Kryptering er et begreb, som enhver virksomhed kender, men som få reelt undersøger i samtaler med mulige leverandører. Hvis en udbyder siger, at den krypterer data, eller at den tilbyder »sikkerhed på bankniveau«, lyder disse udtryk betryggende. Men de fortæller dig faktisk ikke noget om selve krypteringen: hvor er dataene krypteret, hvornår er de krypteret, og hvordan er de krypteret?

Vi forklarer forskellen på kryptering i hvile og kryptering under transport, hvad din virksomhed skal vide om dem, og hvad du skal spørge leverandører om, når du kontakter dem.

Hvad betyder kryptering i hvile og kryptering under transport?

Hvad kryptering i hvile betyder

Hvad kryptering under transport betyder

Kryptering i hvile vs. kryptering under transport

Hvorfor zero-access-arkitektur mindsker risikoen

Hvorfor begge typer kryptering er vigtige for virksomheder

Hvad sikkerhedsmyndigheder siger om skytjenester

Hvilke spørgsmål du skal stille leverandører om kryptering

Hvad betyder kryptering i hvile og kryptering under transport?

Legitimationsoplysninger, kunderegistre, økonomiske data, medarbejderfiler og interne dokumenter gennemgår tre forskellige tilstande i løbet af en almindelig arbejdsdag:

  • De ligger på lagerpladsen.
  • De bevæger sig over netværk.
  • De dekrypteres, så nogen faktisk kan bruge dem.

Hver af disse tilstande er sårbar over for en forskellig type angreb, og en tjeneste kan være godt beskyttet i én tilstand, mens den er sårbar i en anden.

De to begreber, som enhver virksomhedsleder bør forstå, er kryptering i hvile og kryptering under transport. De nævnes ofte sammen, men de løser forskellige opgaver. Den ene beskytter data, mens de er lagret. Den anden beskytter data, mens de flyttes.

Begge er nødvendige, men når du bruger kryptering, skal du overveje, hvem der har nøglerne til at dekryptere dine data. Hvis din tjenesteudbyder har dem, kan de få adgang til alt i din virksomheds netværk. Vi har skrevet udførligt om hvordan kryptering fungerer, hvis du har brug for at opdatere hukommelsen.

At forstå end-to-end-kryptering og zero-access-arkitektur er afgørende for enhver virksomhed, der forsøger at beskytte sine data. Især når det gælder om at vælge en adgangskodeadministrator til virksomheder og andre systemer, der lagrer følsomme forretningsoplysninger.

Hvad kryptering i hvile betyder

Kryptering i hvile betyder, at data krypteres, mens de er lagret. Lagerpladsen kan være en server, en database, en harddisk, en bærbar computer, en sikkerhedskopi, et skybaseret lagerpladssystem eller en mobilenhed.

For en virksomhed er lagrede data et mål for hackere og cyberkriminelle. En stjålet bærbar computer, en mistet harddisk, en kompromitteret server, en eksponeret sikkerhedskopi eller en database med databrud kan alle bringe oplysninger i fare. Men hvis dataene er krypteret i hvile, har den person, der får fat i lagerpladsen eller databasen, stadig brug for den rigtige nøgle for at læse dem.

Tænk på et aflåst arkivskab. Skabet kan blive stjålet, men filerne indeni er stadig beskyttet, hvis låsen holder, og nøglen ikke er tilgængelig. Kryptering i hvile spiller en lignende rolle for lagrede data.

Kryptering i hvile er især vigtig for håndtering af legitimationsoplysninger. En adgangskodeadministrator til virksomheder lagrer for eksempel brugernavne, adgangskoder, sikre noter, gendannelseskoder og andre følsomme elementer. Hvis disse lagrede data ikke var krypteret, kunne et databrud på serveren afsløre indholdet direkte. Med stærk kryptering i hvile kan angriberen måske skaffe sig krypteret materiale, men ikke de læsbare hemmeligheder i det.

Kryptering i hvile har dog en begrænsning, som virksomheder ofte overser. Den beskytter lagrede data mod visse typer uautoriseret adgang, men den kan ikke automatisk beskytte data mod enhver autoriseret bruger, ondsindet insider, kompromitteret adminkonto eller udbyder med adgang til krypteringsnøglerne.

En leverandør kan kryptere data i hvile og stadig teknisk set være i stand til at dekryptere dem, hvis de kontrollerer nøglerne. Det kan være acceptabelt for nogle tjenester afhængigt af dataene og anvendelsesområdet. Det er ikke det samme som at sige, at udbyderen ikke kan læse dataene.

Hvad kryptering under transport betyder

Kryptering under transport beskytter data, mens de bevæger sig mellem systemer. Det kan for eksempel være mellem en medarbejders browser og en skyapplikation, mellem en app og en server, mellem to servere eller mellem en adgangskodeadministrator på en persons bærbare computer og de servere, den synkroniserer med.

Det mest oplagte eksempel er HTTPS. Når et websted bruger HTTPS, krypteres forbindelsen mellem browseren og webstedet. Det hjælper med at forhindre, at nogen på samme netværk, en internetudbyder eller en anden mellemmand læser eller ændrer dataene, mens de er under transport.

For virksomheder er kryptering under transport vigtig, fordi arbejde (og data) nu konstant bevæger sig mellem personer, enheder og skytjenester. En loginanmodning, en filupload, en API-forbindelse, en visning i kontrolpanelet eller en besked kan passere gennem netværk, som virksomheden ikke kontrollerer. Kryptering under transport hjælper med at beskytte denne bevægelse, så følsomme oplysninger ikke eksponeres, mens de rejser mellem medarbejderen og den tjeneste, medarbejderen bruger.

Login-sider, betalingsformularer, kontrolpaneler, værktøjer i skyen og adgangskodeadministratorer bør aldrig stole på ukrypterede forbindelser. Hvis legitimationsoplysninger rejser over internettet uden kryptering, eksponeres de, før de overhovedet når det system, der lagrer dem.

Kryptering under transport er afgørende, men den beskytter kun dataene, mens de flyttes. Når dataene ankommer, skal det modtagende system stadig lagre og behandle dem sikkert. En tjeneste kan bruge HTTPS og stadig lagre data på en måde, der skaber risiko senere. Kryptering i hvile og kryptering under transport skal fungere sammen.

Kryptering i hvile vs. kryptering under transport

Forskellen på disse to typer kryptering er lettere at forstå, hvis man ser på, hvad der sker med en virksomhedsdata i løbet af dagen:

En adgangskode, der er lagret i en adgangskodeadministrator til virksomheder, skal beskyttes, mens den ligger i en boks. Dette er kryptering i hvile.

Når appen synkroniserer med en server, eller når en medarbejder opretter forbindelse fra en browser eller mobilenhed, skal de samme data også beskyttes, mens de flyttes. Dette er kryptering under transport.

Begge faser er vigtige, men de beskytter mod forskellige risici. Lagrede data kan eksponeres gennem et databrud på serveren, en stjålet enhed, en kompromitteret database eller en ubeskyttet sikkerhedskopi i skyen. Data under transport kan eksponeres gennem aflytning, usikre netværk eller fejlkonfigurerede forbindelser. Når dataene er dekrypteret til brug, ændrer risikoen sig: phishing, malware(nyt vindue), kompromitterede konti, ondsindet adgang eller adgang på udbydersiden kan alle komme i spil afhængigt af, hvordan tjenesten er bygget.

En påstand om kryptering alene fra en leverandør er ikke nok. En leverandør, der krypterer forbindelsen, men ikke de lagrede data, kan stadig efterlade oplysninger sårbare, efter de når serveren. En leverandør, der krypterer både lagerplads og transport, har et stærkere udgangspunkt, men virksomheder skal stadig forstå, hvem der har nøglerne, og hvem der kan dekryptere dataene.

Dette er især vigtigt for en virksomheds legitimationsoplysninger. Adgangskoder, gendannelseskoder og sikre noter er ikke almindelige forretningsoptegnelser. De er adgangsveje ind i flere følsomme systemer. For oplysninger med lavere risiko kan standardkryptering i hvile og under transport være nok. For virksomheders legitimationsoplysninger, juridiske data, følsomme filer og kunderegistre bør virksomheder spørge, om data kun krypteres, mens de er lagret og flyttes, eller om tjenesten er designet sådan, at udbyderen heller ikke kan læse indholdet.

Hvorfor zero-access-arkitektur mindsker risikoen

End-to-end-kryptering betyder, at data krypteres, før de forlader brugerens enhed, og kun kan dekrypteres af den tilsigtede bruger eller modtager. I en zero-access-model lagrer udbyderen krypterede data, men har ikke de nødvendige nøgler til at læse dem.

Denne forskel går ofte tabt i forretningsdiskussioner om kryptering. En udbyder kan kryptere data i hvile på sine servere og kryptere data under transport over netværket, men stadig have nøglerne. I så fald kan udbyderens systemer dekryptere dataene under normal drift.

Med zero-access-kryptering er tjenesten designet anderledes. Udbyderen kan lagre og synkronisere krypterede data, men kan ikke læse det underliggende indhold. Dette eliminerer risikoen skabt af udbyderadgang, serverkompromittering eller internt misbrug, fordi de mest følsomme data ikke er tilgængelige i læsbar form på udbydersiden.

Protons krypteringshub giver en fuld forklaring på, hvordan kryptering fungerer i hele Proton-økosystemet, herunder end-to-end-kryptering og zero-access-kryptering.

En sikker adgangskodeadministrator til virksomheder som Proton Pass for Business⁠ anvender end-to-end-kryptering på hvert felt, ikke kun adgangskoden: brugernavne, webadresser og alt, der er lagret i krypterede noter, krypteres, før dataene når Protons servere, og kan kun dekrypteres med brugerens kontoadgangskode, som Proton ikke har. Denne metadatadækning er en ægte differentiator.

Nogle adgangskodeadministratorer krypterer adgangskodefeltet og efterlader metadata som brugernavne og URL’er eksponeret, hvilket betyder, at udbyderen – og enhver, der kompromitterer den – stadig kan se, hvilke tjenester en virksomhed har konti hos, selv uden at læse en enkelt adgangskode.

Denne liste er et effektivt kort for en angriber: hvilken finansplatform, hvilken lønaudbyder eller hvilken adminkonsol der skal angribes for at arbejde effektivt. Det er præcis den slags rekognoscering, en angriber ellers ville være nødt til at arbejde for. Med Proton Pass for Business efterlades intet ukrypteret.

Hvorfor begge typer kryptering er vigtige for virksomheder

Virksomheder er afhængige af skytjenester til e-mail, fillagring, HR, løn, økonomi, CRM, analyse og meget mere. Hver tjeneste, de er afhængige af, bliver derefter en del af deres databeskyttelsesstrategi.

Kryptering under overførsel hjælper med at beskytte medarbejdere, når de opretter forbindelse til disse tjenester. Kryptering i hvile hjælper med at beskytte de data, der er lagret i dem. Nuladgangs- eller end-to-end-kryptering tilføjer et ekstra lag, når virksomheden har behov for en stærkere garanti for, at udbyderen selv ikke kan læse indholdet.

Det er også afgørende at tage metadata i betragtning, fordi det er det lag, der oftest lades ubeskyttet. Metadata kan fortælle en angriber, hvem der har en konto hos hvilken tjeneste, hvornår et element blev oprettet eller senest ændret, eller hvilke URL’er en boks peger på. Selv hvis en virksomhed har krypteret hver adgangskode, kan ukrypterede metadata lække en fuld oversigt over virksomhedens værktøjer, leverandører og interne struktur alene gennem metadata.

Når det gælder en adgangskodeadministrator, er forskellen tydelig. Hvis den krypterer data under overførsel, men ikke i hvile, kan lagrede legitimationsoplysninger blive eksponeret, hvis tjenesten udsættes for databrud. Hvis den krypterer i hvile og under overførsel, men beholder dekrypteringsnøglerne, kan udbyderen stadig få adgang til dataene. Hvis den bruger end-to-end-kryptering med en nuladgangsmodel og udvider krypteringen til metadata, kan hverken legitimationsoplysningerne eller overblikket over, hvor de bruges, læses af andre end virksomheden selv.

Hvad sikkerhedsmyndigheder siger om skytjenester

Mange virksomheder er afhængige af skytjenester uden fuldt ud at forstå, hvordan disse tjenester beskytter data. NCSC’s vejledning om skysikkerhed(nyt vindue) i Storbritannien opfordrer organisationer til at vurdere skytjenester ud fra et sæt sikkerhedsprincipper, herunder databeskyttelse, identitet og godkendelse, sikker administration og operationel sikkerhed. CISA i USA og ENISA i EU offentliggør sammenlignelige rammer, og de når frem til de samme centrale forventninger.

For kryptering betyder det, at virksomheder ikke kun bør spørge, om en leverandør krypterer data. De bør forstå, hvordan data beskyttes gennem tjenestens livscyklus: når de uploades, lagres, behandles, tilgås, sikkerhedskopieres, deles og slettes.

Dette er især relevant for SaaS-værktøjer, hvor leverandøren administrerer en stor del af infrastrukturen. Virksomheden har måske ikke kontrol over serverne, men den kan stadig vælge leverandører med bedre sikkerhedsarkitektur, klarere dokumentation, stærkere godkendelse og krypteringsmodeller, der matcher dataenes følsomhed.

En adgangskodeadministrator til virksomheder hører til i kategorien med høj følsomhed, fordi den samler adgangen til andre forretningssystemer. Hvis dens krypteringsmodel er svag, stopper risikoen ikke ved adgangskodeboksen. Den kan strække sig til e-mail, skylagring, økonomiværktøjer, kundeplatforme, adminpaneler og enhver anden tjeneste, der er forbundet med de legitimationsoplysninger, der er lagret i den.

Som en adgangskodeadministrator til IT-teams tilføjer Proton Pass for Business virksomhedskontroller som adminpolitikker, rapportering, logs, gruppeadministration, SCIM-provisionering og SSO-integration. Disse funktioner hjælper virksomheder med at administrere, hvem der kan få adgang til legitimationsoplysninger, hvordan adgang gives, og hvordan sikkerheden for legitimationsoplysninger styres på tværs af teamet.

Hvad man bør spørge leverandører om vedrørende kryptering

Når en leverandør siger, at dine data er krypteret, skal du bede om detaljer. Ordet ”krypteret” er kun nyttigt, når virksomheden forstår, hvad der er beskyttet, hvornår det er beskyttet, og hvem der kan dekryptere det.

For enhver tjeneste, der lagrer følsomme virksomhedsdata, bør man spørge:

  • Er data krypteret under overførsel?
  • Er data krypteret i hvile?
  • Hvilke datatyper er omfattet – kun adgangskoder eller alle felter?
  • Er metadata også krypteret, herunder brugernavne, URL’er og elementtitler?
  • Er sikkerhedskopier også krypterede?
  • Hvem opretter og lagrer krypteringsnøglerne?
  • Kan udbyderen dekryptere kundedata?
  • Kan supportteams få adgang til indholdet?
  • Bruger tjenesten end-to-end-kryptering eller nuladgangskryptering?
  • Hvad sker der, hvis udbyderens servere udsættes for databrud?
  • Understøtter tjenesten MFA, adminpolitikker, adgangslogs og sikker deling?

Disse spørgsmål er endnu vigtigere at stille til en adgangskodeadministrator til virksomheder, fordi legitimationsoplysninger er forbundet med andre systemer. Tjenesten bør beskytte adgangskoder gennem hele deres livscyklus: oprettelse, lagring, deling, brug, overvågning og fjernelse.

Stærk adgangskodegenerering er nyttig, men det er en funktion i adgangskodeadministratoren snarere end en selvstændig løsning. Den reelle værdi kommer fra at kombinere unikke legitimationsoplysninger med krypteret lagerplads, kontrolleret deling, MFA, adgangsnøgler, adminindsigt og offboardingkontroller.

En adgangskodeadministrator til virksomheder passer ind i den bredere databeskyttelsesstrategi ved at hjælpe teams med at lagre legitimationsoplysninger med end-to-end-kryptering, dele adgang sikkert, reducere genbrug af adgangskoder, administrere adgangsnøgler, bruge indbygget tofaktorgodkendelse og give admins mere kontrol over adgangen til virksomhedens legitimationsoplysninger.

Opbevar virksomhedens legitimationsoplysninger med nuladgangskryptering, og prøv Proton Pass for Business⁠.