Configurar políticas web y límites de datos en Sophos Protected Browser

Las políticas web de Sophos Protected Browser controlan quién puede acceder a qué destinos con qué estado del dispositivo, y qué puede ocurrir con las descargas, las cargas y los datos. El orden de evaluación es fundamental: el navegador comprueba las políticas activas según su rango y utiliza la primera cuyas condiciones coinciden por completo. Después deja de evaluar las demás.

Para realizar una implantación segura, cree primero una política piloto con un alcance reducido, sitúela por delante de las reglas más generales y pruebe por separado el acceso, la transferencia de archivos y los límites de datos. La política base contiene las acciones predeterminadas que se aplican cuando no existen otras políticas.

Requisitos previos, licencia y roles

Antes de configurar, los Benutzergruppen necesarios ya deben existir en Sophos Central, y Gerätestatus, Anwendungsgruppen, Standortlisten y Webkategorien deben existir como objetos de política. Solo los usuarios y objetos creados previamente aparecen después en Bedingungen. Además, un grupo de usuarios asignado no puede estar vacío: debe contener al menos un usuario.

Las fuentes del producto autorizadas para este procedimiento no especifican ninguna licencia ni ningún rol de administrador concretos. No debe deducirse de ello que se dispone de autorización. Antes de realizar un cambio, compruebe si Meine Produkte > Protected Browser > Internetrichtlinie está visible y se puede editar en el tenant. Si el área no aparece o es de solo lectura, no continúe probando un rol más amplio: aclare la asignación de licencias y roles del tenant.

Los objetos de política necesarios deben crearse previamente en Sophos Central; su creación no forma parte de este procedimiento.

Comprender la lógica de las políticas antes de configurar

Una política tiene el Gesamtauswirkung Erlauben, Blockieren o Warnen:

Erlauben permite a los grupos de usuarios y estados de dispositivo seleccionados acceder a los destinos elegidos.
Blockieren bloquea ese acceso.
Warnen permite el acceso, pero muestra primero una advertencia.

El grupo de usuarios y el estado del dispositivo se combinan mediante UND: si ambos están definidos en la política, ambos deben coincidir. En cambio, los criterios de destino Anwendungsgruppe, Standortliste e Internet-Kategorie se combinan mediante ODER: basta con que coincida uno de ellos.

Esto hace que un conjunto amplio de destinos pueda aplicarse rápidamente. Por ejemplo, una política para el grupo de usuarios Finanzen-Pilot, el estado de dispositivo Windows, un grupo de aplicaciones y una lista de sitios coincide cuando lo hacen el usuario y el estado del dispositivo, y el destino pertenece al grupo de aplicaciones o a la lista de sitios. Finanzen-Pilot es solo un nombre de ejemplo y debe sustituirse por un grupo existente y no vacío del tenant.

Tratar la política base de forma deliberada

La Basisrichtlinie contiene un Webfilter-Profil y Standardaktionen für Downloads, Uploads und Datengrenzen. Estas acciones predeterminadas se aplican siempre que otra política no las sustituya. Para editarla, abra Meine Produkte > Protected Browser > Internetrichtlinie y seleccione Basisrichtlinie.

La política base puede editarse, pero no eliminarse, clonarse ni cambiarse de rango. Por ello, los requisitos particulares deben incluirse en políticas propias con un alcance más reducido. Así, la política base se conserva como ruta alternativa predecible y las excepciones se controlan mediante el rango y el estado.

Activar Phishing Protection globalmente y en las políticas

Phishing Protection supervisa los formularios de los sitios web para las direcciones de correo o los dominios corporativos definidos. La protección actúa al introducir o enviar una dirección supervisada; no analiza mensajes de correo electrónico. Es un control independiente y no debe equipararse al filtrado por categorías web ni a los límites del portapapeles o de archivos.

Definir primero las direcciones que se protegerán

Abra My Products > Protected Browser > Settings y seleccione la pestaña Phishing Protection.
Active Phishing Protection.
En Email domains to protect, introduzca los dominios corporativos o las direcciones de correo individuales necesarios. example.com es un dominio ficticio de ejemplo para todos los usuarios de ese dominio; pb-pilot@example.com representa una única dirección de prueba. En el tenant, utilice una dirección de prueba de su organización expresamente autorizada, no todo el dominio de producción al principio.
Guarde con Save. Solo entonces podrá activar la protección en la política base o en una política propia.

La configuración global determina qué direcciones se supervisan. La política determina en qué destinos y con qué respuesta se aplica la protección. Por tanto, el interruptor global por sí solo no sustituye la configuración de una política.

Elegir por separado la política base y la política propia

En My Products > Protected Browser > Web policy > Base policy, active Enable Phishing Protection y seleccione Warn o Block. En la política base, este control afecta a sitios web conocidos de alto riesgo o con baja reputación. Warn muestra una advertencia y deja al usuario decidir si continúa. Block impide introducir la dirección de correo supervisada.

En una política propia, active también Enable Phishing Protection, seleccione Warn o Block y guarde con Save. Aquí el control se aplica a las aplicaciones y sitios web cubiertos por la política independientemente de su nivel de riesgo. Limite deliberadamente el grupo de usuarios, el estado del dispositivo, las condiciones de destino, el estado y el rango. La acción antiphishing no es el Gesamtauswirkung de la política: una aplicación permitida en conjunto puede seguir bloqueando la introducción de una dirección supervisada. Para el piloto, utilice una aplicación de prueba accesible y permitida, de modo que un bloqueo general del acceso no oculte la prueba del formulario.

Comprobar sin un sitio de phishing real

Utilice una página de formulario autorizada e inocua bajo su control y una única dirección de prueba autorizada. No introduzca contraseñas reales ni visite sitios sospechosos.

Registre el estado global anterior, la lista de direcciones y la configuración antiphishing de las políticas afectadas. Limite una política piloto propia al grupo de prueba y a la página del formulario, y sitúela antes de las reglas coincidentes más amplias.
Añada globalmente la dirección de prueba y seleccione Enable Phishing Protection > Warn en la política piloto. Introduzca la dirección supervisada en el formulario o intente enviarla. Se espera una advertencia; continuar con autorización prueba la decisión tras la advertencia, no un bloqueo.
Cambie únicamente la acción antiphishing a Block y repita el intento. Se espera que no se pueda introducir o enviar la dirección supervisada. Con una dirección ficticia no supervisada, compruebe que este control no bloquee indiscriminadamente todas las direcciones.
Anote la hora de prueba, el usuario, la aplicación, la URL del formulario y la decisión observada. Compruebe después los eventos mediante los informes Phishing Protection. La prueba en el destino inocuo demuestra el efecto de la política propia con independencia de la reputación, no la clasificación del riesgo ni el desencadenante de la política base.

Si no aparece el interruptor de la política o falta la respuesta esperada, compruebe primero la activación global, la dirección o el dominio guardado y la primera política activa coincidente. Un informe vacío no demuestra ni una protección correcta ni su desactivación. Sin un resultado claro, mantenga la implantación limitada al piloto.

Para revertir, restaure el estado anterior documentado de la política piloto o desactívela con Update, y compruebe qué política se aplica realmente a continuación. Una protección antiphishing que siga activa en la política base puede continuar actuando después de desactivar el piloto. Restaure la lista de direcciones y el interruptor globales solo si ninguna otra política necesita ese cambio. Desactivar globalmente elimina también el requisito previo de otras políticas antiphishing y no es una reversión sin riesgo de una sola política.

Seleccionar la protección de descargas y cargas

Los perfiles de acción no son variantes de un mismo nivel de seguridad. En particular, ohne Scannen erlauben y erlauben, wenn nicht scannbar tienen una repercusión sobre el riesgo distinta de la de un perfil que bloquea un archivo que no se puede analizar.

Protección de descargas

Alle Downloads blockieren: bloquea todas las descargas de archivos.
Alle Downloads ohne Scannen erlauben: permite todas las descargas sin analizar los archivos ni comprobar la reputación de sus URL.
Riskante Downloads scannen und blockieren, wenn nicht scannbar: analiza archivos de texto, Microsoft Office y PDF, comprueba la reputación de la URL y bloquea los archivos que no se pueden analizar.
Riskante Downloads scannen und erlauben, wenn nicht scannbar: realiza las mismas comprobaciones, pero permite los archivos que no se pueden analizar.
Nur ausführbare Downloads scannen: analiza archivos binarios y ejecutables, comprueba la reputación de la URL y permite los archivos que no se pueden analizar.

Protección de cargas

Alle Uploads blockieren: bloquea todas las cargas de archivos.
Alle Uploads ohne Scannen erlauben: permite todas las cargas sin analizar los archivos ni comprobar la reputación de sus URL.
Riskante Datei-Uploads scannen und blockieren, wenn nicht scannbar: analiza archivos de texto, Microsoft Office y PDF, comprueba la reputación de la URL y bloquea los archivos que no se pueden analizar.
Riskante Datei-Uploads scannen und erlauben, wenn nicht scannbar: realiza las mismas comprobaciones, pero permite los archivos que no se pueden analizar.
Dokument- und Text-Uploads blockieren, andere Dateitypen scannen: bloquea archivos de documentos y texto, analiza los demás tipos de archivo, incluida la comprobación de la URL, y permite los archivos que no se pueden analizar.

Protected Browser evalúa la reputación de los archivos mediante Sophos Extensible List (SXL). En determinados casos, Sophos Intellix analiza archivos concretos. Antes de la prueba piloto, aclare la clasificación de los datos y si se permite el análisis en la nube. Las decisiones sobre privacidad e intercambio de datos aplicables a todo el tenant permanecen separadas de los perfiles de política específicos del producto descritos aquí.

Elegir correctamente los límites de datos

Los límites de datos controlan Bildschirmaufnahme, Teilen und Aufzeichnen, Drucken, Seite speichern y Ausschneiden, kopieren, einfügen. Los límites del portapapeles no se aplican expresamente a la barra de direcciones del navegador. Por ello, una prueba correcta del portapapeles en el contenido de una página no demuestra que se controle la barra de direcciones.

Permitir todo

Este perfil permite las capturas de pantalla, compartir y grabar, imprimir, guardar la página, así como cortar, copiar y pegar. No aplica ninguno de los límites de datos descritos.

Permitir copiar al exterior — bloquear pegar hacia el interior

Allow copy/paste outside the browser - block pasting inwards permite cortar y copiar desde las aplicaciones seleccionadas y pegar en recursos fuera del navegador. El sentido inverso está bloqueado: no se puede pegar contenido de fuentes externas en las aplicaciones seleccionadas. Las capturas de pantalla, compartir y grabar, imprimir y Save page están permitidos. No se indica una opción adicional de omisión temporal para este perfil; las acciones de pantalla citadas ya están permitidas.

Es un límite de entrada direccional, no un bloqueo contra la salida de datos. Por ejemplo, se pueden copiar al exterior los resultados de una aplicación de IA seleccionada, mientras que pegar contenido externo en esa aplicación sigue bloqueado. Las cargas de archivos continúan controlándose por separado mediante la protección de cargas.

Mantener los datos en los destinos de esta política

Las capturas de pantalla, compartir y grabar, imprimir y Seite speichern están bloqueados. Se puede cortar, copiar y pegar dentro de los destinos seleccionados, pero no pegar texto fuera de ellos. Tampoco se permite pegar desde fuentes externas ni omitir temporalmente la protección frente a capturas de pantalla, compartir y grabar.

Este perfil es adecuado cuando se permite que los datos circulen entre aplicaciones cubiertas por la misma política, pero no que salgan de ese conjunto de destinos. Por ejemplo, si Jira y Salesforce pertenecen al grupo de aplicaciones seleccionado, el portapapeles sigue disponible entre ambos destinos.

Mantener los datos en los destinos: permitir y registrar la omisión

El portapapeles permanece limitado a los destinos seleccionados y no se permite pegar desde fuentes externas. Las acciones de cortar, copiar y pegar quedan registradas. Las capturas de pantalla, compartir y grabar están bloqueados de forma predeterminada, pero los usuarios finales pueden omitir temporalmente esta protección. Drucken y Seite speichern se permiten después de una advertencia.

Este perfil es menos estricto que la variante sin omisión. Úselo solo si una necesidad de excepción justifica la omisión permitida y las autorizaciones tras una advertencia.

Mantener los datos en los destinos: permitir pegar desde el exterior

Las capturas de pantalla, compartir y grabar, imprimir y Seite speichern están bloqueados. Cortar y copiar también están bloqueados, pero pegar está permitido. Así pueden introducirse datos externos en los destinos protegidos sin que se pueda copiar contenido fuera de ellos. No se contempla la omisión temporal de la protección frente a capturas de pantalla, compartir y grabar.

En Keep data within this policy’s destinations - allow pasting from outside, la descripción y la correspondencia explícita de los ajustes se contradicen: la descripción menciona pegar en ambos sentidos, pero la correspondencia bloquea cortar y copiar y permite pegar. Para planificar, siga utilizando la correspondencia restrictiva anterior. No es una autorización confirmada para copiar al exterior. Antes de utilizarlo en producción, pruebe ambos sentidos con contenido inocuo; si hay discrepancias, detenga la implantación y solicite a Sophos Support que aclare el comportamiento.

Mantener los datos en los destinos — permitir compartir pantalla y grabar

Keep data within this policy’s destinations - allow screenshare and recording permite capturas de pantalla, compartir y grabar en los destinos seleccionados. Printing y Save page siguen bloqueados. Cortar, copiar y pegar están permitidos dentro de los destinos de la política; no se permite pegar ese contenido fuera de ellos ni pegar desde fuentes externas. La correspondencia de ajustes también indica como permitida la omisión temporal por el usuario de la protección frente a capturas de pantalla, compartir y grabar. Como las acciones de pantalla ya están permitidas, no supone una garantía adicional de protección.

Aquí el límite del portapapeles no impide transmitir contenido visible mediante pantalla compartida o grabación. Elija este perfil solo si dicha transmisión está autorizada para las aplicaciones cubiertas.

Mantener los datos dentro de Protected Browser

Las capturas de pantalla, compartir y grabar, imprimir y Seite speichern están bloqueados. Solo se puede cortar, copiar y pegar dentro de Protected Browser; sí se permite pegar en el navegador texto procedente del exterior. No se contempla la omisión temporal de la protección frente a capturas de pantalla, compartir y grabar.

La diferencia respecto a un límite basado en destinos es importante: este perfil crea un límite alrededor de todo Protected Browser, no solo de los destinos cubiertos por la misma política.

Probar sentidos y vías alternativas en el piloto

Pruebe los siete perfiles según las correspondencias anteriores, no solo por su nombre. Utilice un marcador de texto inocuo en el contenido de la página, dos destinos de la misma política, un destino no cubierto y una aplicación externa. Excluya expresamente la barra de direcciones de las pruebas de límites del portapapeles.

Hacia el interior: Pegue el marcador desde la aplicación externa en un destino cubierto. Debe fallar con el perfil que bloquea pegar hacia el interior y con los perfiles basados en destinos sin autorización para pegar desde el exterior; Permitir todo, Permitir pegar desde el exterior y el límite alrededor de todo Protected Browser lo permiten.
Hacia el exterior y entre destinos: Pruebe por separado cortar y copiar en el destino cubierto, pegar en el segundo destino cubierto y después en el destino no cubierto o en la aplicación externa. Permitir todo y Permitir copiar al exterior permiten la salida. Los perfiles basados en destinos la limitan a sus destinos; en el perfil con descripción contradictoria que permite pegar, ya deben fallar cortar y copiar según la correspondencia restrictiva. El límite del navegador solo permite el recorrido dentro de Protected Browser.
Otras salidas: Pruebe individualmente capturas de pantalla, compartir, grabar, imprimir y Save page. En la variante con omisión registrada, pruebe también la omisión temporal autorizada de la protección de pantalla y las advertencias antes de imprimir o guardar. En la variante que permite compartir pantalla, las acciones de pantalla deben funcionar, mientras que imprimir y guardar siguen bloqueados.

Anote para cada prueba el perfil, el origen, el destino, el resultado esperado y el observado. Una prueba correcta del portapapeles no demuestra ni un bloqueo de cargas ni un bloqueo de pantalla compartida. No eluda discrepancias sin aclarar cambiando a Permitir todo.

Configurar una política piloto

Abra Meine Produkte > Protected Browser > Internetrichtlinie y, en Richtlinien, seleccione Richtlinie hinzufügen.
Introduzca un Namen único, como PB-Finanzen-Pilot, y una Beschreibung con la finalidad y la persona responsable. El nombre de ejemplo puede elegirse libremente; no sustituye a un grupo de usuarios existente.
En Gesamtauswirkung, seleccione Erlauben, Blockieren o Warnen. Una política con acciones para archivos y límites de datos debe usar Erlauben o Warnen.
En Bedingungen > Benutzergruppe, seleccione Bearbeiten. En Benutzergruppen bearbeiten > Verfügbar, elija el grupo piloto existente y muévalo a Zugewiesen. Compruebe que contiene al menos un usuario y confirme con Speichern.
Seleccione uno o varios valores de Gerätestatus. Elija después los destinos necesarios mediante Anwendungsgruppe, Standortliste y/o Internet-Kategorie. Seleccione Beliebig solo si, de forma deliberada, la condición no debe limitarse a un grupo de usuarios u objeto de política determinados.
En Aktionen, seleccione los perfiles de Download-Schutz, Upload-Schutz y Datengrenzen. Esta área es relevante para los efectos globales Erlauben y Warnen.
Si los recursos solo deben abrirse en la versión completa de Protected Browser, active Nutzung des vollständigen Browsers erzwingen. Al acceder a ellos, los sitios web o recursos afectados se abrirán automáticamente en la versión completa de Protected Browser.
Seleccione Speichern.
En la tabla de políticas, abra Auf Position # verschieben desde el menú de tres puntos, mueva la política piloto con la flecha hasta la posición deseada y seleccione Anwenden. Los rangos con un número menor se evalúan antes; el rango 1 es el primero.

Una política específica debe aparecer antes que otra más general que ya coincida por completo con las mismas condiciones de usuario y destino. De lo contrario, se aplicará primero la política general y la política piloto ni siquiera se evaluará.

Validación y resultado esperado

Para la aceptación, utilice un usuario de prueba que pertenezca exactamente al grupo piloto asignado y no vacío, un estado de dispositivo coincidente y un destino asignado de forma inequívoca. Use archivos y contenidos no sensibles.

En la tabla de políticas, compruebe Rang, Name, Zugriff y Status. La política piloto debe estar Aktiv y situarse antes que cualquier política más amplia que también coincida.
Pruebe un destino que cumpla las condiciones. Con Erlauben, el acceso debe ser posible; con Warnen, debe serlo después de la advertencia; y con Blockieren, no debe serlo.
Pruebe una situación de descarga y otra de carga que el perfil elegido permita, y otra que bloquee. En un perfil que bloquea si no se puede analizar, esta decisión también forma parte del criterio de éxito; en uno que permite si no se puede analizar, se espera el resultado contrario.
Pruebe por separado cada aspecto del límite de datos seleccionado: capturas de pantalla o compartir, imprimir, Seite speichern, copiar entre dos destinos cubiertos, copiar al exterior y pegar desde el exterior. Debe obtener exactamente la combinación definida por el perfil seleccionado.
Si Nutzung des vollständigen Browsers erzwingen está activo, inicie el acceso a un recurso cubierto y compruebe que se abre en la versión completa de Protected Browser.
Realice una prueba en la que solo coincida un criterio de destino y otra en la que no coincida el grupo de usuarios o el estado del dispositivo. Así se comprueba por separado la relación OR de los destinos y la relación AND de las condiciones de usuario y dispositivo.

Solución de problemas por síntoma

La política no se aplica

Compruebe primero Status y Rang. Una política Nicht aktive no se evalúa. Si una política activa con un rango superior ya coincide por completo, la evaluación termina en ella. Sitúe la política más específica antes de la regla más amplia mediante Auf Position # verschieben > Anwenden y repita la prueba.

Compruebe después la lógica de las condiciones: el grupo de usuarios y el estado del dispositivo deben coincidir conjuntamente; en el caso del grupo de aplicaciones, la lista de sitios y la categoría web, basta con que coincida un destino. Si falta un valor de selección, es posible que el usuario o el objeto de política aún no se hayan creado.

No se puede asignar un grupo de usuarios de forma válida

Compruebe que el grupo contenga al menos un usuario. No se permite asignar un grupo de usuarios vacío. Añada primero usuarios al grupo, guarde de nuevo la política y repita la prueba con un miembro de ese grupo.

Las acciones sobre archivos o los límites de datos parecen ignorarse

Compruebe el Gesamtauswirkung. Con Blockieren, no se aplican las acciones adicionales de protección de descargas, protección de cargas y límites de datos. Con Erlauben o Warnen, compruebe después si ha coincidido primero una política con mayor prioridad y qué perfil de acción se ha seleccionado realmente en ella.

No utilice la barra de direcciones como superficie para probar el portapapeles: los límites documentados no se aplican allí. Si el resultado en el contenido de la página sigue difiriendo de la matriz del perfil seleccionado, no amplíe la implantación. Documente el caso de prueba, el rango, las condiciones y el perfil, y escálelo a Sophos Support.

Reversión segura y retirada

Antes de realizar un cambio, registre el Rang, el Status, las condiciones y los perfiles de acción de la política afectada. Para una reversión recuperable, desactive la nueva política piloto y seleccione después Aktualisieren. Una política inactiva no se evalúa; por tanto, la nueva prueba debe mostrar que vuelve a aplicarse la siguiente política coincidente o la política base.

No valore la eliminación hasta confirmar esta reversión. Las políticas propias pueden eliminarse desde el menú de tres puntos mediante Löschen o utilizarse como base de una nueva variante mediante Klonen. La política base no puede eliminarse, clonarse ni cambiarse de rango. Por ello, no elimine una política mientras sus condiciones, su rango o el efecto de sustitución deseado sigan sin aclararse.

Al retirar un grupo de usuarios o un objeto de política, revise primero todas las políticas que lo utilicen como condición. Ajuste después la asignación, confirme el efecto con una prueba limitada y solo entonces gestione el objeto que ya no se necesita en el área prevista para ello.

Operación y revisión periódica

Revise las políticas cada vez que cambien los grupos de usuarios, los estados de dispositivo o los objetos de destino, y compruebe periódicamente su Rang, Status, Zugriff y los perfiles de acción asignados. Preste especial atención a las reglas con Beliebig, los perfiles que permiten archivos que no se pueden analizar, Alle Downloads/Uploads ohne Scannen erlauben y los límites de datos con omisión temporal.

Clone primero los cambios o cree una nueva política piloto con un grupo de destino reducido. Amplíe su alcance de forma deliberada después de superar la aceptación. Con independencia de estos controles de políticas, verifique los plazos de migración y las fechas de retirada o EOL del producto en los avisos oficiales.

Guía relacionada

Controlar la privacidad y el intercambio de datos en Sophos Fusion contextualiza el envío de archivos a servicios de Sophos y las decisiones de privacidad aplicables a todo el tenant.