Hva er e-postkryptering?
E-postkryptering skjuler innholdet i meldingene for å hindre at uvedkommende fanger opp sensitiv informasjon.
E-postkryptering definert
E-postkryptering er et sikkerhetstiltak som koder en e-postmelding, slik at bare de tiltenkte mottakerne kan lese den. Kryptering, eller skjuling, av e-poster er en prosess designet for å hindre at nettkriminelle, spesielt identitetstyver, får tak i verdifull informasjon som de kan bruke for økonomisk gevinst.
Det er vanlig å bruke e-post for å sende sensitiv eller konfidensiell informasjon som kan utnyttes av tyver. Når en e-post overføres til mottakeren kan den fanges opp av ondsinnede aktører som leter etter data som:
- Navn, adresser og annen personlig identifiserbar informasjon (PII).
- Kontonumre og andre data.
- Kunde- eller ansattinformasjon.
- Påloggingsinformasjon.
- Juridiske kontrakter.
- Immaterielle rettigheter.
- Helseinformasjon.
Bruk av kryptering for e-postsikkerhet sikrer at bare den autoriserte mottakeren kan dekode og bruke meldinger som inneholder sensitiv informasjon. Hvis en uvedkommende aktør skulle fange opp en kryptert melding, ville de bare finne rotete, uleselig tekst når de åpnet den. E-postkryptering er en viktig måte å beskytte dataene på, fordi det å få tilgang til konfidensiell informasjon via e-post er en primær taktikk for nettkriminelle.
Slik fungerer e-postkryptering
Grunnleggende e-postkryptering innebærer en utveksling av krypteringsnøkler som genereres av matematiske algoritmer som kalles enveisfunksjoner. Hver kodede kommunikasjon bruker en sammenkoblet offentlig nøkkel, tilgjengelig for alle på Internett, og en privatnøkkel som bare er kjent for mottakeren. Denne typen e-postkrypteringssystem kalles infrastruktur for fellesnøkkel eller PKI.
I en PKI-modell fungerer en kryptert e-postsending vanligvis slik:
- En melding sendes ved hjelp av en fellesnøkkel, som transformerer innholdet fra et lesbart format, eller ren tekst, til et forvrengt format eller chiffrert tekst.
- Meldingen forblir i chiffrert tekst mens den er under overføring fra server til server over Internett.
- Når e-postmeldingen kommer til målet, dekrypterer den tiltenkte mottakeren chiffrerte e-posten tilbake til ren tekst ved hjelp av en unik privatnøkkel.
Mottakerens maskin vil bruke privatnøkkelen til å dekryptere meldingen, med mindre mottakeren bruker en e-postkrypteringstjeneste i foretaksklassen. I så fall kan en sentral server dekryptere meldingen på vegne av mottakeren etter å ha validert identiteten.
E-postkryptering i seg selv hindrer ikke ondsinnede parter i å fange opp meldinger. Uten privatnøkkelen vil imidlertid dataene inni vises som rotete og uleselige for den uautoriserte personen.
Det er mulig å ha flere lag med kryptering på plass samtidig. Hvis du for eksempel krypterer kommunikasjonskanalene der e-postene sendes gi enda bedre beskyttelse enn bare e-postkryptering.
Fordelene ved å bruke e-postkryptering
E-post er en så vanlig måte å kommunisere på at det er enkelt å glemme hvor utrolig sårbart det er. Hackere som overvåker eller stjeler personlig identifiserbar informasjon fra e-posttrafikken, kan ikke bare få tilgang til informasjon relatert til bedriften og ansatte, men også til kundedata.
E-postkrypteringstjenester kan blokkere en betydelig mulighet for angrep for nettkriminelle og beskytte personvernet til de som har gitt deg sensitiv informasjon. Hvis du unngår sikkerhetsbrudd og bygger kundeklarering, beskyttes både bunnlinjen og omdømmet ditt.
Bruk av e-postkryptering vil også holde deg i samsvar med juridiske og bransjemessige bestemmelser. Retningslinjer for forskriftssamsvar varierer basert på hvor i verden bedriften opererer. Men uansett hvilken bransje du er i eller hvor du driver virksomheten, vil du sannsynligvis håndtere en kombinasjon av personlig identifiserbar informasjon, økonomiske data, transaksjonsdata eller til og med sensitiv pasienthelseinformasjon som er regulert. Beskyttelse av disse dataene er lovpålagt i mange land, basert på gjeldende personvernforskrifter. Og mange retningslinjer for forskriftssamsvar krever at e-postmeldinger som inneholder sensitive data, krypteres.
En annen måte e-postkryptering kan beskytte deg på, er at det hjelper ansatte med å identifisere hvilke e-postmeldinger som er ekte, og hvilke som er phishing- eller søppelpost. En e-postkrypteringstjeneste som inkluderer digital signering, gir et ekstra lag med bevis på at en e-post kommer fra en ekte avsender, noe som reduserer risikoen for at systemet blir infisert gjennom rutinemessig kommunikasjon mellom ansatte.
Typer e-postkryptering
Det finnes flere ulike protokoller som e-postkrypteringstjenester kan bruke til å beskytte sensitiv informasjon under overføring.
Pretty Good Privacy (PGP)
PGP har eksistert siden 1990-tallet og var den første gratis krypteringsprogramvaren som var tilgjengelig. Den bruker både asymmetrisk kryptografi eller offentlige/private nøkkelpar, og symmetrisk kryptografi, der den samme nøkkelen brukes for både kryptering og dekryptering. Den bruker også hashing og datakomprimering for å oppnå et krypteringsnivå som er sikrere enn det navnet «pretty good» foreslår. Den største ulempen er at det ikke alltid er enkelt å bruke.
Secure Sockets Layer (SSL)
Secure Sockets Layer er en krypteringsprotokoll som først ble utviklet i 1995. Det er den foregående av den moderne Transport Layer Security (TLS)-krypteringen som brukes i dag. Secure Sockets Layer starter en godkjenningsprosess kalt et håndtrykk mellom to kommunikasjonsenheter for å sikre identitetene deres. Secure Sockets Layer signerer også data digitalt for å levere dataintegritet, noe som bekrefter at de ikke har blitt tuklet med under overføring. Det var flere iterasjoner av Secure Sockets Layer gjennom årene før den ble oppdatert til å bli Transport Layer Security.
Transport Layer Security
Transport Layer Security er en utbredt sikkerhetsprotokoll for e-postkryptering. Det ble opprinnelig foreslått av Internet Engineering Task Force, en internasjonal standardorganisasjon. Bygd på Secure Sockets Layer, er det en oppdatert versjon som gir mer omfattende beskyttelse mot avlytting, manipulasjon og forfalskning av meldinger. Noen Transport Layer Security-baserte krypteringstjenester inkluderer STARTTLS, en kommando som sendes mellom et e-postprogram og en server som krypterer e-poster under overføring og dekrypterer dem ved ankomst. Dette betyr at mottakeren ikke trenger å utføre noen spesiell handling for å lese meldingen.
Advanced Encryption Standard (AES)
Advanced Encryption Standard er en symmetrisk krypteringsprotokoll som myndighetene i USA og andre myndigheter bruker til å beskytte klassifisert informasjon. Det er også den valgte krypteringsmetoden for finansinstitusjoner. Krypteringsnøklene er eksepsjonelt lange, noe som gjør dem vanskelige å hacke. Advanced Encryption Standard er komplisert å bruke, men den riktige e-postkrypteringstjenesten kan gjøre mesteparten av arbeidet for deg. Det er en av verdens mest brukte gratis krypteringsprogramvarer med åpen kildekode.
Secure/Multipurpose Internet Mail Extensions
Secure/Multipurpose Internet Mail Extensions (S/MIME) er en sertifikatbasert krypteringsløsning som lar deg både kryptere og signere en melding digitalt. Hvis du vil bruke S/MIME, må du ha fellesnøkler på fil for hver mottaker. Mottakerne må vedlikeholde sine egne privatnøkler, som må være sikre. Hvis en mottakers privatnøkler blir kompromittert, må mottakeren få en ny privatnøkkel og videredistribuere offentlige nøkler til alle potensielle avsendere.
Velge en e-postkrypteringstjeneste
Når du velger en e-postkrypteringstjeneste, bør du vurdere de bredere behovene for cybersikkerhet, kravene til forskriftssamsvar i bransjen og størrelsen på organisasjonen. De ansatte kan bare håndtere sensitiv informasjon noen ganger om dagen – eller kanskje alle e-postmeldingene er svært sensitive og underlagt komplekse regler.
Se først på de tilgjengelige funksjonene i e-postplattformene du allerede bruker. Du kan ha et bestemt krypteringsnivå tilgjengelig som standard, og det kan bare ta en kort abonnementsoppgradering eller et programtillegg for å oppfylle eller overskride personvernkravene. Å bygge på verktøy som allerede er kjent for de ansatte har fordelen av å redusere behovene for opplæring.
For det andre bør du vurdere brukervennlighet. Prøv å finne en kostnadseffektiv måte å kryptere e-postmeldinger på, som ikke innebærer at ansatte logger på en portal for å lese krypterte meldinger eller følge kompliserte trinn for å legge ved filer i en e-postmelding.
Til slutt bør du vurdere størrelsen på firmaet. Større organisasjoner betjenes best av en krypteringsløsning på bedriftsnivå som gir ende-til-ende-e-postbeskyttelse. Kommunikasjon, samarbeid og sikkerhetsplattformer i foretaksklassen har noen ganger avansert meldingskryptering inkludert. Disse typene løsninger kan automatisere mye av krypteringsprosessen for både administratorer og brukere.
Noen løsninger i foretaksklassen kan styrke sikkerheten til e-post ved åautomatisk kryptere sensitive e-postmeldinger. De kan også sende og be om digitale signaturer for å bekrefte identiteten grundig eller tilby brukere avanserte alternativer som å forby videresending, utskrift eller kopiering/innliming av e-postmeldinger.
Beskytt mot e-posttrusler
Å velge en e-postkrypteringstjeneste er en viktig måte å forbedre den generelle sikkerheten på. Start med å se gjennom hvilke typer e-postkryptering som er tilgjengelige, organisasjonens sikkerhetsbehov og hvilke e-postbeskyttelser som kan integreres med plattformene og løsningene du allerede bruker. Vurder hvordan behovene kan oppfylles av:
- Funksjonene som er tilgjengelige i den gjeldende produktivitetspakken, for eksempel Microsoft Pureview-meldingskryptering.
- E-postbeskyttelsen som er tilgjengelig i en omfattende løsning for trusselbeskyttelse, for eksempel Microsoft Defender.
- Avansert meldingskryptering inkludert i en virksomhetsløsning, for eksempel Microsoft 365 Enterprise E5.
Mer informasjon om Microsoft Sikkerhet
Forstå e-posttrusler
Les om cyberangrep som retter seg mot e-post – og hvordan du stopper dem.
Styrk passordbeskyttelsen
Finn ut om passordsprayangrep og strategier for å unngå dem.
Beskytt mot e-postsikkerhetsbrudd
Lær anbefalte fremgangsmåter for e-post for å beskytte mot kompromittering av bedrifts-e-post og phishing-angrep.
Microsoft Purview-meldingskryptering
Utforsk funksjonene for e-postkryptering som allerede er inkludert i Microsoft 365.
Vanlige spørsmål
-
E-postkryptering brukes til å kode meldinger som inneholder sensitiv informasjon, slik at den ikke kan fanges opp av ondsinnede aktører. En kryptert e-post vil se ut som rotete og uleselig for alle andre enn den tiltenkte mottakeren.
-
E-poster er ikke beskyttet av kryptering med mindre du har en e-postkrypteringstjeneste og aktivt bruker den. E-postleverandøren kan levere et viss beskyttelsesnivå, og enkelte produktivitetsløsninger har innebygde krypteringsfunksjoner.
-
Hacking av krypterte e-postmeldinger er svært vanskelig og tidkrevende, noe som krever avansert ekspertise fra hackeren. Enkelte e-postkrypteringsprotokoller gjør det praktisk talt umulig. Kryptering reduserer sannsynligheten for at en hacker vil prøve å få tilgang til informasjon fra e-postmeldingene.
-
E-postkryptering med Advanced Encryption Standard eller S/MIME er begge svært trygge. Den sikreste praksisen er å kryptere data både under overføring og når de er lagret på e-postplattformen, og å kryptere selve tilkoblingen.
-
Kryptering gir et svært høyt beskyttelsesnivå mot hackere. E-postkryptering sikrer at hackere som fanger opp en melding blir tvunget til å bruke mye tid på å hente annen informasjon enn avsenderen, mottakeren og tidspunktet for sending – noe som gjør det sannsynlig at de vil gi opp og rette oppmerksomheten mot et enklere mål.
