Porównaj 0
Koszyk0Koszyk
digitmedia.pl>

Zabezpieczenia Lenovo ThinkPad - jak laptop chroni dane firmowe?

TPM 2.0, ThinkShield, Windows Hello, Self-healing BIOS, Privacy Guard i zabezpieczenia dysku - wyjaśniamy, jak działają w laptopach biznesowych

Laptop służbowy często przechowuje znacznie więcej niż dokumenty i arkusze. Znajdują się na nim dane klientów, korespondencja, dokumentacja projektowa, dostęp do systemów firmowych, zapisane poświadczenia oraz informacje, których utrata lub przejęcie może być poważnym problemem dla organizacji.

Dlatego w laptopie biznesowym bezpieczeństwo nie powinno ograniczać się wyłącznie do hasła do systemu. W komputerach Lenovo ThinkPad stosowane są rozwiązania zabezpieczające urządzenie na kilku poziomach - od modułu TPM i uwierzytelniania biometrycznego, przez ochronę BIOS-u i dysku, aż po rozwiązania chroniące prywatność użytkownika podczas pracy w miejscach publicznych.

Lenovo grupuje wiele z tych technologii pod nazwą ThinkShield. Nie jest to pojedynczy program antywirusowy, lecz szersza architektura zabezpieczeń obejmująca między innymi sprzęt, firmware, system operacyjny, zarządzanie urządzeniami i bezpieczeństwo łańcucha dostaw. Dokładny zestaw funkcji zależy jednak od konkretnego ThinkPada i jego konfiguracji.

Zabezpieczenia Lenovo ThinkPad i ochrona danych firmowych

ThinkShield - bezpieczeństwo na kilku poziomach

ThinkShield należy traktować jako ekosystem zabezpieczeń, a nie jedną funkcję.

Lenovo opisuje ochronę w kilku obszarach - od zabezpieczenia urządzenia i jego komponentów jeszcze przed wdrożeniem w firmie, przez ochronę sprzętu i firmware znajdujących się poniżej systemu operacyjnego, aż po narzędzia działające na poziomie systemu i chmury. 

Dla użytkownika pojedynczego laptopa najbardziej widoczne będą takie elementy jak czytnik linii papilarnych, kamera IR, TPM, zasłona kamery czy Privacy Guard.

Dla działu IT równie ważne mogą być zabezpieczenia BIOS-u, możliwość zarządzania flotą urządzeń, Intel vPro Enterprise, zabezpieczenia firmware czy funkcje pomagające zweryfikować integralność urządzenia.

Właśnie dlatego laptop biznesowy może różnić się od zwykłego notebooka nawet wtedy, gdy oba mają ten sam procesor i podobną ilość pamięci RAM.

TPM 2.0 - sprzętowy fundament ochrony danych

Jednym z podstawowych elementów zabezpieczeń współczesnych ThinkPadów jest TPM 2.0.

TPM, czyli Trusted Platform Module, jest specjalizowanym układem przeznaczonym między innymi do bezpiecznego przechowywania kluczy kryptograficznych i wspierania funkcji związanych z uwierzytelnianiem oraz szyfrowaniem.

W biznesowych ThinkPadach można spotkać dyskretny TPM 2.0 zgodny z wymaganiami TCG. Przykładowo aktualny ThinkPad T14 Gen 7 wykorzystuje właśnie taki moduł. 

Co TPM daje w praktyce?

TPM może współpracować między innymi z BitLockerem w Windows 11 Pro.

Jeżeli firma szyfruje dysk systemowy, klucze mogą być chronione przy wykorzystaniu TPM. W przypadku kradzieży samego laptopa znacznie trudniej jest wtedy uzyskać dostęp do danych poprzez zwykłe wyjęcie dysku i podłączenie go do innego komputera.

Ważne jest jednak rozróżnienie dwóch rzeczy - obecność TPM nie oznacza automatycznie, że wszystkie dane użytkownika są zaszyfrowane. Polityka szyfrowania i konfiguracja systemu muszą zostać odpowiednio wdrożone.

Czytnik linii papilarnych - logowanie bez wpisywania hasła

W wielu ThinkPadach czytnik linii papilarnych jest zintegrowany z przyciskiem zasilania.

W nowszych konfiguracjach Lenovo stosuje rozwiązanie typu Match-on-Chip. Oznacza to, że proces związany z dopasowaniem danych biometrycznych odbywa się w zabezpieczonym układzie czytnika, zamiast opierać się wyłącznie na przetwarzaniu przez system operacyjny.

Przykładem jest dostępny ThinkPad T14 Gen 7 21WN0056PB, który posiada czytnik Match-on-Chip w przycisku zasilania, dyskretny TPM 2.0 oraz kamerę IR do Windows Hello. Model jest obecnie dostępny z wysyłką 24h.

Czytnik linii papilarnych nie zastępuje całej polityki bezpieczeństwa, ale może ułatwić korzystanie z silnego uwierzytelniania bez konieczności wielokrotnego wpisywania hasła w miejscach publicznych.

Windows Hello i kamera IR - logowanie twarzą

Zwykła kamera internetowa służy przede wszystkim do wideokonferencji.

Kamera IR może dodatkowo współpracować z Windows Hello i rozpoznawaniem twarzy.

Dzięki wykorzystaniu podczerwieni system nie opiera się wyłącznie na zwykłym zdjęciu twarzy. W odpowiedniej konfiguracji użytkownik może więc zalogować się do komputera bez wpisywania hasła.

Nowe ThinkPady, takie jak T14 Gen 7 czy X1 Carbon Gen 14, mogą być wyposażone w kamerę IR oraz dodatkowe czujniki wspierające funkcje bezpieczeństwa i wykrywania obecności użytkownika. 

Biometria nie oznacza rezygnacji z dobrego hasła

Czytnik linii papilarnych i Windows Hello zwiększają wygodę i mogą poprawiać bezpieczeństwo codziennego logowania.

Nie oznacza to jednak, że firma nie potrzebuje odpowiednich zasad dotyczących kont, haseł, uwierzytelniania wieloskładnikowego i dostępu do danych.

Bezpieczeństwo urządzenia powinno składać się z wielu warstw.

Human Presence Detection - laptop wie, kiedy odchodzisz

W wybranych ThinkPadach dostępne są funkcje wykrywania obecności użytkownika.

Computer Vision-based Human Presence Detection może wykorzystywać kamerę i odpowiednie czujniki do rozpoznawania, czy użytkownik znajduje się przed komputerem.

W praktyce może to umożliwiać automatyczne blokowanie laptopa po odejściu od stanowiska oraz przygotowanie go do ponownej pracy po powrocie.

Aktualne konfiguracje T14 Gen 7 mogą oferować tę funkcję razem z kamerą IR. Przykładowo dostępny model 21WN009CPB posiada Human Presence Detection, czytnik linii papilarnych i kamerę 5 MP + IR. 

Takie rozwiązanie jest szczególnie przydatne w biurach typu open space, salach konferencyjnych oraz podczas pracy hybrydowej.

Privacy Guard - kiedy ktoś siedzi obok Ciebie

Nie każde zagrożenie pochodzi z internetu.

Poufne dane mogą zostać podejrzane przez osobę siedzącą obok pracownika w pociągu, samolocie, kawiarni czy przestrzeni coworkingowej.

Do ograniczenia tego problemu Lenovo stosuje w wybranych ekranach ThinkPad Privacy Guard.

Technologia ogranicza czytelność obrazu przy patrzeniu na ekran pod większym kątem, utrudniając przypadkowym osobom odczytanie zawartości wyświetlacza.

Dobrym przykładem aktualnego modelu jest ThinkPad X1 Carbon Gen 14 21V7006WPB z ekranem IPS 500 nitów wyposażonym w Privacy Guard. Laptop jest obecnie dostępny z wysyłką 24h. 

Privacy Alert- dodatkowa ochrona przed podglądaniem

W wybranych konfiguracjach Lenovo może również stosować Privacy Alert.

Funkcja wykorzystuje kamerę lub system wykrywania obecności do rozpoznania, że za użytkownikiem znajduje się inna osoba mogąca patrzeć na ekran.

Nie jest to funkcja dostępna w każdej konfiguracji, dlatego przy zakupie laptopa dla pracowników często podróżujących warto dokładnie sprawdzić specyfikację konkretnego numeru produktu.

ThinkPad Privacy Guard ochrona ekranu przed podglądaniem

Fizyczna zasłona kamery - proste zabezpieczenie nadal ma sens

Jednym z najprostszych zabezpieczeń w ThinkPadach jest fizyczna przesłona kamery.

Jej zaleta jest oczywista - po zamknięciu użytkownik fizycznie zasłania obiektyw, dlatego nie musi polegać wyłącznie na ustawieniu systemowym lub kontrolce aktywności kamery.

W środowisku firmowym jest to niewielki element, który może znacząco poprawić komfort użytkownika.

Aktualne T14 Gen 7 i X1 Carbon Gen 14 są dostępne w konfiguracjach posiadających kamery IR z fizyczną zasłoną prywatności. 

Self-healing BIOS - zabezpieczenie poniżej systemu Windows

Antywirus i zabezpieczenia Windows działają głównie na poziomie systemu operacyjnego.

Atak lub uszkodzenie firmware może jednak znajdować się niżej.

Dlatego Lenovo stosuje w biznesowych ThinkPadach mechanizmy zabezpieczeń BIOS-u, w tym Self-healing BIOS.

Lenovo opisuje samonaprawiający się BIOS jako element ochrony urządzeń komercyjnych, który pomaga przywrócić zaufany stan firmware po wykryciu problemów z jego integralnością. 

W aktualnym T14 Gen 7 zestaw zabezpieczeń BIOS może obejmować między innymi:

Dokładna dostępność może zależeć od konfiguracji oraz wersji firmware. 

Hasło BIOS i Supervisor - po co, skoro Windows ma hasło?

Hasło do Windows zabezpiecza konto użytkownika.

Hasło Supervisor w BIOS może natomiast ograniczać możliwość zmiany kluczowych ustawień sprzętowych.

W środowisku korporacyjnym może to być istotne, ponieważ użytkownik nie powinien zawsze mieć możliwości samodzielnego wyłączania zabezpieczeń, zmiany kolejności bootowania czy modyfikowania ustawień istotnych dla polityki IT.

Administrator może więc chronić nie tylko system, ale również konfigurację urządzenia znajdującą się poniżej Windows.

FIDO - krok w stronę logowania bez haseł

Nowsze ThinkPady mogą również wspierać standard FIDO.

FIDO jest związane z silnym uwierzytelnianiem i rozwiązaniami passwordless, które ograniczają zależność od tradycyjnych haseł.

Ma to znaczenie, ponieważ hasło jest jednym z najczęściej atakowanych elementów zabezpieczeń użytkownika.

Dzięki połączeniu urządzenia zgodnego z FIDO, biometrii i odpowiednio skonfigurowanych usług firmowych możliwe jest wdrażanie bardziej odpornych metod logowania.

Nie oznacza to jednak, że zakup ThinkPada automatycznie uruchamia w firmie pełne passwordless. Wymaga to odpowiedniej konfiguracji infrastruktury i usług tożsamości.

Dyski SSD Opal 2.0 - zabezpieczenie danych na nośniku

W niektórych ThinkPadach dostępne są dyski SSD zgodne z TCG Opal 2.0.

Standard ten jest związany ze sprzętowymi mechanizmami szyfrowania i zarządzania dostępem do danych na dysku.

Przykładowo aktualny T14 Gen 7 21WN0056PB wykorzystuje dysk SSD z obsługą Opal 2.0. 

W środowisku firmowym może być to dodatkowa warstwa ochrony, szczególnie gdy jest odpowiednio wykorzystana przez politykę bezpieczeństwa organizacji.

Ponownie - sama obecność dysku Opal nie oznacza automatycznie, że wszystkie funkcje szyfrowania są skonfigurowane i aktywne.

Smart Card Reader - nadal ważny w wielu organizacjach

Czytnik Smart Card może wydawać się mało istotny użytkownikowi domowemu, ale w korporacjach, administracji, finansach czy środowiskach o podwyższonych wymaganiach bezpieczeństwa nadal jest bardzo praktyczny.

Karta może być używana jako element uwierzytelniania użytkownika i kontroli dostępu.

T14 Gen 7 jest dostępny w konfiguracjach z opcjonalnym czytnikiem Smart Card zgodnym z ISO 7816 i EMV. Nie każdy egzemplarz posiada jednak ten element. 

Jeżeli Smart Card jest wymagana przez firmowy system bezpieczeństwa, trzeba sprawdzić konkretny numer P/N, a nie tylko nazwę "ThinkPad T14 Gen 7".

Kensington Nano Security Slot - ochrona przed fizyczną kradzieżą

Cyberbezpieczeństwo jest bardzo ważne, ale laptop nadal można po prostu zabrać z biurka.

Dlatego wiele ThinkPadów biznesowych posiada gniazdo Kensington Nano Security Slot.

Po zastosowaniu odpowiedniej linki zabezpieczającej można fizycznie przymocować komputer do stanowiska.

Ma to sens szczególnie w:

T14 Gen 7 posiada Kensington Nano Security Slot 2,5 x 6 mm. 

Intel vPro Enterprise - bezpieczeństwo i zarządzanie flotą

W wybranych ThinkPadach z procesorami Intel dostępne jest Intel vPro Enterprise.

Jego znaczenie rośnie wraz z liczbą komputerów w organizacji.

Dla zwykłego użytkownika możliwość zarządzania setkami urządzeń może być całkowicie nieistotna. Dla działu IT odpowiedzialnego za flotę 50, 500 czy 5000 laptopów sytuacja wygląda zupełnie inaczej.

Wybrane konfiguracje T14 Gen 7 są dostępne z vPro Enterprise, natomiast inne są oznaczone jako Non-vPro. 

Dlatego przy zakupach flotowych trzeba zwracać uwagę nie tylko na nazwę procesora, ale również na konkretny wariant platformy.

AMD i DASH - zarządzanie nie jest zarezerwowane dla Intela

W ThinkPadach opartych na platformie AMD można spotkać obsługę DASH.

DASH jest standardem związanym z zarządzaniem systemami i może być wykorzystywany przez organizacje do zarządzania flotą komputerów.

Aktualny ThinkPad T14 Gen 7 AMD obsługuje DASH, a jednocześnie może oferować TPM 2.0, czytnik linii papilarnych, Smart Card, kamerę IR, Privacy Guard i Self-healing BIOS zależnie od konfiguracji. 

Oznacza to, że zaawansowane zabezpieczenia biznesowe nie są zarezerwowane wyłącznie dla ThinkPadów z procesorem Intel.

ThinkShield chroni również poniżej systemu operacyjnego

Jednym z ważniejszych elementów podejścia Lenovo jest ochrona obszarów, których zwykły antywirus może nie kontrolować.

ThinkShield obejmuje rozwiązania dotyczące integralności firmware, urządzeń sprzętowych i bezpieczeństwa przed uruchomieniem systemu operacyjnego.

Lenovo rozwija również Firmware Assurance, którego zadaniem jest zwiększenie widoczności zagrożeń dotyczących firmware i integralności urządzeń. 

Dla firmy oznacza to, że bezpieczeństwo endpointu może zaczynać się wcześniej niż na ekranie logowania Windows.

Ochrona łańcucha dostaw - bezpieczeństwo zaczyna się przed uruchomieniem laptopa

W przypadku przedsiębiorstw kupujących dużą liczbę komputerów bezpieczeństwo zaczyna się jeszcze przed dostarczeniem sprzętu pracownikowi.

Lenovo rozwija ThinkShield Supply Chain Assurance i Build Assure, które mają umożliwiać organizacjom weryfikowanie integralności urządzeń oraz informacji o kluczowych komponentach podczas drogi od produkcji do wdrożenia.

Jest to bardziej zaawansowany poziom bezpieczeństwa niż funkcje potrzebne przeciętnemu użytkownikowi jednego laptopa.

Ma jednak znaczenie dla dużych przedsiębiorstw, administracji, instytucji i organizacji wymagających kontroli pochodzenia i integralności urządzeń.

Czy ThinkPad jest odporny na wirusy i ransomware?

Nie istnieje laptop, który samym sprzętem zapewni pełną ochronę przed wszystkimi cyberatakami.

ThinkShield, TPM, Self-healing BIOS czy biometria tworzą dodatkowe warstwy zabezpieczeń, ale nadal potrzebne są:

Największy sens ThinkShield ma więc jako część szerszej polityki bezpieczeństwa firmy.

ThinkPad podczas pracy w podróży - jakie zabezpieczenia są szczególnie przydatne?

Pracownik mobilny jest narażony na trochę inne ryzyka niż osoba pracująca cały czas przy jednym biurku.

Podczas pracy w pociągu, hotelu, na lotnisku czy u klienta szczególnie przydatne mogą być:

Wbudowany modem 4G lub 5G może również zmniejszyć potrzebę ciągłego korzystania z przypadkowych publicznych sieci Wi-Fi, choć sama sieć komórkowa nie zastępuje VPN, szyfrowania i odpowiedniej polityki bezpieczeństwa.

Bezpieczna praca mobilna na laptopie Lenovo ThinkPad

T14 Gen 7 - przykład biznesowego ThinkPada z zabezpieczeniami

ThinkPad T14 Gen 7 dobrze pokazuje podejście Lenovo do bezpieczeństwa laptopa biznesowego.

W zależności od konfiguracji może oferować:

Nie wszystkie te funkcje znajdują się jednak w każdym T14 Gen 7. Lenovo oferuje wiele konfiguracji, dlatego funkcje bezpieczeństwa trzeba sprawdzać dla konkretnego numeru produktu.

X1 Carbon Gen 14 - bezpieczeństwo dla użytkownika mobilnego

ThinkPad X1 Carbon Gen 14 jest interesujący szczególnie dla osób pracujących poza biurem.

Aktualny wariant 21V7006WPB łączy TPM 2.0, czytnik linii papilarnych, kamerę IR, Human Presence Detection, Self-healing BIOS oraz ekran ThinkPad Privacy Guard. 

To dobry przykład sytuacji, w której zabezpieczenia dotyczą nie tylko danych znajdujących się wewnątrz komputera, ale również informacji wyświetlanych na ekranie.

Jakie zabezpieczenia ThinkPada są najważniejsze dla małej firmy?

Mała firma nie musi od razu wdrażać wszystkich rozwiązań klasy enterprise.

Dobrym punktem wyjścia będzie laptop wyposażony w:

Następnie warto poprawnie skonfigurować BitLocker, MFA, aktualizacje oraz kopie zapasowe.

Jeżeli pracownicy często podróżują, warto dodatkowo rozważyć Privacy Guard oraz 4G lub 5G.

A jakie zabezpieczenia są ważne w dużej organizacji?

W większej firmie dochodzą kolejne wymagania.

Znaczenia nabierają:

Przy zakupach flotowych warto więc wybierać konkretne konfiguracje laptopów, zamiast zakładać, że wszystkie modele tej samej serii mają identyczne wyposażenie.

Czy zabezpieczenia ThinkPad wystarczą bez dobrej konfiguracji?

Nie.

Nawet laptop posiadający wiele funkcji bezpieczeństwa może być źle chroniony, jeśli użytkownik pracuje na koncie z nadmiernymi uprawnieniami, nie aktualizuje systemu, wyłącza szyfrowanie albo korzysta z łatwego hasła bez MFA.

Sprzęt daje administratorowi narzędzia.

Dopiero odpowiednia konfiguracja systemu i procedury firmy powodują, że możliwości te rzeczywiście chronią dane.

To jeden z najważniejszych powodów, dla których podczas zakupu laptopa biznesowego warto patrzeć na zabezpieczenia jako cały system, a nie tylko listę funkcji w specyfikacji.

Zabezpieczenia Lenovo ThinkPad - jak laptop chroni dane firmowe?

Lenovo ThinkPad wykorzystuje kilka warstw zabezpieczeń działających na różnych poziomach.

TPM 2.0 pomaga chronić klucze kryptograficzne. Windows Hello i czytnik Match-on-Chip zabezpieczają dostęp użytkownika. Self-healing BIOS i zabezpieczenia firmware chronią komputer poniżej systemu operacyjnego. Privacy Guard ogranicza możliwość podglądania ekranu, a Smart Card, Intel vPro czy DASH pomagają wdrażać urządzenia w środowisku korporacyjnym.

Najważniejsze jest jednak to, że żadnej z tych technologii nie należy traktować jako pojedynczego rozwiązania wszystkich problemów.

Najwyższy poziom bezpieczeństwa uzyskuje się wtedy, gdy sprzętowe zabezpieczenia ThinkPada współpracują z szyfrowaniem, MFA, aktualnym systemem, ochroną endpointów i odpowiednią polityką dostępu do danych.

Dla firmy oznacza to, że przy wyborze laptopa warto patrzeć nie tylko na procesor, pamięć RAM i ekran. Zabezpieczenia powinny być jednym z podstawowych parametrów konfiguracji urządzenia służbowego.

Sprawdź biznesowe laptopy Lenovo ThinkPad

Wybierając komputer do pracy z poufnymi danymi, warto porównać dokładne wyposażenie konkretnych konfiguracji - czytnik linii papilarnych, kamerę IR, TPM, Smart Card, Privacy Guard, vPro oraz rodzaj zastosowanego dysku.