Po uruchomieniu laptopa zamiast okna logowania pojawia się żądanie klucza odzyskiwania dysku. Hasło pracownika nie działa, a dokumenty potrzebne do spotkania pozostają niedostępne. Taki ekran może pojawić się po zmianie ustawień rozruchu, aktualizacji oprogramowania urządzenia albo naprawie sprzętu. Nie przesądza jeszcze o uszkodzeniu danych.
W tej sytuacji opieka IT powinna rozdzielić trzy zadania: znaleźć właściwy klucz, sprawdzić uprawnienie do odblokowania komputera i wyjaśnić przyczynę zdarzenia. Samo uruchomienie systemu nie rozwiązuje problemu, jeżeli firma nadal nie kontroluje miejsca przechowywania kluczy.
Hasło do konta nie zastępuje klucza odzyskiwania
Szyfrowanie dysku chroni zawartość nośnika przed odczytem bez odpowiedniego uprawnienia. W komputerach korzystających z funkcji BitLocker system może zażądać 48-cyfrowego klucza odzyskiwania, gdy nie może bezpiecznie zastosować zwykłego mechanizmu odblokowania. To inny sekret niż hasło do poczty, kod PIN czy dane administratora.
Trzeba odczytać identyfikator klucza widoczny na ekranie i dopasować go do zapisu w zatwierdzonym repozytorium. Nazwa laptopa lub nazwisko pracownika mogą być niewystarczające: urządzenie mogło zmienić użytkownika, a dla jednego komputera mogły powstać kolejne klucze.
Klucz może znajdować się w firmowym systemie zarządzania urządzeniami, usłudze katalogowej albo innym zabezpieczonym repozytorium. W niektórych konfiguracjach bywa zapisany na koncie użytym podczas przygotowania komputera. Nie należy jednak zakładać, że kopia istnieje tylko dlatego, że dysk jest zaszyfrowany.
Pierwsze działania opieki IT: zabezpieczyć stan, nie eksperymentować
Największym błędem jest wykonywanie przypadkowych zmian, aby ekran zniknął. Czyszczenie modułu TPM, który uczestniczy w ochronie kluczy, zmiana trybu rozruchu lub reinstalacja systemu mogą utrudnić diagnozę. Formatowanie dysku nie jest sposobem odzyskania dostępu do zapisanych dokumentów.
- Zapisać identyfikator urządzenia, identyfikator klucza oraz treść komunikatu.
- Ustalić ostatnią poprawną pracę i zmiany wykonane od tego momentu.
- Sprawdzić, czy laptop był w serwisie, miał wymienianą płytę główną lub zmieniane ustawienia zabezpieczeń.
- Nie uruchamiać narzędzi obiecujących obejście szyfrowania.
- Oddzielnie sprawdzić dostępność dokumentów w zatwierdzonych zasobach firmowych, aby umożliwić pracę zastępczą.
W ramach stałej opieki IT obejmującej pomoc użytkownikom należy ustalić również, czy potrzebne jest stanowisko zastępcze. Nie powinno się przenosić dysku do przypadkowego urządzenia ani przekazywać go innemu pracownikowi bez kontroli nad danymi.
Kto może otrzymać klucz i jak go przekazać
Klucz odzyskiwania umożliwia odblokowanie zawartości dysku, dlatego nie może być traktowany jak zwykła instrukcja serwisowa. Osoba znająca nazwę komputera i nazwisko jego użytkownika nie musi być uprawniona do dostępu. Szczególnej ostrożności wymaga prośba telefoniczna dotycząca laptopa poza biurem.
Przydatne jest rozdzielenie potwierdzenia tożsamości od zgody na wykonanie operacji, podobnie jak w procedurze obsługi telefonicznej prośby o reset metody logowania. Potwierdzenie kierownika, że pracownik potrzebuje komputera, nie zastępuje weryfikacji rozmówcy.
Wsparcie informatyczne powinno korzystać z zatwierdzonego kanału przekazania sekretu albo przeprowadzić odblokowanie pod kontrolą technika. Pełnego klucza nie należy wklejać do zwykłego zgłoszenia serwisowego. W historii wystarczy odnotować identyfikator, wykonawcę, podstawę udostępnienia i wynik operacji. Po ujawnieniu klucza trzeba ocenić potrzebę jego wymiany oraz potwierdzić zapisanie nowego w repozytorium.
Karta serwisowa M3 Group: kontrola pojedynczego odblokowania
Praktyczny punkt kontrolny dla technika to porównanie identyfikatora z ekranu z identyfikatorem zapisanej kopii, a nie wyszukiwanie wyłącznie po nazwisku. Poniższa krótka karta do procedury serwisowej M3 Group porządkuje czynności bez gromadzenia samego sekretu w dokumentacji zgłoszenia:
- Urządzenie: potwierdzono numer ewidencyjny i bieżącego użytkownika.
- Uprawnienie: zapisano sposób weryfikacji osoby oraz wymaganą zgodę.
- Dopasowanie: identyfikator żądanego klucza odpowiada rekordowi w repozytorium.
- Odblokowanie: odnotowano wynik, bez kopiowania klucza do notatki.
- Kontrola po starcie: sprawdzono ochronę dysku i ponowne uruchomienie.
- Zamknięcie: wskazano przyczynę albo osobne zadanie diagnostyczne.
Firma informatyczna we Wrocławiu powinna sprawdzać także, czy odblokowano właściwy komputer i czy szyfrowanie nadal chroni nośnik. Usunięcie zabezpieczenia tylko po to, aby uniknąć kolejnego zgłoszenia, zamienia problem dostępności w ryzyko ujawnienia danych po kradzieży laptopa.
Brak klucza zmienia zakres możliwego działania
Jeżeli nie można odnaleźć właściwego klucza ani skorzystać z innej skonfigurowanej metody odblokowania, poprawnie działające szyfrowanie może uniemożliwić odzyskanie zawartości. Sama wiedza serwisowa lub przełożenie sprawnego nośnika nie omijają tej ochrony. Nie należy obiecywać odzyskania danych bez sprawdzenia konfiguracji.
Opieka IT powinna wtedy ustalić, które dokumenty istnieją w innych zatwierdzonych lokalizacjach, co pozostało wyłącznie na laptopie i czy firma akceptuje przygotowanie systemu od nowa. Decyzję o wymazaniu nośnika trzeba udokumentować. Wcześniej należy zakończyć poszukiwanie klucza i ocenić potrzebę zachowania urządzenia do dalszej analizy.
Repozytorium kluczy musi działać również podczas blokady
Opieka informatyczna we Wrocławiu powinna obejmować kontrolę, czy dla każdego chronionego urządzenia istnieje aktualny zapis odzyskiwania i kto może z niego skorzystać. Repozytorium dostępne wyłącznie z zablokowanego laptopa tworzy zależność, która ujawnia się w najgorszym momencie.
Po planowanych modyfikacjach rozruchu lub oprogramowania urządzenia należy sprawdzić stan ochrony i dostępność klucza. Sposób przygotowania takich prac porządkują zasady kontrolowanego wdrażania zmian w środowisku firmowym. Jeżeli procedura producenta przewiduje czasowe zawieszenie ochrony, potrzebne jest również potwierdzenie jej przywrócenia.
Odpowiedzialność za repozytorium, zastępstwa i obsługę wyjątków należy wpisać w model stałej opieki i wsparcia informatycznego firmy. Samo włączenie szyfrowania nie zapewnia gotowości do odzyskania dostępu.
Skuteczna opieka IT łączy ochronę danych z możliwością ich kontrolowanego odblokowania. Właściwy klucz, zweryfikowana osoba i sprawdzona przyczyna blokady pozwalają przywrócić pracę bez pochopnego kasowania dysku ani osłabiania zabezpieczeń.
