Outlook - Lätt och viktigt att kryptera e-postmeddelanden

Kryptering av e-postmeddelanden i Outlook

Om du ska skicka känslig information till någon så är det bra om du kan kryptera den. Chansen är stor att du redan kan det men att du inte upptäckt det ännu.

Det finns flera orsaker till att du bör kryptera dina epostmeddelanden:

• Okrypterad e-post är för den kunnige lika lätt att läsa ett som ett traditionellt vykort.
• E-posten kan skickas mellan flera servrar innan den kommer till mottagaren. På internet vet du inte vilka länder dessa servrar befinner sig i, det är en av internets grundstenar, mängden servrar säkrar att meddelandet alltid kommer fram oavsett om några av servrarna skulle fallera.
• Du kan i mycket större grad lita på att ett krypterat e-postmeddelande som kvitteras som mottaget av sin tilltänkta addressat faktiskt har kommit fram till rätt person.
• E-post som krypteras och hanteras så att bara tilltänkta mottagare faktiskt kan läsa dem blir säkrare då en kontroll av att det faktiskt är rätt mottagare som läser mailet görs. Därmed kan du även vara säkrare på att svar som kommer skickats av de faktiska mottagarna.
• Kombinera krypteringen med en digital signatur så får du ökad säkerhet i att ingen utomstående läst, ändrat eller på något sätt manipulerat mailet. Detta ger ju också en ökad säkerhet för mottagaren som vet att meddelandet är autentiskt och från dig.
• Då mailen är en “bortglömd” källa till information börjar hacking och informationsinsamling mer och mer rikta in sig på emailen och mailservrarna. Samtidigt ställer myndigheterna ökade krav på en säkrare hantering av vår e-post.
• Med de nya GDPR-reglerna anses kryptering vara självklar då vi ska skicka meddelanden som innehåller någon form av personuppgifter. Paragraf 25 i GDPR kräver ett dataskydd som är ”inbyggt och som är standard” i verksamhetens system och processer. GDPRs uppgift är att se till så verksamheter aktivt skyddar personuppgifter och förhindrar dataläckage. Många anser att den nya lagen i praktiken kräver att e-postmeddelanden krypteras som standard. Läs mer om detta här.

Vill du läsa mer om varför kryptering är viktigt kan du se mer på Internetstiftelsens information om kryptering.

Det finns flera typer av kryptering och säkerhet i Outlook.

1. Microsoft 365 meddelandekryptering (OME)
2. Information Rights Management (IRM)
3. Via tilläggsprogram (add ins)
4. S/MIME-kryptering

Jag kommer här att koncentrera mig på det första alternativet. Det är enkelt och finns redan "Out of the box" för flera Microsoft 365-användare.

Microsoft 365 meddelandekryptering (OME)

Förutsättningen för att du ska ha det inbyggt i din Outlook är att du har en av följande prenumerationer:

• Online via Outlook.com
• Microsoft 365 Family
• Microsoft 365 Personal
  
  
• Både online och i klientprogrammet
  (förutsatt att du använder Outlook som kommer med Office sviten i prenumerationen)
• Microsoft 365 Business Premium
• Microsoft 365 E3
• Microsoft 365 E5

Skulle du vilja ha det även om du inte har någon av ovanstående prenumerationer så kan du köpa ett säkerhetstillägg till din prenumeration.

1. Azure Information Protection Premium P1
2. Azure Information Protection Premium P2

Läs mer om dessa alternativ här. Detta kan dock vara både mer komplicerat och till och med dyrare än att du uppgraderar din prenumeration till någon av de jag räknat upp tidigare.

En annan viktig begränsning är att epostmeddelandet (inklusive bilagor) inte får vara större än 25 MB.

Hur du gör

Använder du Outlook online (Outlook.com) ser du krypteringsalternativet i verktygsfältet för ett nytt meddelande.

När du klickar på "Kryptera"-knappen läggs en rad in höggst upp i meddelandet. På denna rad finns det två länkar längst till höger i texten:

1. "Ändra behörigheter"
2. "Ta bort kryptering"

Den andra länken "Ta bort kryptering" är ju så enkel som texten anger, den tar bort krypteringen av epostmeddelandet.

Den första länken "Ändra behörigheter" låter dig välja hur krypteringen ska fungera.

Klickar du i valrutan det står "Kryptera" i får du se vilka krypteringsalternativ du har tillgång till. Alternativen ser lite olika ut beroende på din prenumeration.

Alternativen alla har är:

• "Kryptera"
• "Vidarebefordra inte"

För företagskunderna med Business proffessional, E3 och E5 finns ytterligare två alternativ som begränsar mottagarna som kan läsa epostmeddelandet till personer inom den egna organisationen. I exemplet ovan är dessa val:

• "Axalon - Confidential"
• "Axalon - Confidential View Only"

Använder du Outlook-klienten på Windows hittar du krypteringsalternativen i fliken "Alternativ" ("Options") och knappen "Kryptera ("Encrypt").

Vad innebär de olika krypteringsnivåerna?

De har gemensamt att de kräver en att mottagaren har en fungerande internetuppkoppling för att hen ska kunna läsa meddelandet.

De har också gemensamt att meddelandets "Ämne" ("Subject") inte krypteras.

Word, Excel och PowerPoint-bilagor (senare än Office 2003) krypteras också.

Vad innebär valet "Kryptera"

Kryptera innebär att meddelandet och vissa av dess bilagor krypteras (Word, Excel, PowerPoint och .xps-filer). Ämnesraden (subject) krypteras inte.

Epostmeddelandet kan skickas vidare till andra mottagare och de kan också läsa meddelandet.

Bilagor som laddas ner med hjälp av en Outlook-klient eller via Outlook.com kan tas ned okrypterade.

Vad innebär "Vidarebefordra inte"

Som i "Kryptera" krypteras meddelandet och vissa bilagor men inte ämnesraden.

E-postmeddelandet kan inte vidarebefordras till annan mottagare. Du kan inte heller kopiera meddelandet eller ta ett skärmurklipp på det.

Word, Excel, PowerPoint-bilagor som laddas ner behåller krypteringen och sin säkerhetsnivå. De kommer i och för sig att kunna läggas till som bilagor i ett annat mail men mottagarna kommer inte att kunna läsa dessa dokument då de ej får vidarebefordras till andra än de ursprungliga mottagarna av mailet.

Vad innebär företagsalternativen?

De organisationsbundna alternativen fungerar som de ovan beskrivna alternativen med tillägget att de bara fungerar för mottagare inom den egna organisationen.

Hur ser det ut för mottagarna?

Om du har ett Microsoft-konto, är uppkopplad till internet och använder en Outlook-klient på Windows, Mac, i din iPhone/iPad eller din Android-enhet så kommer allt att upplevas som vanligt. Du får upp meddelandet med en text som talar om att meddelandet är skyddat.

Beroende på krypteringsnivå kommer dock vissa saker inte att fungera. Om "Vidarebefordra inte" eller "View Only" är valda så kommer du inte att kunna vidarebefordra, kopiera eller ta skärmbilder på meddelandet eller dess bilagor av Word, Excel eller PowerPoint-typ.

Men vad händer om du skickar mailet till någon som inte öppnar det i Outlook? De får en länk som de kan följa och kan via den logga in på sitt Microsoft-konto och därefter se mailet i en webbläsare.

Har de inte ett Microsoft-konto så har de möjligheten att begära en engångskod som då skickas med ett extra mail till mottagaren. De kan sedan använda denna engångskod för att se meddelandet och dess bilagor.

Det jag beskriver här är en senare version av krypteringen. Den finns för de flesta användarna i de uppräknade prenumerationsnivåerna. Det finns dock några organisationer som kan ligga kvar i en äldre version av kypteringsfunktioneliteten så ni får vara uppmärksamma på detta. Bästa sättet är ju att testa och "leka" lite med funktionaliteten. Den är enkel, smidig och väl värd att använda. Tänk på den när du ska skicka mail med känslig information eller mail eller bilagor till mail som innehåller personuppgifter.

För organisationer som vill säkra upp detta ännu mer finns det policys och generella inställningar som kan definieras och skjutas ut till hela organisationen. Man kan använda en egen nyckel för krypteringen för att säkra informationen ytterligare om så önskas. Du kan läsa mer om detta här. Följer du länken så får du dessutom mer information om några av de andra krypteringsalternativen jag nämnde i början av inlägget.

---   ---   ---

Andra krypteringsalternativ

Information Rights Management (IRM)

Ett alternativ som är rätt likt det jag beskriver ovan med OME. Fungerar dock bara inom organisationen. kan ge ökade möjligheter att, förutom kryptering, lägga till restriktioner kring vad som får göras med epostmeddelandet och dess innehåll. 

Kryptering med hjälp av tilläggsprogram

Här bör du lägga tid på att se vilket tilläggsprogram som passar dig bäst såväl gällande funktionalitet som pris. Väljer du rätt tilläggsprogram kan det tillåta deig att skicka krypterade meddelanden till vilken mottagare som helst.

S/MIME-kryptering

För att använda denna lösning arbetar du med certifikat som måste finnas såväl hos avsändaren som hos mottagaren. Förberedelse och konfigurering av S/MIME-kryptering bör därför skötas av en administratör som kan detta och har rätt att arbeta med detta i din dator. Du måste också disstribuera ett certifikatet till mottagaren varför denna lösning blir mer spacifik och kräver lite mer planering. Det passar sig inte som lösning där du vill kunna skicka krypterade meddelanden till vem som helst.

...   ...   ...

Ola Lövgren, lösningsutvecklare, Axalon