BitLocker för företag – kryptera datorerna och hantera återställningsnycklar

BitLocker är krypteringen som är inbyggd i Windows och som skyddar datorns innehåll om den blir stulen eller tappas bort. Ber datorn om en återställningsnyckel – en kod på 48 siffror – finns den oftast sparad i det konto som datorn är kopplad till: för jobbdatorer i organisationens Microsoft Entra ID, för privata datorer i användarens Microsoft-konto. För ett företag är målet att alla datorer är krypterade och att varje nyckel finns sparad centralt. Då blir ingen anställd utelåst för gott.

Utelåst? Här hittar du återställningsnyckeln

Om datorn visar en blå skärm som ber om BitLocker-återställningsnyckeln, notera först de första åtta tecknen i nyckel-id:t som visas på skärmen. Det hjälper dig att hitta rätt nyckel om det finns flera. Enligt Microsoft kan nyckeln finnas på följande ställen:

• Jobb- eller skolkonto (Microsoft Entra ID). Logga in på aka.ms/aadrecoverykey från en annan enhet, välj Enheter, öppna datorn och välj Visa BitLocker-nycklar.
• Microsoft-konto. Logga in på aka.ms/myrecoverykey från en annan enhet och leta upp nyckeln med matchande id.
• Utskrift. Nyckeln kan ha skrivits ut när krypteringen aktiverades.
• USB-minne. Nyckeln kan ha sparats som en textfil på ett USB-minne.
• IT-avdelningen. För datorer som hanteras av företaget kan IT hämta nyckeln.

Microsoft kan inte ta fram en förlorad nyckel. Finns den inte på något av ställena ovan går datan på den krypterade disken inte att komma åt.

Varför BitLocker ber om nyckeln

Vanliga orsaker är ändringar i datorns startinställningar (BIOS eller UEFI), en firmware-uppdatering, byte av hårdvara eller att datorn upptäckt något som ser ut som manipulation. Skyddet är byggt för att reagera på förändringar – det är en funktion, inte ett fel.

Vilka Windows-versioner har BitLocker?

Enligt Microsoft stöds BitLocker i Windows Pro, Windows Enterprise och Windows Education. Windows Home har i stället enhetskryptering, en enklare variant som aktiveras automatiskt på datorer som uppfyller hårdvarukraven.

För att BitLocker ska kunna använda datorns säkerhetschip krävs ett TPM (Trusted Platform Module) av version 1.2 eller senare. Datorer med TPM 2.0 måste köras i UEFI-läge. Nästan alla moderna företagsdatorer uppfyller kraven.

Var nyckeln sparas – det avgörande för företaget

Microsoft beskriver var återställningsnyckeln säkerhetskopieras beroende på hur datorn är ansluten:

Datorn ärNyckeln sparas iAnsluten till Microsoft Entra IDOrganisationens Entra IDAnsluten till lokal Active DirectoryActive DirectoryKopplad till ett privat Microsoft-kontoAnvändarens Microsoft-kontoEndast lokalt kontoIngenstans – datan är krypterad men nyckeln saknas

Det sista fallet är det farliga. En dator som installerats med ett lokalt konto, utan koppling till företagets Entra ID, kan bli omöjlig att låsa upp om något går fel. För ett företag bör därför alla datorer vara anslutna till Entra ID och krypteringen styras centralt.

Kryptering i företaget – rätt upplägg

1. Anslut datorerna till Microsoft Entra ID, vilket gör att nycklarna sparas i organisationens konto.
2. Styr BitLocker centralt, till exempel med Microsoft Intune, i stället för att varje användare aktiverar krypteringen själv. Läs mer om Microsoft Intune för företag.
3. Kontrollera att alla nycklar finns – Intune visar vilka datorer som är krypterade och om nyckeln är sparad.
4. Bestäm vem som får läsa ut nycklar. Åtkomst till återställningsnycklar bör vara begränsad till ett fåtal behöriga.
5. Dokumentera rutinen för vad en anställd gör när datorn ber om nyckeln.

Kryptering skyddar data på en stulen dator, men inte ett konto vars lösenord har läckt. Kombinera därför BitLocker med flerfaktorsautentisering. Läs mer om MFA och lösenordshantering.

BitLocker och GDPR

En borttappad dator med personuppgifter kan vara en personuppgiftsincident enligt dataskyddsförordningen (GDPR). Är disken krypterad och nyckeln skyddad är risken för de registrerade betydligt lägre, vilket påverkar bedömningen av incidenten. Kryptering är därför en av de mest effektiva åtgärderna för företag som hanterar kunduppgifter på bärbara datorer.

Smartifys roll vid kryptering av företagets datorer

Smartify hjälper företag att ansluta datorer till Entra ID, aktivera och styra BitLocker centralt och säkra att alla återställningsnycklar finns på rätt plats.

Vanliga frågor om BitLocker

Var hittar jag min BitLocker-återställningsnyckel?

För en jobbdator finns nyckeln oftast i organisationens Microsoft Entra ID (aka.ms/aadrecoverykey) eller hos IT-avdelningen. För en privat dator finns den ofta i Microsoft-kontot på aka.ms/myrecoverykey. Den kan också vara utskriven eller sparad på ett USB-minne.

Kan Microsoft ta fram en förlorad BitLocker-nyckel?

Nej. Microsoft kan inte hämta, skapa eller återskapa en förlorad återställningsnyckel. Saknas nyckeln går datan inte att komma åt.

Har Windows Home BitLocker?

Nej. BitLocker finns i Windows Pro, Enterprise och Education. Windows Home har i stället enhetskryptering på datorer som uppfyller hårdvarukraven.

Varför ber datorn plötsligt om återställningsnyckeln?

Vanliga orsaker är ändrade startinställningar, firmware-uppdateringar eller byte av hårdvara. BitLocker reagerar på förändringar som kan tyda på manipulation.

Smartify hjälper ert företag med teknikgrunden

Krypterade datorer och centralt sparade nycklar skyddar både data och arbetsdagar. Smartify hjälper svenska SME-företag att få kontroll över sin IT-miljö. Ring 077-446 60 60 eller bli kontaktad idag!

‍