Kryptering
Kryptering er kryptering av informasjon (konvertering av ren tekst til chiffertekst) slik at uautoriserte personer ikke får tilgang til den. Hvis data i kryptert form går tapt eller blir stjålet, er det minimal risiko for avsløring fordi angriperen ikke vil ha dekrypteringsnøkkelen.
•Datakryptering som en del av nettsikkerhet
•Utvalgte datakrypteringsmetoder
•Hvorfor kryptere bedriftsdata?
•Hvordan sikre datakryptering?
I et selskap beskytter kryptering selskapets immaterielle rettigheter og kunnskap, samt personopplysningene til kunder, ansatte og forretningspartnere.
Alt dette kan tjene penger eller misbrukes av en angriper eller tyv.
Datakryptering som en del av nettsikkerhet
Kommunikasjon kan skje via HTTPS-protokollen ved overføring av data over internett, for eksempel når du går inn på nettsteder. Denne protokollen bruker TLS/SSL-protokollen til å kryptere kommunikasjon. Dette sikrer at sensitiv informasjon, som påloggings- eller betalingsdetaljer, krypteres og beskyttes under overføring.
Noen e-posttjenester støtter også kryptering av dataoverføring (for eksempel ved hjelp av TLS/SSL) eller ende-til-ende-kryptering, noe som er nyttig hvis du sender sensitiv informasjon.
Full diskkryptering brukes til å beskytte data som er lagret på enheter. Dette tiltaket bidrar til å beskytte innholdet i dataene på disken hvis enheten går tapt eller blir stjålet.
Kryptering brukes også ved sikkerhetskopiering av data. Hvis noen får tilgang til sikkerhetskopiering, kan de bare lese dem med riktig nøkkel.
Sensitive data kan lagres på kryptert lagring, for eksempel en ekstern kryptert stasjon eller skylagring med avanserte krypteringsmekanismer.
Hvorfor bruke kryptering?
For den gjennomsnittlige brukeren kan kryptering gi flere fordeler, spesielt når det gjelder sikkerhet og beskyttelse av sensitiv informasjon. Her er noen av de viktigste fordelene med kryptering for den gjennomsnittlige brukeren:
•Kryptering beskytter personlig informasjon, som passord, bankdetaljer og annen sensitiv informasjon, mot uautorisert tilgang, og bidrar til å beskytte brukerens personvern.
•Kryptering reduserer risikoen for datatyveri når du utfører nettbaserte transaksjoner som kjøp, betalinger eller banktjenester.
•Bruk av kryptert e-postkommunikasjon beskytter innholdet i e-poster mot uautoriserte personer. Når en bruker kobler seg til et offentlig Wi-Fi-nettverk, hindrer kryptering angripere i å overvåke og fange opp dataene som overføres, noe som styrker tilkoblingens sikkerhet.
•Diskkryptering på enheter som datamaskiner og mobiltelefoner beskytter data selv om enheten mistes eller blir stjålet.
•Når du bruker skylagring, beskytter kryptering opplastede data mot uautorisert tilgang fra tjenesteleverandører eller tredjeparter.
•Kryptering kan tjene som et effektivt forsvar mot løsepengevirus. Krypterte kommunikasjonsverktøy (for eksempel krypterte chatter) reduserer risikoen for misbruk av kommunikasjonsinnholdet.
Utvalgte datakrypteringsmetoder
Inaktiv datakryptering
Full diskkryptering – hele disken krypteres automatisk, slik at brukeren ikke har kontroll over om filen lagres kryptert eller ikke. Høyere maskinvare- og tidskrav til kryptering må imidlertid vurderes.
Kryptering på fil- eller mappenivå – brukeren velger og krypterer bare dataene de vil beskytte. Individuelle mapper eller filer er alltid kryptert med en enkelt nøkkel som kan brukes til å dekryptere dem igjen. Kryptering er raskere enn full diskkryptering, og maskinvarekravene er lavere.
Kryptering av data under overføring
Ende-til-ende-kryptering (E2E) – Dette er en metode der informasjon krypteres og dekrypteres bare på sluttenhetene. Dette garanterer konfidensialiteten til dataene som overføres og eliminerer risikoen for avlytting eller behandling på serveren som formidler kommunikasjonen. Den kombinerer ofte symmetrisk og asymmetrisk kryptering eller bruker Diffie-Hellman nøkkelutveksling.
Klient-til-server-kryptering (C2S) – En metode der meldingen krypteres bare for serveren som kommunikasjonen sendes gjennom, men data kjører ukryptert mellom klienten og serveren. Denne formen for kommunikasjonskryptering er ikke den sikreste fordi den kan avlyttes av en angriper.
Hvorfor kryptere bedriftsdata?
Kryptering gir et lag med beskyttelse for ansattes personlige opplysninger, økonomiske data, forretningshemmeligheter og strategiske planer. Dette bidrar til å forhindre uautorisert tilgang og misbruk av disse dataene.
Mange bransjer har foreskrevet juridiske standarder og forskrifter som krever beskyttelse av sensitiv informasjon. Kryptering kan hjelpe en bedrift med å overholde disse standardene og minimere risikoen for bøter eller juridiske problemer.
Kryptering bidrar til å beskytte data mot ulovlig tilgang eller lekkasje hvis det er tap av enhet eller sikkerhetsbrudd fra innsiden eller utsiden av selskapet. Derfor beskytter kryptering også mot interne trusler, for eksempel ansatte med uautorisert tilgang.
Lekkasje av sensitiv informasjon kan skade et selskaps omdømme alvorlig. Datakryptering bidrar til å bygge et pålitelig bedriftsimage og signaliserer at selskapet er aktivt opptatt av sikkerheten til sine data og kunder.
Kryptering og regelverk
Kryptering er også påkrevd eller anbefalt av mange forskrifter og lover i dag, inkludert GDPR, NIS2, PCI-DSS, HIPAA, SOX og GLBA. Datainnbrudd er mye mindre sannsynlig å bli ansett som en samsvarssvikt når personopplysninger er riktig kryptert.
Kryptering er også påkrevd av mange forskrifter og lover
Hvordan sikre datakryptering?
Sikring av datakryptering krever en kombinasjon av tekniske tiltak, policyadministrasjon og opplæring av ansatte. Nedenfor er trinnene du kan ta for å sikre datakryptering i virksomheten din:
•Lag en klar og omfattende sikkerhetspolicy som inkluderer datakryptering. Definer hvilke data som skal krypteres, med hvilke metoder, og hvem som skal få tilgang til de dekrypterte dataene.
•Bruk en VPN (Virtual Private Network) for å koble eksternt til nettverket på en sikker måte og kryptere e-poster når du overfører sensitiv informasjon.
•Bruk diskkryptering for enheter som datamaskiner, bærbare datamaskiner og mobiltelefoner. Diskkryptering beskytter dataene som er lagret på enheten og gir et lag med sikkerhet, selv om de går tapt eller blir stjålet.
•Hvis du bruker skytjenester, må du sørge for at leverandørene støtter datakryptering i hvile og under overføring.
•Krypteringsnøkkeladministrasjon er et viktig element i krypteringsprosessen. Sørg for sikker lagring og administrasjon av krypteringsnøkler. Forny dem regelmessig og overvåk bruken.
•Implementer multifaktorautentisering (2FA) for tilgang til sensitive systemer og data. Dette gir et ekstra lag med beskyttelse selv om passordet har blitt kompromittert.
•Overvåk krypterte data regelmessig og gjennomfør revisjoner. Reager på uvanlig aktivitet eller hendelser.
•Sørg for at ansatte er kjent med sikkerhetsprosedyrer knyttet til kryptering. Opplæring bør inkludere viktigheten av kryptering og prosedyrer for sikker håndtering av krypterte data.
•Hold krypteringsprogramvare og -systemer oppdatert. Sikkerhetskopier krypterte data regelmessig for å minimere risikoen for tap av data under viktige problemer eller andre hendelser.
Typer kryptering
Symmetrisk kryptering bruker en enkelt nøkkel for kryptering og dekryptering, som de kommuniserende partene må kjenne til.
Asymmetrisk kryptering bruker et par nøkler: en offentlig nøkkel (som mottakeren av meldingen ikke trenger å vite) og en privat nøkkel (som avsenderen ikke kjenner). Dermed gir asymmetrisk kryptering mulighet for konfidensiell kommunikasjon, autentisering og avsenderidentifikasjon. Et digitalt sertifikat kan bekrefte ektheten til fellesnøkkelen.
Anbefalte symmetriske krypteringsalgoritmer
•Advanced Encryption Standard (AES) – nøkkellengde: 128, 192 og 256 biter
•Twofish – nøkkel lengde: 128 til 256 biter
•Kamelia – nøkkel lengde: 128, 192 og 256 biter
•Slange – nøkkellengde: 128, 192 og 256 biter
•SNOW 2.0, SNOW 3G – nøkkellengde: 128, 256 biter
(Kilde: NUCIB, 2022)
Diffie-Hellman nøkkelutveksling (D-H)
En metode for sikker utveksling av krypteringsnøkler over en offentlig kanal. Det er en av de første protokollene og praktiske eksemplene på offentlig nøkkelutveksling implementert i kryptografi.
RSA (Rivest-Shamir-Adleman)
Den første algoritmen er egnet for kryptering og elektronisk signering (ved å knytte en verifisert digital signatur til en datamelding).