Šifrování firemního notebooku: BitLocker, klíče a ztráta stroje

Notebook zůstal na sedačce ve vlaku nebo v autě na parkovišti u Vaňkovky. Za pár hodin se ohlásí zaměstnanec a přijde otázka, na kterou by firma měla umět odpovědět do minuty: byl ten disk zašifrovaný?

Když odpověď zní „myslím, že ano“, je to špatná odpověď. (Jestli teprve zjišťujete, co je BitLocker a proč se ve Windows 11 zapíná sám, začněte tam.) A když někdo dodá „a klíč má někde v účtu, ne?“, je to ještě horší. Šifrování firemního notebooku není klik na tlačítko — je to evidence, která musí obstát ve chvíli, kdy zařízení už nemáte v ruce.

Odpověď hned: BitLocker chrání data uložená na disku, když zařízení není v aktivní odemčené relaci — typicky po vypnutí, při hibernaci nebo po vyjmutí disku. Nechrání data dostupná v právě odemčeném systému. Aby ochrana fungovala, musí být splněné tři věci: šifrování je opravdu aktivní (ověřte příkazem manage-bde -status, ne pocitem), recovery klíč je uložený u firmy — v Microsoft Entra ID, Active Directory nebo firemním správci hesel, ne jen v osobním účtu zaměstnance — a existuje napsaný postup pro ztrátu, který spustí i kolega, když je správce IT na dovolené. Vše ostatní — phishing, malware, data už nasynchronizovaná v OneDrivu — BitLocker neřeší.

Co šifrování vyřeší a co ne

Šifrování disku má jeden konkrétní účel: chrání data v okamžiku, kdy zařízení ztratí fyzickou kontrolu. Ukradený notebook, SSD vyjmuté a připojené redukcí k jinému počítači, disk odevzdaný do servisu bez vymazání. Bez klíče je obsah nečitelný.

Mimo tenhle scénář BitLocker nedělá nic. Pokud notebook zůstane odemčený na stole v kavárně, útočník pracuje se soubory úplně stejně jako zaměstnanec — disk je v ten moment odemčený a šifrování z hlediska systému neexistuje. Stejně tak nezastaví phishing, malware ani přístup k datům, která už jsou nasynchronizovaná do OneDrivu nebo SharePointu. Ta žijí v cloudu, ne na disku, a chrání je heslo k účtu, ne BitLocker.

Proto do stejného balíčku patří i věci, které se šifrováním na první pohled nesouvisí:

• automatické zamykání obrazovky po pár minutách nečinnosti,
• účet zaměstnance bez administrátorských oprávnění pro běžnou práci,
• Windows Hello PIN nebo silné heslo,
• dvoufázové ověření na firemních účtech,
• funkční záloha pracovních dat,
• jasný postup, komu a jak hlásit ztrátu.

A jedna věc, na které se láme nejvíc firem: BitLocker není záloha. Zašifrované SSD odejde přesně tak ochotně jako nezašifrované — akorát u něj bez recovery klíče přijdete i o možnost data z něj dostat. Kdy SSD začíná umírat a co dělat dřív, než se to stane, rozebírá článek SSD umírá: příznaky selhání.

Stačí BitLocker, nebo potřebujete něco jiného?

Pro malou firmu na Windows je BitLocker rozumná výchozí volba. V edicích Windows Pro, Enterprise a Education je součástí systému a recovery informace lze centrálně ukládat například do Microsoft Entra ID nebo místní Active Directory.

Háček je v edici. BitLocker se plnou správou najdete ve Windows Pro, Enterprise a Education. Windows Home ho v této podobě nemá; část zařízení s Home nabízí jednodušší Šifrování zařízení (Device Encryption), které se u vhodného hardwaru zapne samo po přihlášení účtem Microsoft. Data sice chrání, ale firma u něj nemá stejné možnosti řízení — proto se u notebooků pro zaměstnance vyplatí trvat na Windows 11 Pro už při nákupu. Doplácet upgrade edice dodatečně u pěti strojů je zbytečná práce navíc. Rozdíly edic a podmínky obou variant popisuje dokumentace BitLockeru od Microsoftu.

Než šifrování zapnete, projděte pět bodů:

• edice a aktivace Windows — zjistěte, zda máte plný BitLocker ve Windows Pro, Enterprise či Education, nebo automatické Šifrování zařízení dostupné na způsobilém zařízení i ve Windows Home,
• stav čipu TPM — zkontrolujte přes tpm.msc; Windows 11 vyžaduje TPM 2.0, samotný BitLocker umí integritu startu využít už s TPM 1.2. Bez TPM lze BitLocker nastavit se startovacím klíčem na výměnném médiu, ale pro běžný firemní notebook to není standardní pohodlné nasazení,
• Secure Boot a firmware — Secure Boot je doporučená další vrstva; změny BIOS/UEFI nebo firmwaru mohou vyvolat recovery, proto před plánovanou aktualizací BitLocker pozastavte a po dokončení znovu aktivujte,
• všechny interní disky — notebooky s SSD pro systém a druhým diskem na data mají typicky zašifrovaný jen systémový,
• kam se uloží klíč — o tom rozhodněte dřív, než kliknete na „Zapnout“.

Stav pak ověřte tvrdě, ne od oka: v Ovládacích panelech v části Šifrování jednotky BitLocker, příkazem manage-bde -status nebo v PowerShellu přes Get-BitLockerVolume. Sloupec s procenty musí ukazovat dokončené šifrování a ochranu ve stavu zapnuto — u čerstvě zapnutého BitLockeru běží první šifrování disku klidně desítky minut a do té doby ochrana není plná. Předpoklad, že „nový notebook je přece zašifrovaný“, je jeden z nejčastějších omylů; u některých modelů to platí, u jiných ne a jistotu dá jedině ten příkaz.

Kam patří recovery klíče

Recovery klíč je nouzový 48místný číselný kód. Windows si o něj řeknou ve chvíli, kdy se z jejich pohledu změnilo něco na cestě ke spuštění systému — aktualizace UEFI firmwaru, změna nastavení v BIOSu, vyčištění nebo výměna TPM, výměna základní desky, někdy i připojení nového bootovatelného zařízení. Není to porucha, je to obranná reakce.

U firemního zařízení platí jednoduché pravidlo: klíč musí ovládat firma, ne pouze zaměstnanec.

Microsoft Entra ID i místní Active Directory umějí ukládat recovery informace svázané s konkrétním zařízením — to je celý rozdíl proti složce se soubory. Intune navíc dovoluje řídit oprávnění a po použití recovery hesla vynutit jeho změnu. Firemní varianty uložení a postup obnovy popisuje přehled BitLocker recovery.

Kam klíč naopak nepatří:

• do textového souboru na tom samém zašifrovaném notebooku (klasika, která funguje přesně do chvíle, kdy je potřeba),
• na štítek nalepený zespodu na zařízení,
• do brašny s notebookem,
• jen do osobního účtu Microsoft zaměstnance,
• do sdílené tabulky nebo e-mailu přístupného celé firmě.

U každého klíče evidujte název počítače, sériové nebo inventární číslo, uživatele a identifikátor recovery klíče — právě podle něj se v krizi hledá. Šest souborů pojmenovaných „BitLocker Recovery Key.txt“ ve stejné složce je z hlediska obnovy skoro stejně užitečných jako žádný.

Když už jste v situaci, kdy klíč hledáte a nemůžete ho najít, projděte postup v článku BitLocker klíč jste nenašli: co ověřit, než disk odepíšete. A pokud se stroj zamkl a chce klíč na modré obrazovce hned teď, začněte u BitLocker disk nejde odemknout.

U notebooku, který nespravuje firma, a tedy je pod osobním účtem Microsoft, najdete klíč po přihlášení na aka.ms/myrecoverykey. Windows navíc při zapínání BitLockeru nabízejí uložení klíče na USB disk nebo vytištění — obojí má smysl udělat vedle uložení do účtu, ne místo něj.

TPM samotné, nebo TPM se startovacím PINem?

Běžné nasazení používá BitLocker s TPM. Notebook naběhne bez ptaní, klíč mu vydá čip a zaměstnanec zadává až přihlášení do Windows. Pro kancelářský notebook je to zpravidla správný kompromis — chrání proti scénáři „ukradený vypnutý stroj“ a nikoho neotravuje.

Druhá varianta je TPM plus startovací PIN, který se zadává ještě před načtením Windows. Přidává ochranu proti pokročilejším útokům na fyzicky odcizený počítač, protože samotné TPM klíč nevydá, dokud nepřijde správný PIN. Daní je další heslo, které zaměstnanci zapomínají — a zapomenutý startovací PIN vede rovnou na recovery klíč. Má smysl u strojů, které opravdu vozí citlivá data: účetnictví, zdravotní dokumentace, projektová data klientů.

Souvisí s tím i to, jak notebook cestuje. Ve spánku zůstává systémová relace a část citlivých dat v operační paměti a disk je fakticky odemčený — proto Microsoft u zařízení s vyšším rizikem doporučuje hibernaci nebo úplné vypnutí, kde se ochrana při dalším startu uplatní znovu. Přehled těchto opatření je v dokumentaci BitLocker countermeasures. Prakticky to znamená jedinou návykovou změnu: notebook před cestou vypnout, ne zaklapnout.

Příprava notebooku před předáním zaměstnanci

Šifrování patří před nahrání firemních dokumentů, ne po něm. Předávací kontrola má mít alespoň těchto deset kroků:

1. Zapsat výrobce, model, sériové a inventární číslo.
2. Přiřadit notebook konkrétnímu zaměstnanci a datu předání.
3. Aktualizovat Windows, ovladače a firmware/UEFI — dodatečná aktualizace firmwaru je klasický spouštěč výzvy k zadání recovery klíče.
4. Zkontrolovat TPM (tpm.msc) a zapnout Secure Boot.
5. Vytvořit oddělený správcovský účet, ke kterému má přístup firma.
6. Nastavit zaměstnance jako standardního uživatele, ne administrátora.
7. Zapnout BitLocker na systémovém i datovém disku.
8. Ověřit uložení recovery klíče z jiného zařízení nebo z administrátorského účtu — ne z toho notebooku.
9. Po restartu znovu zkontrolovat stav šifrování (manage-bde -status).
10. Nastavit automatické zamykání, Windows Hello a zálohu pracovních dat.

Bod 8 je ten, na kterém se to v praxi láme. „Klíč se uložil“ a „klíč jsem viděl z jiného počítače“ jsou dvě různá tvrzení a jen to druhé je ověření.

Jedna technická volba navíc: u nového nebo bezpečně vymazaného disku stačí šifrovat pouze využité místo — je to rychlejší. U notebooku přeřazovaného po jiném zaměstnanci šifrujte celý disk, protože ve volném prostoru mohou zůstat zbytky dřívějších dat, která se jinak zašifrovat nestihnou.

Do předávacího protokolu patří i to, komu a jak hlásit ztrátu. Pokyn „ozvi se, až budeš mít jistotu, že notebook nenajdeš“ je návod, jak přijít o půl dne, kdy se s přístupy dá ještě něco dělat.

Pokud tohle nechcete řešit sami, zabezpečení počítačů v malé firmě shrnuje širší rámec — a pokud potřebujete jen odpracovat nastavení na konkrétních strojích, ozvěte se nám a projdeme to s vámi.

Co dělat při ztrátě nebo krádeži

Firma potřebuje krátký seznam kroků, který spustí i člověk, jenž zrovna není správce IT. V tomhle pořadí:

1. Zapsat fakta. Kdo zařízení používal, kdy bylo naposledy viděno, a hlavně: bylo vypnuté, uspané, nebo odemčené? Na téhle jediné otázce stojí odhad rizika.
2. Ověřit šifrování podle evidence. Byl disk skutečně zašifrovaný a je klíč dohledatelný? Teď se ukáže, jestli bod 8 z předchozí kapitoly někdo opravdu udělal.
3. Zneplatnit přihlášení. Odhlásit zaměstnance ze všech relací firemních služeb a vynutit nové přihlášení — ne jen změnit heslo, ale zrušit aktivní tokeny.
4. Vyřadit zařízení z dvoufázového ověření, pokud sloužilo jako ověřovací faktor.
5. Zablokovat přístup zařízení k firemním účtům a aplikacím.
6. U spravovaného notebooku odeslat příkaz k vymazání, pokud to správa podporuje.
7. Zdokumentovat, k jakým datům měl uživatel přístup — včetně nasynchronizovaných cloudových složek a lokálně uložených exportů.
8. Oznámit krádež policii a podle smluvních podmínek i pojišťovně.
9. Předat incident osobě odpovědné za ochranu osobních údajů, ať posoudí, jestli z toho plynou další povinnosti.

Vzdálené vymazání je užitečná druhá vrstva, ale nikdy ne hlavní ochrana. Příkaz se provede jen tehdy, když se notebook připojí k internetu — a kdo ho ukradl kvůli datům, ho k síti nepřipojí, nebo rovnou vyjme disk. Dostupné vzdálené akce včetně vymazání a rotace BitLocker klíčů popisuje dokumentace Microsoft Intune.

Když se notebook najde, nezapojujte ho automaticky zpátky do firemní sítě. Nejdřív zkontrolujte stav zařízení, přihlašovací události a případné změny v konfiguraci. Recovery klíč, který byl mezitím použitý nebo zobrazený víc lidem, vyměňte za nový — z hlediska bezpečnosti je to už veřejný údaj.

U firemních strojů to spadá pod správa firemního IT. Souvisejícím krokem je záchrana dat v Brně.

Když BitLocker začne chtít recovery klíč

Modrá obrazovka s výzvou k zadání klíče sama o sobě neznamená, že vás někdo napadl. Ve většině případů za ní stojí něco úplně civilního: změna v UEFI, aktualizace firmwaru, problém s TPM, zásah do spouštěcích souborů nebo hardwarová oprava. BitLocker udělal přesně to, k čemu je — všiml si změny na cestě k systému a zamkl.

Praktický postup: opište si z obrazovky identifikátor klíče (krátký kód nad polem pro zadání) a podle něj najděte odpovídající záznam v evidenci. Nezkoušejte klíče z jiných notebooků a hlavně nemažte TPM „ať to naskočí“ — vyčištění TPM bez uloženého klíče je nejrychlejší cesta k trvale nedostupným datům.

A jedno poučení pro firemní správu: pokud klíč hledáte až ve chvíli havárie, znamená to, že jeho uložení nikdo neověřil při předání notebooku.

Kolik to stojí a co má být výsledkem

Cena nastavení závisí na počtu notebooků, edici Windows, stavu TPM, způsobu uložení klíčů a na tom, jestli chcete centrální správu. Konkrétní rozsah a cenu lze určit až po vstupní kontrole edic, TPM, účtů, stávajícího šifrování a záloh: pět notebooků s Windows Home je jiná práce než pět strojů už připojených k Microsoft Entra ID a Intune.

V nabídce si nechte rozepsat zvlášť:

• případný upgrade Windows na edici Pro,
• nastavení jednoho zařízení,
• zavedení evidence a úložiště klíčů,
• konfiguraci Microsoft Entra ID nebo Intune,
• test obnovy a předávací dokumentaci,
• správu dalších notebooků a odebrání přístupů při odchodu zaměstnance.

Kvalitně odvedenou práci poznáte podle výstupu, ne podle faktury: dostanete seznam zařízení, potvrzený stav šifrování u každého z nich, dohledatelné recovery klíče, popsaná oprávnění a stručný postup pro ztrátu i obnovu. Pokud technik jenom zapnul BitLocker a klíč nechal u zaměstnance, firma nevyřešila nic — jen si přidala jeden způsob, jak přijít o data.

V Brně u vás nebo u nás v servisu projdeme edice Windows, stav TPM, současné účty a způsob zálohování na všech strojích. Teprve podle toho má smysl rozhodnout, jestli stačí jednorázové nastavení, nebo se vyplatí centrální správa přes Intune.

Objednávka online: Správa firemního IT — napište model a co se děje, ozveme se s dalším postupem.