Implantar Sophos Fusion Device Encryption de forma segura
Sophos Fusion Device Encryption gestiona de forma centralizada el cifrado de discos para Windows y macOS. El cifrado propiamente dicho sigue dependiendo del sistema operativo: BitLocker en Windows y FileVault en macOS. Sophos distribuye la política, registra el estado y gestiona las Recovery Keys, pero no reemplaza el motor de cifrado ni los requisitos específicos de la plataforma.
Para un despliegue fiable, deben combinarse cinco elementos: una licencia válida, el componente de cifrado del dispositivo instalado, una política eficaz, un estado local compatible y un proceso de recuperación que funcione. Ni una instalación correcta del agente ni la indicación «100 %» bastan por sí solas.
Qué gestiona Sophos y qué no
Device Encryption protege los volúmenes de inicio y, según la política, los volúmenes de datos internos fijos. Los medios extraíbles no están incluidos. Aunque BitLocker To Go puede cifrar dichos volúmenes, Sophos Fusion no gestiona ni el estado ni los Recovery Keys.
La administración se inicia en My Products > Encryption. Las dos áreas tienen diferentes tareas:
- My Products > Encryption > Policies determina para quién está activo Device Encryption y qué volúmenes se incluyen.
- My Products > Encryption > Computers evalúa el estado informado, los componentes faltantes y la preparación para la recuperación.
La política se asigna a usuarios o grupos. En Windows, el inicio de sesión de un usuario incluido en la política basta para iniciar el cifrado; que posteriormente inicie sesión un usuario no incluido no elimina la protección. En un Mac, todos los usuarios previstos deben estar cubiertos por la política para que la administración de la recuperación y la habilitación de usuarios funcionen por completo. Por tanto, los dispositivos compartidos y las cuentas locales se incluyen expresamente en el piloto.
Requisitos previos antes de la primera política
En primer lugar, se aclara si la suscripción incluye cifrado del dispositivo. Las cuestiones contractuales y de recuento se tratan en la Descripción general de licencias de Sophos Fusion; para el despliegue lo importante es que la función esté disponible en el tenant y corresponda al alcance previsto.
Después se validan el sistema operativo, la arquitectura y el ciclo de vida. Esta información cambia más rápidamente que un concepto de despliegue y no debe copiarse en la documentación de cifrado como una lista de versiones estáticas. El procedimiento para esto se describe en Planificar los requisitos del sistema y el ciclo de vida de Sophos Endpoint.
En un dispositivo que ya está cifrado, el despliegue no comienza desde cero. Antes de la asignación, se hace un inventario del estado local de BitLocker o FileVault, las Recovery Keys existentes, las políticas de grupo o las especificaciones de MDM y cualquier producto de cifrado anterior. Dos sistemas administrativos no deben imponer requisitos contradictorios al mismo tiempo. La toma de control adecuada se lleva a cabo en el flujo de BitLocker para Windows o en el flujo de FileVault para macOS, no a través de un interruptor genérico.
El componente también tiene que existir realmente. En My Environment > Installers, el instalador completo de Windows o macOS contiene los productos de endpoint cubiertos por la licencia. Device Encryption se puede seleccionar específicamente mediante Choose Components…. En Mac, Device Encryption Agent se instala por separado. Que el instalador finalice sigue siendo solo un paso intermedio: la política, el estado informado y la preparación para la recuperación son cruciales.
Trate la caducidad de la licencia como un riesgo de recuperación
Cuando caduca la licencia de cifrado, la página de cifrado del dispositivo desaparece del Self Service Portal. Los usuarios ya no pueden recuperar las Recovery Keys allí por sí mismos. Sophos también elimina la mayoría de los componentes de cifrado del dispositivo, pero conserva los componentes necesarios para una reconexión posterior.
Esto no desactiva BitLocker ni FileVault, ni descifra las unidades. Aquí es exactamente donde reside el riesgo: los datos permanecen protegidos mientras que la administración central y el Self Service están restringidos. Si una Recovery Key de BitLocker cambia durante esta fase sin administración, es posible que Central siga teniendo registrada la clave anterior tras la reactivación.
Por lo tanto, la renovación de la licencia y la recuperación de los datos no deben depender de una única persona o área. La persona responsable, la fecha de caducidad, la vía de escalado y un procedimiento de recuperación aprobado se determinan antes del despliegue. El procedimiento para obtener y revelar la clave y documentar el caso se describe en Recuperar Recovery Key de forma segura.
Inicie el despliegue a una escala que permita controlar los errores
La política base no se activa en todo el tenant sin verificarla. Un buen grupo piloto abarca las diferencias que realmente influyen en el proceso de cifrado: generaciones de hardware, modelos de portátiles, versiones de los sistemas operativos, tipos de cuentas locales y cifrado ya activo. Es igualmente importante incluir un dispositivo que no estuviera cifrado previamente para poder comprobar también una implantación nueva.
Se crea una política Device Encryption en My Products > Encryption > Policies y se asigna primero a este grupo piloto. Encrypt boot volume only determina si los volúmenes de datos fijos fuera del volumen de inicio están cubiertos por la política de Sophos. La elección depende de dónde residen realmente los datos en los dispositivos. La opción de Windows Encrypt used space only acorta el cifrado inicial, pero puede dejar áreas eliminadas sin cifrar en los discos que ya se han utilizado; por lo tanto, está destinado a equipos recién implantados.
Las decisiones adicionales son específicas de la plataforma. TPM, autenticación previa al arranque, políticas de grupo de BitLocker y particiones se especifican en la guía de Windows. Los usuarios de FileVault, la autorización local y la Recovery Key personal pertenecen a la guía de Mac. Esto significa que la política común sigue siendo comprensible sin mezclar dos modelos de seguridad diferentes.
No dé por finalizado un despliegue al alcanzar el 100 %
La validación técnica compara Central con el dispositivo local. Se confirma de manera verificable lo siguiente para cada dispositivo piloto:
- La política prevista está vigente para el usuario y el dispositivo correctos.
- El volumen cubierto por la política está completamente cifrado localmente.
- My Products > Encryption > Computers informa el estado esperado Encrypted.
- La ruta de recuperación asociada con este dispositivo y volumen está disponible y aprobada por la organización.
- El reinicio, el inicio de sesión y la autenticación de prearranque prevista funcionan.
- Las alertas, responsabilidades y escalados se probaron utilizando un escenario de prueba seguro.
Las reglas para las pruebas de preparación y la divulgación de claves se encuentran en el Flujo de recuperación central; el desbloqueo y el control de seguimiento permanecen en el proceso respectivo de BitLocker o FileVault. Un mensaje de usuario pendiente, un reinicio necesario o una clave ausente en Central impiden la validación incluso si el sistema operativo ya muestra el progreso del cifrado.
Interpretar correctamente los siete valores de estado de Central
El estado en My Products > Encryption > Computers es una vista resumida de Central. No reemplaza la verificación local, pero ayuda a asignar los dispositivos a la cola de trabajo adecuada.
| Estado | Clasificación |
|---|---|
Encrypted | Los volúmenes incluidos por Sophos están cifrados. También se comprueba la preparación para la recuperación para validarlo. |
Pending | El cifrado aún no está completo; a menudo el flujo espera la sincronización, la acción del usuario, el reinicio o el progreso local. |
Suspended | BitLocker está suspendido temporalmente en al menos un volumen. Esto no significa que el volumen esté descifrado. |
Plain | Al menos un volumen visto por Central no está cifrado. Es necesario comparar el objetivo de la política y el estado local. |
Unmanaged | El cifrado del dispositivo está instalado en el equipo, pero no está vigente ninguna política de cifrado del dispositivo. |
Not supported | Device Encryption no admite la plataforma ni el estado operativo local. |
Not available | Central no puede proporcionar ningún estado de cifrado, por ejemplo, porque falta el componente de cifrado del dispositivo. |
Pending no es un código de error y Suspended no es sinónimo de descifrado. Si un estado permanece sin cambios, contradice el estado local o falta la Recovery Key, el caso pertenece a la resolución sistemática de problemas de Device Encryption en lugar de activar y desactivar la política repetidamente.
Diferenciar tres inventarios con nombres parecidos
El término “no gestionado” puede ocultar varias causas en Central. Por lo tanto, se separan tres casos para la limpieza:
- El estado
Unmanageden la lista de equipos significa que Device Encryption está instalado, pero no hay ninguna política adecuada vigente. - El filtro Computers without Device Encryption installed en My Products > Encryption > Computers muestra los equipos administrados a los que les falta el componente de cifrado.
- Después de una sincronización de AD, la pestaña Unmanaged computers contiene además dispositivos conocidos de Active Directory pero que no tienen protección de Sophos.
Estos grupos necesitan medidas diferentes. Asignar una política no instala automáticamente todos los componentes que faltan y un equipo conocido por AD aún no es un endpoint administrado. La causa determina si corresponde asignar una política, instalar componentes, limpiar el inventario o aplicar una excepción deliberada.
Separar claramente las responsabilidades durante la operación
El proceso Recuperar Recovery Key de forma segura maneja la obtención y entrega segura de la clave. A esto le sigue la Guía de BitLocker o la Guía de FileVault para su uso.
Durante una adopción o migración, el estado inicial se registra primero. Adoptar o migrar Sophos Device Encryption selecciona después el flujo de Windows o macOS apropiado. La antigua administración y la vía de recuperación anterior permanecen vigentes hasta que se valide el nuevo estado localmente y en Central. Las versiones desconocidas de SafeGuard o los módulos mixtos son un motivo para detener el proceso y deben aclararse antes de realizar cambios; las notas de versiones antiguas no constituyen una autorización de soporte vigente.
Retirar un dispositivo también es más que eliminar un registro de Central. Primero, se aclara el objetivo de cifrado, la responsabilidad de recuperación y la desinstalación local. Solo entonces sigue el proceso Reemplazar o retirar el dispositivo Sophos Fusion. En particular, la desinstalación de un agente no transfiere una clave de FileVault a una nueva administración.
Archivos protegidos con contraseña en Windows es una función de Device Encryption independiente, pero no cifra la unidad ni demuestra que BitLocker se haya desplegado correctamente. Por lo tanto, la política, la ruta de envío, el proceso del destinatario y la transmisión de contraseña por separado se planifican y prueban en este flujo de trabajo separado y no se activan de manera incidental en la política de despliegue.