Kontrollen har tre spørgsmål. Er tilslutning af flytbare medier begrænset teknisk, eller er der kun en regel i personalehåndbogen? Er automatisk afspilning og kørsel fra mediet slået fra? Og bliver mediet scannet, før det bruges?
Bilaget til forordning 2024/2690 stiller netop de tre spørgsmål, og det gør det usædvanligt konkret. Derfor er punktet nemt at bruge som målestok.
Hvad bilaget siger
Bilaget til gennemførelsesforordning (EU) 2024/2690 har i punkt 12.3.2 fire krav til politikken for flytbare medier:
- a) et teknisk forbud mod at tilslutte mobile medier, hvis der ikke er en organisatorisk grund til det,
- b) bestemmelser om at deaktivere automatisk kørsel og om at scanne medierne for skadelig kode, inden de bruges,
- c) kontrol og beskyttelse af bærbare lagringsenheder med data under transport og opbevaring,
- d) hvor det er relevant, kryptering.
Forordningen gælder for bestemte digitale tjenesteudbydere, blandt andet DNS-tjenester, cloudcomputing, datacentre og administrerede tjenester. Uden for den kreds er punktet en målestok, og at bruge den er en tolkning. Bilagets artikel 2, stk. 2, siger, at kravene anvendes i forhold til risiciene, og at en enhed, der fravælger et krav med “hvor det er relevant”, skal dokumentere hvorfor.
Læg mærke til ordet “teknisk” i litra a. En skriftlig regel om, at medarbejderne ikke må bruge USB-nøgler, opfylder ikke punktet. Et forbud, der håndhæves af maskinen, gør.
SAMSIK anbefaler i vejledningen om ransomware, at medarbejderne uddannes i, hvordan de håndterer modtagne USB-nøgler. Det er et organisatorisk supplement til de tekniske kontroller.
Teknisk begrænsning
Gennemgangen læser den politik, der styrer flytbare lagringsenheder på klienterne. Spørgsmålene er:
- Er tilslutning blokeret, kun tilladt til læsning, eller helt åben?
- Hvem er undtaget, og hvorfor?
- Gælder politikken alle maskiner, også servere og maskiner i produktionen?
Hvor indstillingerne ligger, afhænger af styresystem og styringsværktøj. Vi har ikke læst producentens dokumentation for de konkrete indstillinger i denne runde og nævner dem derfor ikke ved navn. Driften kender dem og kan trække dem.
Undtagelser er almindelige, fx for afdelinger, der modtager filer fra kunder på nøgler, eller teknikere, der opdaterer udstyr. Bilaget tillader undtagelser med organisatorisk begrundelse. Et fund er en undtagelse uden begrundelse eller en undtagelse, der gælder alle.
Automatisk kørsel
Det andet kontrolpunkt er, om maskinen starter noget af sig selv, når et medie tilsluttes. Gennemgangen læser indstillingen i den effektive politik og kontrollerer den på et par maskiner. Står den forskelligt på to maskiner af samme type, er det et tegn på, at politikken ikke rammer alle.
Scanning før brug
Det tredje kontrolpunkt er, om medier bliver scannet, før de bruges. Det kan ske automatisk via endpoint-beskyttelsen ved tilslutning eller på en særlig maskine, der kun bruges til at modtage medier udefra. Kontrollen er, at der er en beskrevet vej, og at den bliver brugt. Bevis kan være indstillingen i endpoint-beskyttelsens politik eller loggen fra en modtagemaskine.
Hvordan endpoint-beskyttelsens dækning og undtagelser læses, står i endpoint-beskyttelse.
Medier med data
Litra c og d handler om data, der flytter sig på bærbare lagringsenheder. Spørgsmålene er, om der er godkendte enheder, om de er krypteret, og om I ved, hvor de er. Kryptering af faste diske i bærbare er beskrevet i diskkryptering på bærbare. For flytbare medier er kontrollen den samme: krypteringsstatus pr. enhed og et bevis for, hvem der har dem.
Andre veje ind ad samme dør
USB-nøgler er det kendte eksempel, men samme kontrol rammer andre medier. Det kan være eksterne diske, hukommelseskort i kameraer og telefoner, der tilsluttes som lagringsenhed. En politik, der kun nævner én type, kan lade de andre stå åbne. Gennemgangen læser derfor, hvilke enhedstyper politikken dækker.
Udstyr i produktionen er et særligt tilfælde. Her bruges medier ofte til at flytte opdateringer og programmer til maskiner uden netforbindelse. Det er en organisatorisk begrundelse i bilagets forstand, men den forudsætter en fast vej for scanning, før mediet sættes i maskinen.
Udtrækket
Et brugbart grundlag er den politik, der styrer flytbare medier og automatisk kørsel, med de grupper den rammer, listen over undtagelser med begrundelse og de effektive indstillinger på et lille udvalg af maskiner. Hertil kommer indstillingen for scanning ved tilslutning. Alt kan trækkes af driften uden at sætte et medie i en maskine.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at politikken findes, og at undtagelserne er skrevet ned. En stramning rammer de brugere, der arbejder med medier, så den skal varsles og have en vej for dem, der har et reelt behov.
Uden teknisk begrænsning er reglen kun så stærk som den enkelte medarbejders vurdering i et travlt øjeblik. Et ukendt medie i en maskine med automatisk kørsel er en kort vej ind.
Det skal I lade være med
- At regne en regel i personalehåndbogen for et teknisk forbud · bilaget kræver begrænsningen i maskinen.
- At undtage hele afdelinger uden begrundelse · undtag de maskiner og personer, der har behovet.
- At glemme servere og maskiner i produktionen · politikken skal også ramme dem.
Det skal gennemgangen kunne vise
- ☐ Politikken for flytbare medier med de grupper, den rammer.
- ☐ Indstillingen for automatisk kørsel i den effektive politik.
- ☐ En beskrevet vej for scanning før brug.
- ☐ Undtagelser med begrundelse og godkender.
- ☐ Krypteringsstatus for bærbare lagringsenheder med data.
Kilder
- Gennemførelsesforordning (EU) 2024/2690, artikel 2 og bilaget, punkt 12.3.2, læst 13. november 2026.
- SAMSIK (Center for Cybersikkerhed), Reducer risikoen for ransomware (april 2023), side 9, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Træk den politik, der styrer flytbare medier, og skriv begrundelsen ved hver undtagelse.
Læs også: Den effektive indstilling og den tiltænkte · Undtagelseslisten
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
