Dækningen påvises enhed for enhed: en liste over alle fysiske klienter med krypteringsstatus for hvert drev og en markering af, hvor gendannelsesnøglen ligger. En politik, der kræver kryptering, er ikke beviset. Beviset er status fra maskinerne selv, afstemt mod listen over de maskiner, I ejer.
Kontrollen har to halvdele. Er disken krypteret? Og kan I selv låse den op, når en medarbejder har glemt koden, uden at alle i driften kan gøre det samme?
Målestokken
De tekniske minimumskrav til statslige myndigheder har et krav om netop dette. Krav 3 er opfyldt, når der er aktiveret fuld diskkryptering af det lokale faste lager, typisk med styresystemets indbyggede funktion. Vejledningen fra september 2025 siger, at kravet ikke gælder virtuelle klienter. Kravene binder statslige myndigheder. I en privat virksomhed kan de bruges som en dansk målestok med dato.
SAMSIK anbefaler i vejledningen om ransomware, at data på klienter og mobile enheder krypteres. Det er en af vejledningens elleve tekniske anbefalinger.
Bilaget til gennemførelsesforordning (EU) 2024/2690 kræver kryptering af data i hvile efter klassifikation, punkt 9.2, litra a, og nævner kryptering ved flytbare medier i punkt 12.3.2, litra d. Bilaget gælder kun bestemte digitale tjenesteudbydere, fx cloud- og datacentertjenester og administrerede tjenester. At andre bruger det som målestok, er en tolkning.
Først listen, så status
Den svære del er sjældent krypteringen. Den svære del er at vide, hvilke maskiner der skal være med. Det er almindelig praksis at tage udgangspunkt i den systemliste, I allerede har, og at afstemme den mod styringsværktøjet, kataloget og indkøbslisten. Maskiner, der står ét sted og ikke et andet, er de første, der skal undersøges.
Statens krav gælder fysiske klienter. Virtuelle skriveborde og terminalservere falder uden for kravet. Når listen deles i fysiske og virtuelle maskiner fra starten, undgår I at måle noget, der ikke skal måles, og overse det, der skal.
Typiske huller er maskiner, der sjældent er på nettet, lånemaskiner på et lager, maskiner til mødelokaler og ældre bærbare, der er sat til side, men stadig har data. Om de skal med, afgør I. Gennemgangen viser, at de er overvejet.
Status fra maskinerne
På Windows viser kommandoen manage-bde -status for hvert drev, om det er beskyttet af BitLocker, hvor langt konverteringen er nået, og hvor stor en del der er krypteret. Det er et godt bevis på en enkelt maskine. For hele flåden er rapporten fra styringsværktøjet mere praktisk. Den skal vise status pr. enhed og pr. drev og have et tidspunkt.
To afvigelser er værd at kende. En maskine kan være i gang med at kryptere og stå som delvist krypteret i lang tid. Og beskyttelsen kan være sat på pause, fx efter en opdatering, uden at blive slået til igen. Begge dele ses i status pr. drev, og ingen af dem ses, hvis rapporten kun siger ja eller nej pr. maskine.
Andre styresystemer har deres egne indbyggede funktioner til diskkryptering. Statens krav gælder uanset styresystem, og det samme bør gennemgangen. Hvordan status trækkes, afhænger af platformen og af styringsværktøjet.
Gendannelsesnøglerne
Microsoft beskriver gendannelsespasswordet til BitLocker som en kode på 48 cifre. Den kan gemmes i Entra ID eller i Active Directory. Microsoft gør opmærksom på, at den, der har koden, kan låse drevet op og læse alle data. Adgangen til gendannelseskoderne skal derfor styres, og de skal opbevares adskilt fra enhederne.
Microsoft beskriver også en politik, der forhindrer, at krypteringen slås til, før gendannelsesoplysningerne er gemt i Active Directory. Den lukker et kendt hul: krypterede maskiner, som ingen kan låse op.
Kontrollen af nøglerne har tre spørgsmål:
- Er der en gemt nøgle for hver krypteret enhed?
- Hvem kan læse nøglerne, og er den gruppe så lille, som den bør være?
- Bliver opslag af nøgler logget, så et opslag kan føres tilbage til en sag?
Svaret på det andet spørgsmål ligger i rettighederne i katalog eller lejer og hører til i opgørelsen af administrative rettigheder. Kontrolpunktet er beskrevet i administratorrettigheder på tværs.
Udtrækket
Et brugbart udtræk er en tabel med en række pr. enhed: navn, type (fysisk eller virtuel), styresystem, krypteringsstatus pr. drev, tidspunkt for seneste status og om der er en gemt gendannelsesnøgle. Når tabellen lægges ved siden af systemlisten, er dækningen målt. De maskiner, der mangler, skal have en forklaring.
En gennemgang kan derudover tage manage-bde -status på et par udvalgte maskiner for at se, at rapporten og maskinen siger det samme.
Hvad det kræver, og hvad det koster at lade være
Det kræver en systemliste, der er til at stole på, en rapport fra styringsværktøjet og adgang til at se, hvor gendannelsesnøglerne ligger. Det kan driften selv trække, og det er ofte den hurtigste kontrol at rette, fordi de fleste maskiner allerede er krypteret.
Den bærbare, der mangler, er den, der bliver glemt i toget. Uden opgørelsen ved I ikke, om det var en af dem. Og gendannelseskoder, som mange kan læse, gør krypteringen svagere, end rapporten viser.
Det skal I lade være med
- At måle dækningen på de maskiner, styringsværktøjet kender · afstem mod systemlisten.
- At læse ja eller nej pr. maskine · status pr. drev viser delvis kryptering og pauser.
- At lade alle i driften kunne læse gendannelseskoderne · giv adgangen til en lille gruppe, og log opslag.
Det skal gennemgangen kunne vise
- ☐ En dateret liste over fysiske klienter med krypteringsstatus pr. drev.
- ☐ Afstemning mod systemlisten med forklaring på hver maskine, der mangler.
- ☐ En gemt gendannelsesnøgle for hver krypteret enhed.
- ☐ Hvem der kan læse gendannelsesnøglerne, og hvordan opslag logges.
Kilder
- De tekniske minimumskrav for statslige myndigheder, opdateret september 2025, krav 3, læst 13. november 2026.
- Vejledning til de tekniske minimumskrav (september 2025), afsnit 3.1, læst 13. november 2026.
- Microsoft Learn, BitLocker recovery overview og manage-bde status, læst 13. november 2026.
- SAMSIK (Center for Cybersikkerhed), Reducer risikoen for ransomware (april 2023), side 8, læst 13. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, bilaget, punkt 9.2 og 12.3.2, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Træk krypteringsstatus pr. drev for alle fysiske klienter, og læg listen ved siden af systemlisten.
Læs også: Systemlisten bygget fra systemerne selv · Mobiltelefoner og tablets
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
