Шифрування корпоративного ноутбука: BitLocker, ключі та втрата пристрою

Ноутбук лишився на сидінні в потязі або в авті на парковці біля Vaňkovky. За кілька годин озветься працівник — і прийде питання, на яке компанія має вміти відповісти за хвилину: чи був той диск зашифрований?

Коли відповідь звучить «здається, так», це погана відповідь. А коли хтось додасть «і ключ у нього десь в обліковому записі, чи не так?», це ще гірше. Шифрування корпоративного ноутбука — це не клік на кнопку, а облік, який мусить витримати момент, коли пристрою вже немає у вас у руках.

Відповідь одразу: BitLocker захищає дані, збережені на диску, коли пристрій не перебуває в активній розблокованій сесії — типово після вимкнення, під час гібернації або після виймання диска. Він не захищає дані, доступні в щойно розблокованій системі. Щоб захист працював, мають бути виконані три речі: шифрування справді активне (перевірте командою manage-bde -status, а не відчуттям), ключ відновлення збережений у компанії — у Microsoft Entra ID, Active Directory або корпоративному менеджері паролів, а не лише в особистому обліковому записі працівника — і існує написаний порядок дій при втраті, який запустить і колега, коли ІТ-адміністратор у відпустці. Усе інше — фішинг, шкідливе ПЗ, дані, вже синхронізовані в OneDrive — BitLocker не вирішує.

Що шифрування вирішить, а що ні

Шифрування диска має одну конкретну мету: захищає дані в момент, коли пристрій втрачає фізичний контроль. Викрадений ноутбук, SSD, вийнятий і підключений через перехідник до іншого комп’ютера, диск, зданий у сервіс без стирання. Без ключа вміст нечитабельний.

Поза цим сценарієм BitLocker не робить нічого. Якщо ноутбук залишиться розблокованим на столі в кав’ярні, зловмисник працює з файлами так само, як працівник — диск у цю мить розблокований і шифрування з погляду системи не існує. Так само він не зупинить фішинг, шкідливе ПЗ чи доступ до даних, які вже синхронізовані в OneDrive або SharePoint. Вони живуть у хмарі, а не на диску, і їх захищає пароль до облікового запису, а не BitLocker.

Тому до того самого пакета належать і речі, які на перший погляд із шифруванням не пов’язані:

• автоматичне блокування екрана після кількох хвилин бездіяльності,
• обліковий запис працівника без адміністраторських прав для звичайної роботи,
• Windows Hello PIN або сильний пароль,
• двофакторна автентифікація на корпоративних облікових записах,
• робоча резервна копія робочих даних,
• зрозумілий порядок, кому і як повідомляти про втрату.

І одна річ, на якій «ламається» найбільше компаній: BitLocker — це не резервна копія. Зашифрований SSD вийде з ладу так само охоче, як незашифрований — тільки в нього без ключа відновлення ви втратите ще й можливість дістати з нього дані. Коли SSD починає вмирати і що робити раніше, ніж це станеться, розбирає стаття SSD вмирає: ознаки відмови.

Чи достатньо BitLocker, чи потрібно щось інше?

Для малої компанії на Windows BitLocker — розумний вибір за замовчуванням. У редакціях Windows Pro, Enterprise та Education він є частиною системи, а інформацію для відновлення можна централізовано зберігати, наприклад, у Microsoft Entra ID або локальній Active Directory.

Заковика — у редакції. BitLocker із повним керуванням ви знайдете у Windows Pro, Enterprise та Education. Windows Home у такому вигляді його не має; частина пристроїв із Home пропонує простіше Шифрування пристрою (Device Encryption), яке на придатному апаратному забезпеченні вмикається саме після входу обліковим записом Microsoft. Дані воно захищає, але компанія не має в ньому таких самих можливостей керування — тому для ноутбуків для працівників варто наполягати на Windows 11 Pro вже під час покупки. Доплачувати за оновлення редакції згодом на п’яти пристроях — зайва робота. Відмінності редакцій та умови обох варіантів описує документація BitLocker від Microsoft.

Перш ніж вмикати шифрування, пройдіть п’ять пунктів:

• редакція та активація Windows — з’ясуйте, чи маєте повний BitLocker у Windows Pro, Enterprise чи Education, або автоматичне Шифрування пристрою, доступне на придатному пристрої і у Windows Home,
• стан чипа TPM — перевірте через tpm.msc; Windows 11 вимагає TPM 2.0, сам BitLocker уміє використовувати контроль цілісності запуску вже з TPM 1.2. Без TPM BitLocker можна налаштувати зі стартовим ключем на змінному носії, але для звичайного корпоративного ноутбука це не стандартне зручне рішення,
• Secure Boot і прошивка — Secure Boot є рекомендованим додатковим шаром; зміни BIOS/UEFI або прошивки можуть викликати запит на відновлення, тому перед запланованим оновленням BitLocker призупиніть, а після завершення знову активуйте,
• усі внутрішні диски — ноутбуки з SSD для системи та другим диском для даних зазвичай мають зашифрований лише системний,
• де зберігатиметься ключ — про це вирішіть раніше, ніж клікнете «Увімкнути».

Стан потім перевірте твердо, а не на око: у Панелі керування в розділі Шифрування диска BitLocker, командою manage-bde -status або в PowerShell через Get-BitLockerVolume. Стовпець із відсотками має показувати завершене шифрування, а захист — стан «увімкнено»; у щойно ввімкненого BitLocker перше шифрування диска триває спокійно й десятки хвилин, і доти захист неповний. Припущення, що «новий ноутбук же зашифрований», — одна з найчастіших помилок; на деяких моделях це справді так, на інших ні, і впевненість дасть лише та команда.

Де мають зберігатися ключі відновлення

Ключ відновлення — це аварійний 48-значний числовий код. Windows попросить його в момент, коли з їхнього погляду щось змінилося на шляху до запуску системи — оновлення прошивки UEFI, зміна налаштувань у BIOS, очищення чи заміна TPM, заміна материнської плати, іноді й підключення нового завантажувального пристрою. Це не несправність, це захисна реакція.

Для корпоративного пристрою діє просте правило: ключем має розпоряджатися компанія, а не лише працівник.

І Microsoft Entra ID, і локальна Active Directory вміють зберігати інформацію для відновлення, прив’язану до конкретного пристрою — у цьому вся різниця порівняно з текою з файлами. Intune до того ж дозволяє керувати правами й після використання пароля відновлення примусово змінити його. Корпоративні варіанти зберігання та порядок відновлення описує огляд BitLocker recovery.

Куди ключ навпаки не належить:

• у текстовий файл на тому самому зашифрованому ноутбуці (класика, яка працює рівно до моменту, коли ключ потрібен),
• на наклейку знизу на пристрої,
• у сумку з ноутбуком,
• лише в особистий обліковий запис Microsoft працівника,
• у спільну таблицю чи лист, доступний усій компанії.

Для кожного ключа фіксуйте назву комп’ютера, серійний або інвентарний номер, користувача та ідентифікатор ключа відновлення — саме за ним його шукають у кризовій ситуації. Шість файлів із назвою «BitLocker Recovery Key.txt» в одній теці з погляду відновлення майже так само корисні, як жодного.

Коли ви вже опинилися в ситуації, коли ключ шукаєте й не можете знайти, пройдіть порядок дій зі статті Ключ BitLocker ви не знайшли: що перевірити, перш ніж списати диск. А якщо пристрій заблокувався й вимагає ключ на синьому екрані просто зараз, почніть із BitLocker: диск не вдається розблокувати.

Для ноутбука, яким компанія не керує і який відповідно під особистим обліковим записом Microsoft, ключ знайдете після входу на aka.ms/myrecoverykey. Windows до того ж під час увімкнення BitLocker пропонують зберегти ключ на USB-диск або роздрукувати — обидва варіанти має сенс зробити поряд зі збереженням в обліковий запис, а не замість нього.

TPM саме по собі, чи TPM зі стартовим PIN-кодом?

Звичайне впровадження використовує BitLocker із TPM. Ноутбук завантажується без запитань, ключ йому видає чип, а працівник вводить лише вхід до Windows. Для офісного ноутбука це зазвичай правильний компроміс — захищає від сценарію «викрадений вимкнений пристрій» і нікого не дратує.

Другий варіант — TPM плюс стартовий PIN-код, який вводиться ще до завантаження Windows. Він додає захист від складніших атак на фізично викрадений комп’ютер, бо саме TPM ключ не видасть, доки не надійде правильний PIN. Ціною є ще один пароль, який працівники забувають — а забутий стартовий PIN веде прямо до ключа відновлення. Це має сенс на пристроях, які справді возять чутливі дані: бухгалтерія, медична документація, проєктні дані клієнтів.

З цим пов’язано і те, як ноутбук подорожує. У режимі сну системна сесія та частина чутливих даних залишаються в оперативній пам’яті, а диск фактично розблокований — тому для пристроїв із вищим ризиком Microsoft рекомендує гібернацію або повне вимкнення, де захист під час наступного запуску спрацює знову. Огляд цих заходів є в документації BitLocker countermeasures. Практично це означає одну-єдину зміну звички: ноутбук перед дорогою вимкнути, а не просто закрити.

Підготовка ноутбука перед передаванням працівникові

Шифрування належить перед завантаженням корпоративних документів, а не після нього. Передавальна перевірка має містити щонайменше ці десять кроків:

1. Записати виробника, модель, серійний та інвентарний номер.
2. Призначити ноутбук конкретному працівникові й даті передавання.
3. Оновити Windows, драйвери та прошивку/UEFI — додаткове оновлення прошивки є класичним тригером запиту на введення ключа відновлення.
4. Перевірити TPM (tpm.msc) і ввімкнути Secure Boot.
5. Створити окремий адміністраторський обліковий запис, до якого має доступ компанія.
6. Налаштувати працівника як стандартного користувача, а не адміністратора.
7. Увімкнути BitLocker на системному й на дисках із даними.
8. Перевірити збереження ключа відновлення з іншого пристрою або з адміністраторського облікового запису — не з того ноутбука.
9. Після перезавантаження знову перевірити стан шифрування (manage-bde -status).
10. Налаштувати автоматичне блокування, Windows Hello та резервне копіювання робочих даних.

Пункт 8 — саме той, на якому це на практиці ламається. «Ключ зберігся» і «ключ я бачив з іншого комп’ютера» — це два різні твердження, і лише друге є перевіркою.

Один технічний вибір додатково: на новому або безпечно стертому диску достатньо шифрувати лише зайняте місце — це швидше. На ноутбуці, який передається після іншого працівника, шифруйте весь диск, бо у вільному просторі можуть залишитися рештки попередніх даних, які інакше зашифрувати не встигнуть.

До передавального протоколу належить і те, кому і як повідомляти про втрату. Вказівка «озовися, коли будеш упевнений, що ноутбук не знайдеш» — це інструкція, як утратити пів дня, коли з доступами ще можна щось зробити.

Якщо ви не хочете розбиратися з цим самі, захист комп’ютерів у малій компанії підсумовує ширшу рамку — а якщо потрібно лише відпрацювати налаштування на конкретних пристроях, напишіть нам і пройдемо це разом із вами.

Що робити при втраті чи крадіжці

Компанії потрібен короткий перелік кроків, який запустить і людина, яка саме не є ІТ-адміністратором. У такому порядку:

1. Записати факти. Хто користувався пристроєм, коли його бачили востаннє, і головне: він був вимкнений, приспаний чи розблокований? На цьому єдиному питанні стоїть оцінка ризику.
2. Перевірити шифрування за обліком. Чи був диск справді зашифрований і чи можна знайти ключ? Зараз стане видно, чи пункт 8 із попереднього розділу хтось справді зробив.
3. Скасувати входи. Вийти працівником з усіх сесій корпоративних сервісів і примусити новий вхід — не просто змінити пароль, а анулювати активні токени.
4. Вилучити пристрій із двофакторної автентифікації, якщо він слугував як фактор перевірки.
5. Заблокувати доступ пристрою до корпоративних облікових записів і застосунків.
6. На керованому ноутбуці надіслати команду стирання, якщо система керування це підтримує.
7. Задокументувати, до яких даних користувач мав доступ — включно із синхронізованими хмарними теками й локально збереженими експортами.
8. Повідомити про крадіжку поліцію і, згідно з умовами договору, також страхову компанію.
9. Передати інцидент особі, відповідальній за захист персональних даних, щоб оцінила, чи випливають із цього подальші обов’язки.

Віддалене стирання — корисний другий шар, але ніколи не основний захист. Команда виконається лише тоді, коли ноутбук підключиться до інтернету — а той, хто вкрав його заради даних, до мережі його не підключить або одразу вийме диск. Доступні віддалені дії, включно зі стиранням і ротацією ключів BitLocker, описує документація Microsoft Intune.

Коли ноутбук знайдеться, не під’єднуйте його автоматично назад до корпоративної мережі. Спершу перевірте стан пристрою, події входу та можливі зміни в конфігурації. Ключ відновлення, який тим часом був використаний або показаний більшій кількості людей, замініть на новий — з погляду безпеки це вже публічна інформація.

На корпоративних машинах це належить до управління корпоративним ІТ. Пов’язаний крок — відновлення даних у Брно.

Коли BitLocker починає вимагати ключ відновлення

Синій екран із запитом на введення ключа сам собою не означає, що вас хтось атакував. У більшості випадків за ним стоїть щось цілком буденне: зміна в UEFI, оновлення прошивки, проблема з TPM, втручання в завантажувальні файли або апаратний ремонт. BitLocker зробив саме те, для чого призначений — помітив зміну на шляху до системи й заблокував.

Практичний порядок дій: перепишіть з екрана ідентифікатор ключа (короткий код над полем для введення) і за ним знайдіть відповідний запис в обліку. Не пробуйте ключі з інших ноутбуків і головне не видаляйте TPM «щоб воно запустилося» — очищення TPM без збереженого ключа є найшвидшим шляхом до назавжди недоступних даних.

І один урок для корпоративного адміністрування: якщо ключ ви шукаєте аж у момент аварії, це означає, що його збереження ніхто не перевірив під час передавання ноутбука.

Скільки це коштує і що має бути результатом

Ціна налаштування залежить від кількості ноутбуків, редакції Windows, стану TPM, способу зберігання ключів і від того, чи хочете централізоване керування. Конкретний обсяг і ціну можна визначити лише після вхідної перевірки редакцій, TPM, облікових записів, наявного шифрування та резервних копій: п’ять ноутбуків із Windows Home — це інша робота, ніж п’ять пристроїв, уже підключених до Microsoft Entra ID та Intune.

У пропозиції попросіть розписати окремо:

• можливе оновлення Windows до редакції Pro,
• налаштування одного пристрою,
• запровадження обліку та сховища ключів,
• конфігурацію Microsoft Entra ID або Intune,
• тест відновлення та передавальну документацію,
• керування подальшими ноутбуками й вилучення доступів при звільненні працівника.

Якісно виконану роботу впізнаєте за результатом, а не за рахунком: отримаєте перелік пристроїв, підтверджений стан шифрування в кожного з них, знайдені ключі відновлення, описані права та стислий порядок дій для втрати й відновлення. Якщо технік лише ввімкнув BitLocker і ключ залишив у працівника, компанія не вирішила нічого — тільки додала собі ще один спосіб утратити дані.

У Брні у вас або в нас у сервісі пройдемо редакції Windows, стан TPM, наявні облікові записи та спосіб резервного копіювання на всіх пристроях. Аж потім має сенс вирішувати, чи достатньо одноразового налаштування, чи варта централізована система керування через Intune.

Замовлення онлайн: Управління корпоративним ІТ — напишіть модель і що відбувається, ми відповімо з наступним кроком.