

En effektiv USB-policy ska definiera exakt vilken typ av data som får flyttas till externa medier, vem som får göra det och vilken hårdvara som ska användas. Policyn bör utgå från en princip om "minimal användning", där molnlagring föredras men där fysiska medier tillåts under strikta krav på kryptering. Dokumentationen av denna policy är essentiell för att bevisa compliance inför tillsynsmyndigheter vid en eventuell granskning.

Krav på hårdvara och krypteringsstandarder

För att undvika säkerhetshål bör företaget eliminera möjligheten för anställda att använda privata, okrypterade USB-minnen. AES-256 (Advanced Encryption Standard med en 256-bitars nyckel) är industristandarden för stark kryptering, vilket säkerställer att data är oläslig utan rätt nyckel. I praktiken innebär det att om en disk tappas bort, betraktas händelsen ofta inte som ett brott mot personuppgiftssäkerheten eftersom risken för obehörig åtkomst är minimal.

För kritiska uppgifter rekommenderas hårdvarukrypterade lösningar där krypteringen sker direkt på enhetens chip. Exempel på professionella lösningar inkluderar Kingston IronKey Vault Privacy 80 (1,92 TB) eller den mindre Kingston IronKey Vault Privacy 80 (960 GB), som båda erbjuder hög säkerhet för transport av känsliga data.

Implementering av hårdvarustandarder

Företag bör standardisera sina inköp. Istället för att låta anställda köpa slumpmässiga enheter kan man dela ut specifika modeller som Transcend ESD300 för snabb dataöverföring, förutsatt att dessa administreras centralt eller krypteras via företagets standard. För större datamängder kan en Western Digital My Passport Ultra eller en Seagate Mobile SSD Secure vara relevanta alternativ, beroende på om kapacitet eller hastighet prioriteras.

Integration med backup-strategier

En USB-policy får inte stå ensam. Den ska integreras i en övergripande strategi för dataskydd. För vidare läsning om hur man säkrar data mot total förlust, se vår guide till 3-2-1 backup-regeln, då externa diskar ofta används som en del av denna strategi. Det är viktigt att skilja mellan transportmedier (USB) och backup-medier; den senare bör förvaras säkert och inte flyttas i onödan.

Vilken roll spelar fysisk säkerhet och livscykelhantering?

Fysisk säkerhet handlar om mer än bara kryptering; det omfattar hela perioden från inköp till destruktion av mediet. Livscykelhantering säkerställer att enheter inte blir liggande i lådor eller kastas i vanliga sopor där de kan hittas. En korrekt process inkluderar en inventarielista över alla utdelade USB-minnen och externa hårddiskar samt en procedur för säker överskrivning eller fysisk destruktion av chippen.

Hantering av hårdvarans livscykel i praktiken

För att undvika luckor i säkerheten bör företag implementera en strikt styrning av mediernas livslängd. Detta innebär att man inte bara köper hårdvara, utan följer den från vaggan till graven.

• Kvalificerade inköp: Välj enheter med inbyggd hårdvarukryptering för att minimera mänskliga fel. Exempel på högsäkerhetslösningar är Kingston IronKey Vault Privacy 80 eller Seagate Mobile SSD Secure, som är designade för professionellt bruk.
• Löpande kontroll: Genomför kvartalsvisa revisioner av inventarielistan för att säkerställa att alla tilldelade enheter fortfarande innehas av rätt medarbetare.
• Säker bortskaffning: När en disk, som exempelvis en Western Digital WDBKYJ0020BSL-WESN, tjänat ut ska den genomgå en verifierad destruktionsprocess.

Risken med obehörig hårdvara

Användning av privata USB-minnen i företagets datorer (Shadow IT) utgör en massiv säkerhetsrisk. Shadow IT definieras som it-system eller mjukvara som används i en organisation utan explicit godkännande från it-avdelningen. Det kan leda till både dataläckage och malware-infektioner. Företag bör överväga att blockera USB-portar via Group Policy (GPO), så att endast godkända enheter från tillverkare som ADATA eller andra certifierade leverantörer kan läsas.

Säker radering av data

När en extern hårddisk tjänat ut är enkel formatering inte tillräckligt. Formatering tar ofta bara bort filindexet, medan själva datan finns kvar på mediet. Data kan därför ofta återställas med specialmjukvara. Företag bör använda verktyg för överskrivning eller anlita professionella tjänster för fysisk destruktion för att uppfylla GDPR-kravet om radering av data.

Vid användning av SSD:er (Solid State Drives), såsom Transcend ESD300, är traditionell överskrivning mindre effektiv på grund av wear leveling (slidutjämning). Här rekommenderas det att använda tillverkarens egna raderingsverktyg eller fysisk destruktion av chippen. För en djupare genomgång av krypteringstekniker, se vår guide till kryptering av externa hårddiskar.

Typiska fel vid implementering av USB-policyer

1. Att lita på mjukvarukryptering utan kontroll: Många företag antar att medarbetarna själva aktiverar BitLocker eller liknande. Utan central styrning finns det ingen garanti för att krypteringen faktiskt är aktiv på alla enheter.
2. Bristande differentiering av data: Att tillåta alla typer av data på USB-minnen utan klassificering. Man bör ha en policy där 'konfidentiella' eller 'hemliga' data överhuvudtaget inte får lämna företagets säkra nätverk via fysiska medier.
3. Ignorering av livscykeln: Att glömma att samla in USB-minnen från medarbetare som slutar. Detta skapar säkerhetshål där känsliga data förblir i händerna på personer som inte längre har behörighet till företaget.
4. Bristande utbildning av medarbetare: Att ha en policy på pappret, men inte undervisa personalen i *varför* kryptering är viktigt. Detta leder ofta till att medarbetare letar efter "genvägar" för att göra sitt arbete enklare.
5. Användning av billiga konsumentprodukter för företagskrav: Att köpa in budget-USB-minnen utan hårdvarukryptering och tro att det är tillräckligt. Detta ökar risken för anmälningspliktiga dataintrång markant vid förlust.