1. Wstęp, dlaczego szyfrowanie laptopa to nie jest przesada
Zgubiony albo skradziony laptop to jeden z najczęstszych scenariuszy, które sprawdzam, kiedy robię audyt bezpieczeństwa danych firmy u klienta. Zawsze pytam o jedno. Czy dysk w tym laptopie jest zaszyfrowany. Odpowiedź “nie wiem” albo “chyba tak” pada częściej, niż mogłoby się wydawać, a to pytanie decyduje o tym, czy utrata sprzętu to zwykła strata kilku tysięcy złotych, czy poważny incydent z konsekwencjami prawnymi.
Hasło do Windowsa czy macOS to za mało. Jeśli dysk nie jest zaszyfrowany, ktoś kto ma fizyczny dostęp do laptopa może wyjąć dysk, podłączyć go do innego komputera i odczytać wszystkie pliki bez znajomości hasła. Ekran logowania chroni przed przypadkowym użyciem sprzętu, nie chroni danych, kiedy ktoś naprawdę chce się do nich dostać. Szyfrowanie całego dysku sprawia, że bez klucza dane są bezużytecznym ciągiem znaków, nawet po wyjęciu dysku z obudowy.
2. Co realnie grozi firmie, gdy zgubiony laptop nie jest zaszyfrowany
Art. 32 RODO nie nakazuje wprost szyfrowania jako obowiązkowego środka. Wymienia je jako jeden z przykładów “odpowiednich środków technicznych i organizacyjnych”, obok zdolności do zapewnienia poufności i integralności systemów. Administrator sam dobiera środki adekwatne do ryzyka, stanu wiedzy technicznej i kosztów wdrożenia. Brzmi to jak furtka, dopóki nie zobaczy się, jak UODO ocenia konkretne przypadki utraty niezaszyfrowanego sprzętu.
W lipcu 2026 roku UODO wydał decyzję w sprawie kradzieży służbowego laptopa pracownika Starostwa Powiatowego w Lubartowie. Skradziony sprzęt zawierał dane około 700 osób, w tym numery PESEL, numery dowodów osobistych i numery ksiąg wieczystych. Kara wyniosła 21 000 zł dla administratora i 12 500 zł dla podmiotu przetwarzającego. W uzasadnieniu UODO napisał wprost, że szyfrowanie dysków, “które, jak można założyć, wprowadzone odpowiednio wcześniej mogło zapobiec odczytaniu danych” ze skradzionego urządzenia.
Drugi przypadek jest jeszcze bardziej pouczający. W lutym 2022 roku ukradziono służbowy laptop pracownika gminy Dobrzyniewo Duże, z prywatnego mieszkania, z danymi 51 osób. UODO nałożyło karę 8 000 zł na wójta gminy. Co ciekawe, administrator rok wcześniej przeprowadził analizę ryzyka, która wykazała konieczność szyfrowania dysków laptopów, i miał nawet wewnętrzny regulamin tego wymagający. Tyle że nikt tego faktycznie nie wdrożył przed kradzieżą. “Dysk skradzionego komputera nie był zaszyfrowany”, stwierdziła UODO w uzasadnieniu. Polityka bezpieczeństwa na papierze nie chroni żadnych danych, chroni je dopiero włączona funkcja w systemie operacyjnym.
Jest też argument czysto finansowy, choć trzeba go podać z zastrzeżeniem co do wieku danych. Badanie Ponemon Institute i Intel z 2009 roku, mimo że ma już kilkanaście lat i nowszych porównywalnych badań nie udało mi się znaleźć, wciąż bywa punktem odniesienia w branży. Z analizy 138 przypadków utraty laptopów firmowych wynikało, że średni koszt takiego incydentu dla laptopa z zaszyfrowanym dyskiem wyniósł 37 443 dolarów, a dla laptopa bez szyfrowania aż 56 165 dolarów. Różnica brała się głównie z kosztów obsługi naruszenia danych, które przy zaszyfrowanym dysku po prostu nie występuje, bo formalnie nie doszło do naruszenia poufności danych.
3. Jak włączyć szyfrowanie dysku krok po kroku
W Windowsie funkcja nazywa się BitLocker i jest dostępna w edycjach Pro, Enterprise i Education. Windows Home ma okrojoną wersję pod nazwą Device Encryption, dostępną tylko na niektórych urządzeniach. Warunkiem jest moduł TPM w wersji 1.2 lub nowszej oraz UEFI zgodne ze specyfikacją TCG, co w praktyce ma dziś prawie każdy służbowy laptop kupiony w ostatnich kilku latach. Włączenie funkcji zajmuje dosłownie chwilę. Wystarczy wpisać w wyszukiwarce systemu Windows “szyfrowanie”, otworzyć “Zarządzaj BitLocker” i kliknąć “Włącz funkcję BitLocker”. Sam proces szyfrowania całego dysku w tle trwa dłużej, czasem kilka godzin, w zależności od pojemności dysku i tego, ile już jest na nim danych, ale komputera można w tym czasie normalnie używać. Pełne informacje o wymaganiach i konfiguracji, łącznie z zalecanym algorytmem XTS AES i długością klucza, opisuje dokumentacja Microsoft Learn.
Na macOS odpowiednikiem jest FileVault, włączane w Ustawieniach systemowych, w sekcji Prywatność i bezpieczeństwo. Trzeba wybrać sposób odzyskiwania dostępu, przez konto iCloud albo przez osobny klucz odzyskiwania, który warto zapisać w bezpiecznym miejscu, bo bez hasła i bez tego klucza dane stają się trwale nieodzyskiwalne, nawet dla Apple. Na Makach z Apple Silicon czy chipem T2 wszystkie operacje na kluczu szyfrującym wykonuje dedykowany procesor Secure Enclave, więc klucz nigdy nie trafia bezpośrednio do głównego procesora. Szczegółowy opis procesu i mechanizmu opisuje przewodnik Apple, a techniczne działanie szyfrowania AES XTS i rolę Secure Enclave tłumaczy dokumentacja bezpieczeństwa Apple.
4. Klucze odzyskiwania, żeby firma nie straciła dostępu do własnych danych
Włączenie szyfrowania na pojedynczym laptopie jest proste. Prawdziwy problem pojawia się przy kilkunastu czy kilkudziesięciu urządzeniach w firmie, kiedy klucz odzyskiwania zna tylko dany pracownik, albo nie zna go nikt, bo nikt go nie zapisał. Awaria płyty głównej, aktualizacja BIOS, wymiana dysku, każda z tych sytuacji może uruchomić tryb odzyskiwania BitLockera i zażądać klucza, którego bez wcześniejszego przygotowania firma po prostu nie ma.
W środowisku firmowym z Intune i Microsoft Entra ID klucze odzyskiwania BitLockera trafiają automatycznie do chmury w momencie szyfrowania urządzenia, o ile urządzenie jest dołączone do Entra. Administrator widzi je w panelu Intune, w sekcji urządzenia, w zakładce Recovery keys, a każde wyświetlenie klucza zostaje zapisane w logu audytowym. Dostęp do odczytu kluczy wymaga konkretnego uprawnienia w Entra, więc nie każdy z działu IT może sobie ot tak podejrzeć klucz do cudzego laptopa. Można też zdalnie wymusić rotację klucza po tym, jak ktoś go użyje, oraz pozwolić pracownikom na samodzielne odzyskanie dostępu przez aplikację Company Portal, bez angażowania administratora za każdym razem. Cały mechanizm opisuje dokumentacja Intune.
Na macOS działa to analogicznie przez MDM. Administrator może wymusić włączenie FileVault już przy pierwszym uruchomieniu komputera, a osobisty klucz odzyskiwania jest automatycznie szyfrowany certyfikatem MDM i odsyłany do systemu zarządzania, zamiast zostawać wyłącznie w rękach użytkownika. Mechanizm i wymagania opisuje przewodnik wdrożeniowy Apple. Bez takiego centralnego zarządzania kluczami szyfrowanie owszem chroni dane przed złodziejem, ale też potrafi zablokować dostęp własnej firmie do własnego sprzętu, co bywa równie kosztowne jak sam incydent bezpieczeństwa.
5. Co jeszcze warto zabezpieczyć obok szyfrowania
Szyfrowanie dysku chroni dane, kiedy laptop jest wyłączony albo zablokowany na ekranie logowania. Nie chroni ich, kiedy pracownik jest zalogowany, a ktoś dobierze się do odblokowanego komputera w kawiarni czy w pociągu. Dlatego warto traktować szyfrowanie jako jeden element układanki, nie jako jedyne zabezpieczenie. Silne, unikalne hasła do konta i automatyczna blokada ekranu po kilku minutach bezczynności są równie ważne, o czym pisałem szerzej przy okazji zarządzania hasłami w firmie. Do tego dochodzi uwierzytelnianie wieloskładnikowe, które utrudnia zalogowanie się na konto nawet komuś, kto zna już hasło.
Warto też pamiętać, że szyfrowanie dysku i backup danych to dwie różne rzeczy, które często się mylą. Szyfrowanie chroni dane przed odczytaniem przez niepowołaną osobę. Backup chroni dane przed utratą, kiedy dysk się zepsuje albo laptop zostanie skradziony na dobre. Jedno bez drugiego nie wystarczy, a o tym, dlaczego jedna kopia zapasowa też nie wystarczy, pisałem osobno przy backupie danych firmowych.
6. Jak audyt bezpieczeństwa sprawdza szyfrowanie sprzętu w firmie
Kiedy robię audyt bezpieczeństwa danych firmy, jednym z pierwszych punktów na liście jest właśnie status szyfrowania na wszystkich firmowych laptopach, nie tylko na tym jednym, który akurat mam pod ręką. W środowisku zarządzanym przez Intune czy odpowiednik na macOS sprawdzenie tego zajmuje kilka minut, bo status szyfrowania każdego urządzenia widać w jednym panelu. Gorzej, kiedy firma nie ma żadnego centralnego zarządzania sprzętem, a każdy laptop żyje własnym życiem. Wtedy trzeba sprawdzić każde urządzenie osobno, i regularnie się zdarza, że część z nich w ogóle nie ma szyfrowania włączonego, mimo że w teorii firma “ma politykę bezpieczeństwa”.
To zresztą częsty wniosek z takich audytów. Samo szyfrowanie to kwestia kilku kliknięć, ale zapewnienie, że jest włączone na każdym urządzeniu, że klucze odzyskiwania są gdzieś bezpiecznie przechowywane, i że nikt tego nie wyłączył przypadkiem, wymaga porządku organizacyjnego, nie tylko technicznego. Zarządzanie sprzętem i szyfrowanym backupem to też część tego, czym zajmuję się w ramach outsourcingu IT, żeby takie rzeczy działały w tle bez konieczności pilnowania ich ręcznie przez właściciela firmy.
7. Podsumowanie
Szyfrowanie dysku w laptopie firmowym to jedna z tych rzeczy, które kosztują piętnaście minut czasu, a potrafią zaoszczędzić firmie kary finansowej, obowiązku zgłaszania naruszenia do UODO i tłumaczenia się przed klientami. Oba przypadki z decyzji UODO, które przytoczyłem wyżej, łączy jedno. W żadnym z nich szyfrowanie nie było wdrożone, mimo że w drugim przypadku firma nawet wiedziała, że powinna to zrobić. Jeśli nie masz pewności, czy laptopy w Twojej firmie są rzeczywiście zaszyfrowane, a nie tylko powinny być zgodnie z jakąś polityką na papierze, to dobry moment, żeby to sprawdzić w ramach audytu bezpieczeństwa, zanim sprawdzi to ktoś inny przy okazji zgubionego sprzętu. Chętnie pomogę to ustalić, skontaktuj się, jeśli chcesz zacząć od rozmowy o tym, jak to wygląda akurat u Ciebie.