Administrer BitLocker avec Sophos Fusion

Sophos Device Encryption active et gère Microsoft BitLocker. Le chiffrement du lecteur et l’authentification avant le démarrage proviennent toujours de Windows. C’est pourquoi le matériel Windows, le micrologiciel, la politique de groupe BitLocker et la politique Sophos doivent être compatibles.

En bref : créez une Policy Device Encryption sous My Products > Encryption > Policies, affectez-lui des utilisateurs ou des groupes, définissez les paramètres Windows et activez-la. Un utilisateur concerné se connecte ensuite localement à l’appareil pilote, répond aux boîtes de dialogue Sophos, effectue les redémarrages requis et exécute le test de pré-démarrage. Le déploiement n’est terminé que lorsque le statut BitLocker local, le statut Sophos Fusion et une clé de récupération appropriée sont confirmés.

Vérifiez les conditions préalables et la compatibilité

Avant l’activation, les points suivants doivent au minimum être validés :

• Édition de Windows, build, niveau de correctifs et état du cycle de vie conformes aux configurations système requises et cycles de vie de Sophos Endpoint. La matrice historique des protecteurs ci-dessous ne constitue pas une autorisation d’utiliser d’anciennes versions de Windows.
• Agent Sophos Core installé et communiquant avec le composant Device Encryption couvert par la licence.
• BitLocker prend en charge l’édition Windows et un mode d’authentification adapté à l’appareil.
• TPM activé et prêt ; avec TPM 2.0, disque système au format GPT et mode UEFI.
• Assez d’espace pour la partition système et la partition de récupération. Les volumes de 64 Mo ou moins sont ignorés par Sophos.
• Aucune seconde instance ne gère simultanément les protecteurs BitLocker, la méthode de chiffrement ou les clés de récupération.
• Processus de récupération défini et personnes autorisées avant le remplacement du premier protecteur.

Les disques dynamiques ne sont pas pris en charge pour le volume système ; les volumes de données sur les disques dynamiques sont ignorés. Les partitions Windows créées avec Boot Camp sur un Mac ne sont pas non plus prises en charge. Windows peut chiffrer les supports amovibles avec BitLocker To Go, mais Sophos Fusion ne gère ni leur statut ni leurs clés de récupération.

Sophos Device Encryption prend en charge BitLocker préprovisionné et les lecteurs déjà chiffrés. Les nouveaux volumes sont chiffrés par logiciel. Un chiffrement matériel existant n’est pas converti automatiquement. Un BitLocker déjà géré ne doit être repris que dans une fenêtre de changement contrôlée, sans gestion parallèle des protecteurs. Sophos remplace alors les Recovery Keys précédentes : elles deviennent invalides et ne constituent explicitement aucun retour possible. La procédure complète et ordonnée figure dans Reprendre un BitLocker existant.

Une erreur TPM ne sera pas résolue en activant et désactivant la stratégie à plusieurs reprises. La préparation au TPM, les événements Windows et l’état local de BitLocker sont vérifiés en premier.

Configurer la politique de chiffrement de l’appareil

1. Ouvrez My Products > Encryption > Policies, sélectionnez Add Policy et créez une stratégie Device Encryption.
2. Attribuez des utilisateurs ou des groupes d’utilisateurs. Sous Windows, la connexion locale d’un utilisateur attribué déclenche la configuration. Le lecteur reste chiffré même si un utilisateur se connecte sans cette stratégie.
3. Activez l’option Device Encryption is on dans l’onglet Settings.
4. Choisissez Encrypt boot volume only consciemment. Si l’option est désactivée, les volumes de données fixes pris en charge seront également chiffrés après le volume système.
5. Sous Advanced Windows settings, déterminez si Require startup authentication est nécessaire. L’option est active par défaut. Si elle est désactivée, Sophos utilise TPM only sur les appareils compatibles.
6. Utilisez Encrypt used space only exclusivement pour les appareils nouvellement déployés. Le chiffrement initial est plus rapide, mais les données précédemment supprimées dans des zones supposées libres peuvent rester non chiffrées.
7. Si demandé, utilisez Require new authentication password/PIN from users pour définir l’intervalle de changement du code PIN ou de la phrase secrète. Cette fonction est disponible sous Windows à partir de Device Encryption 2.0 et est désactivée par défaut.
8. Enregistrez la stratégie, activez-la et attribuez-la d’abord à un groupe pilote représentatif.

Un paramètre verrouillé peut provenir d’une préférence globale définie par le partenaire Sophos ou l’administrateur de l’entreprise. Vérifiez ce point avant de conclure que la Policy locale est incorrecte.

Sélectionnez le mode d’authentification

Le type de protecteur installé dépend de l’appareil, de BitLocker GPO et de Require startup authentication. 1 désigne le premier choix de Sophos dans la matrice suivante. 1* s’applique uniquement lorsque Require startup authentication est désactivé. Si l’option est active, TPM only n’est pas disponible et TPM + PIN est préféré sur un appareil compatible.

Windows 7 et 8.1 ne figurent ici que pour préserver l’intégralité de la matrice des protecteurs documentée par Sophos. Leur présence ne vaut pas recommandation de déploiement actuelle : leur cycle de vie doit être vérifié séparément. La clé USB n’est donc qu’une option historique de la matrice Windows 7, et non une recommandation pour un nouveau déploiement. En mode FIPS Windows, Sophos documente cette gestion de BitLocker pour Windows 8.1, 10 et 11 ; cela ne confirme pas non plus que ces versions du système d’exploitation sont actuellement prises en charge. Windows 7 ne peut pas stocker de mot de passe de récupération BitLocker conforme à FIPS dans les services de domaine Active Directory.

• TPM only nécessite un TPM préparé et une GPO qui autorise ce protecteur ; Require startup authentication doit en outre être désactivé. Ce mode n’ajoute aucune étape au pré-démarrage. Il simplifie l’utilisation, mais protège moins contre un attaquant qui contrôle l’appareil et peut déverrouiller l’environnement Windows.
• TPM + PIN nécessite un TPM préparé et une GPO qui autorise ce protecteur. Le code PIN contient 4 à 20 caractères et uniquement des chiffres, sauf si la GPO Allow enhanced PINs for startup autorise aussi les lettres et caractères spéciaux. Tous les utilisateurs d’un même ordinateur partagent ce code PIN, puis se connectent avec leurs identifiants Windows personnels. L’authentification unique Windows n’est pas prise en charge. Ce mode renforce la protection avant le démarrage, mais accroît aussi les contraintes de déploiement, d’assistance et de récupération.
• Passphrase nécessite Windows 8 ou version ultérieure et une GPO qui autorise le mode phrase secrète. Celle-ci doit compter entre 8 et 100 caractères. Il s’agit de l’option Sophos pour les systèmes sans TPM répertoriés. Seule la disposition de clavier anglais américain s’applique à la phrase secrète et au code PIN dans l’environnement de pré-démarrage. Les caractères spéciaux sont donc testés sur le matériel réel.
• USB Key doit être connecté, accessible en écriture et formaté en NTFS, FAT ou FAT32 à chaque démarrage ; exFAT n’est pas pris en charge. Cette option héritée n’est pas utilisée comme solution de secours pour un appareil actuel non pris en charge.

La sélection dépend du modèle de menace, du matériel et du processus d’assistance, et non d’une règle générale de renforcement de la sécurité. Si le protecteur appliqué diffère de la ligne attendue, Require startup authentication, la préparation du TPM et les GPO BitLocker sont vérifiés en premier.

Nettoyer les stratégies de groupe BitLocker

Les GPO Windows peuvent spécifier l’authentification, les algorithmes, le stockage de récupération et le chiffrement matériel. Si les paramètres d’authentification pertinents sont définis sur Not configured, Sophos peut définir les valeurs GPO pour autoriser les modes prévus. Toutefois, une valeur par défaut configurée manuellement sous Computer Configuration > Administrative Templates > Windows Components > BitLocker Drive Encryption > Operating System Drives n’est pas écrasée. Les valeurs définies par Sophos n’apparaissent pas non plus nécessairement dans l’éditeur de stratégie de groupe local ; elles se trouvent sous HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\FVE.

Avant le projet pilote, les politiques de domaine et locales efficaces sont documentées avec leur origine. Sont particulièrement vérifiés :

• les protecteurs de démarrage autorisés et les exigences TPM,
• le mot de passe de récupération et son stockage supplémentaire, par exemple dans Active Directory,
• la méthode de chiffrement et les paramètres de chiffrement logiciel ou matériel,
• les exigences relatives aux cartes à puce et les autres paramètres non pris en charge par Sophos.

Sophos chiffre les nouveaux volumes par défaut à l’aide du logiciel AES-256 ; AES-128 est possible via la politique de groupe. Un objet de stratégie de groupe existant qui nécessite un chiffrement matériel n’est pas écrasé. Sophos Device Encryption ne prend pas en charge l’exigence de carte à puce pour BitLocker et signale un événement d’erreur. Si les politiques GPO et Sophos se contredisent, le chiffrement reste généralement en attente ou se termine par une erreur. Le conflit est alors résolu au lieu de réaffecter la stratégie à plusieurs reprises.

Network Unlock ne peut pas être configuré ou géré avec Sophos Fusion. Une infrastructure de déverrouillage réseau BitLocker correctement configurée séparément peut être utilisée en parallèle.

Accompagner le déploiement et les invites utilisateur

L’application initiale et la vérification avant le démarrage ont lieu sur la console locale. Les boîtes de dialogue requises ne sont pas affichées via Remote Desktop et la politique de chiffrement de l’appareil n’est pas appliquée. L’authentification avant démarrage ne peut pas non plus être effectuée via Remote Desktop.

Le processus sur l’appareil est le suivant :

1. L’utilisateur affecté se connecte localement ; l’agent se connecte et se synchronise avec Sophos Fusion.
2. Si le TPM n’est pas encore activé, le flux demande une action micrologiciel/BIOS et un redémarrage. L’agent tente de préparer un TPM actif mais pas encore initialisé et des clés d’approbation manquantes.
3. Si la partition système BitLocker est manquante, Sophos démarre BdeHdCfg.exe, prépare le lecteur et demande un véritable redémarrage. Aucun chiffrement ne commencera sans un redémarrage réussi.
4. Si l’authentification au démarrage est active, l’utilisateur définit le code PIN, la phrase secrète ou la clé USB dans la boîte de dialogue Sophos Device Encryption. Do this later permet de reporter cette étape ; le chiffrement reste alors en attente.
5. Restart and Encrypt démarre le test matériel de pré-démarrage. Si l’entrée échoue avant le premier chiffrement, l’utilisateur peut démarrer normalement avec Esc et sera à nouveau invité lors de sa prochaine connexion.
6. Après un test réussi, Sophos chiffre d’abord le volume système puis, si la Policy le prévoit, les volumes de données fixes en arrière-plan. Leur déverrouillage automatique est lié au volume système.

Les journaux de diagnostic CDE.log et CDE_trace.xml se trouvent dans %ProgramData%\Sophos\Sophos Data Protection\Logs. Ils servent à rechercher la cause du problème, mais ne remplacent pas le contrôle de l’état BitLocker local.

Valider l’état et les rapports

Sous My Products > Encryption > Computers, la liste des appareils peut être filtrée par état et méthode de chiffrement. La page de détails de l’ordinateur affiche la méthode de chiffrement et l’algorithme par volume ; sous Windows en plus Encrypted since. Pour les appareils adoptés ou mis à niveau, cette date peut indiquer l’heure d’installation ou de mise à niveau et n’est donc pas toujours la date de chiffrement d’origine.

Une invite de commande administrative et PowerShell conviennent au contrôle local en lecture seule :

manage-bde -status

Get-BitLockerVolume

Pour tous les volumes prévus, vérifiez au minimum l’état de conversion du volume, l’état de protection, l’état de verrouillage, la méthode de chiffrement et les protecteurs de clés existants. La validation comprend les points suivants :

1. Le volume système et tous les volumes de données fixes couverts par la Policy sont entièrement chiffrés ; la protection est active.
2. Le protecteur réellement installé correspond à la politique, au GPO et à l’autorisation des risques.
3. Sophos Fusion affiche l’appareil sous My Products > Encryption > Computers dans l’état attendu et avec une méthode plausible.
4. La clé de récupération associée à ce volume est stockée dans Sophos Fusion. Les règles pour Show Key et les tests de préparation se trouvent dans Obtenir en toute sécurité la clé de récupération.
5. Le redémarrage et l’authentification de pré-démarrage prévue fonctionnent sur le matériel réel.
6. Un appareil de test distinct a subi le processus de récupération convenu et une modification typique du micrologiciel/TPM.

Une progression de 100 % ne suffit pas : sans protection active et sans capacité de récupération éprouvée, l’appareil ne peut pas être validé. Les événements de chiffrement peuvent également être examinés sous Reports > General Logs > Events ; les mécanismes de filtrage, d’exportation et de conservation sont décrits dans Évaluer les événements et les rapports Sophos Endpoint.

Renouveler le code PIN ou la phrase secrète

Définissez un intervalle de changement dans la Policy Device Encryption avec Require new authentication password/PIN from users. Si l’utilisateur ferme la boîte de dialogue, elle réapparaît après chaque redémarrage ; après cinq fermetures, Sophos génère une alerte.

Pour un appareil donné, l’administrateur ouvre sa page de détails et utilise l’action Trigger change of password/PIN sous Device Encryption dans l’onglet Summary. L’invite réapparaît sur l’endpoint jusqu’à ce que l’utilisateur définisse un nouveau secret ; ici aussi, cinq fermetures déclenchent une alerte. Testez tout changement forcé et informez le service d’assistance et les utilisateurs que le nouveau secret s’appliquera dès le prochain pré-démarrage.

Restaurer Windows après la récupération de la clé

La récupération et la divulgation autorisées sont encadrées par Récupérer la clé de récupération en toute sécurité. Cette section commence sur l’écran Windows BitLocker avec la clé déjà attribuée et décrit uniquement son utilisation.

Pour la restauration réelle de Windows :

1. Redémarrez l’ordinateur et appuyez sur Esc à l’invite BitLocker.
2. Relevez intégralement le Recovery Key ID affiché à l’écran et comparez-le avec celui de la clé récupérée.
3. Saisissez la clé de récupération directement sur l’appareil.
4. Suivez les instructions à l’écran et définissez un nouveau secret pour le fonctionnement du code PIN ou de la phrase secrète.
5. Connectez-vous normalement, synchronisez et vérifiez que Sophos a stocké une nouvelle clé de récupération.

Si un volume de données reste ensuite verrouillé, le processus est répété avec son propre ID de clé de récupération. Une clé de volume système n’est pas automatiquement la clé d’un volume de données.

En cas de défaut matériel, le lecteur BitLocker peut être connecté à un autre système Windows compatible BitLocker. Sélectionnez là Unlock Drive > More options > Enter recovery key et utilisez l’ID de clé affiché. Avant l’effacement du TPM, la manipulation du protecteur ou toute autre solution de contournement modifiant l’état, assurez-vous d’abord qu’une clé de récupération appropriée est réellement disponible.

Après chaque récupération, la cause est recherchée. Un code PIN oublié, une mise à jour du BIOS, un TPM désactivé ou supprimé, des modifications de démarrage sécurisé, un remplacement de carte mère et une manipulation suspectée nécessitent différentes actions de suivi.

Adopter le BitLocker existant

La reprise s’effectue dans cet ordre :

1. Pour chaque volume, documentez la méthode de chiffrement, l’état de protection, les protecteurs, le Recovery-Key-ID et le système de gestion précédent. Vérifiez le parcours de récupération actuellement utilisable et ouvrez une fenêtre de changement contrôlée.
2. Désactivez, dans l’ancienne administration, toute modification des protecteurs avant que Sophos n’en prenne la gestion. Deux administrations ne doivent jamais modifier les protecteurs en même temps.
3. Installez le composant Sophos, attribuez une stratégie de chiffrement d’appareil efficace et répondez à l’invite locale.
4. Consignez le moment où Sophos remplace les protecteurs BitLocker et les Recovery Keys existants. À partir de cet instant, les anciennes clés ne sont plus valides et ne doivent pas être considérées comme un retour possible ; leur conservation ne les rend pas de nouveau utilisables.
5. Gardez la fenêtre de modification ouverte et l’ancienne infrastructure de gestion inactive mais disponible. Vérifiez dans Sophos Fusion que l’appareil apparaît correctement et que la nouvelle clé Fusion correspond au volume testé. Prouvez une protection active localement et un redémarrage réussi avec une entrée de pré-démarrage.
6. Ce n’est qu’après cette preuve que l’ancienne instance peut être mise hors service.

Tout transfert ultérieur vers une administration tierce s’effectue également dans la fenêtre de changement décrite ci-dessous, sans gestion simultanée des protecteurs.

Distinguer la migration SafeGuard selon l’état initial

Avant chaque migration SafeGuard, inventoriez la version, les modules installés et le chiffrement réel du lecteur. Une installation inconnue ou mixte impose l’arrêt de la procédure. La documentation historique de SafeGuard ne prouve pas que le produit est encore pris en charge.

Limite du cycle de vie : Il n’existe actuellement aucune autorisation fiable et à jour permettant de continuer à exploiter ou de réinstaller SafeGuard Enterprise ou des modules SafeGuard File Encryption après la migration. Cet article ne recommande ni l’un ni l’autre. Si des modules SafeGuard de chiffrement de fichiers, ou des fichiers chiffrés avec ces modules, sont encore présents, interrompez la migration jusqu’à ce que le support Sophos confirme par écrit la version et le module concernés et qu’un parcours d’accès vérifié à ces fichiers soit établi.

SafeGuard Enterprise BitLocker 6.x ou 7.x

Cette branche ne permet aucune reprise directe. Le lecteur système doit d’abord être déchiffré selon la procédure approuvée pour la version SafeGuard installée. La capacité de récupération, l’alimentation et l’espace libre sont vérifiés au préalable. Sophos Device Encryption n’est installé, la Policy attribuée et BitLocker réactivé qu’après confirmation du déchiffrement complet et retrait contrôlé de l’ancienne gestion des lecteurs. La nouvelle clé Fusion et la connexion avant démarrage sont validées avant le retrait de l’ancienne infrastructure de récupération.

SafeGuard Enterprise BitLocker 8.0 ou version ultérieure

Avec cette branche, le module SafeGuard BitLocker peut être supprimé sans déchiffrer les volumes BitLocker :

1. Sous Control Panel > Uninstall a program, sélectionnez Sophos SafeGuard Client avec le bouton droit de la souris et ouvrez Change.
2. Supprimez uniquement le composant BitLocker dans l’assistant d’installation de SafeGuard. Confirmez ensuite localement que le volume est toujours chiffré et accessible.
3. Installez Sophos Device Encryption et attribuez une stratégie activée.
4. Vérifiez la synchronisation, le nouveau protecteur, la clé de récupération Fusion correspondante, l’état de protection et le redémarrage.

Cette étape s’applique uniquement au parcours BitLocker clairement identifié comme version 8.0 ou ultérieure. Elle ne permet aucune conclusion sur la poursuite de l’exploitation d’autres modules SafeGuard ; la limite de cycle de vie énoncée plus haut s’applique à ces modules.

SafeGuard Enterprise Full Disk Encryption

Full Disk Encryption constitue un cas techniquement distinct et ne doit pas être traité comme SafeGuard BitLocker 8 ou version ultérieure. Lors du retrait pris en charge du client SafeGuard, les volumes qu’il chiffre sont déchiffrés ; les fichiers protégés par un chiffrement au niveau des fichiers peuvent rester chiffrés. C’est précisément pourquoi les modules installés et l’accès aux données sont clarifiés avant le retrait. Si des modules de chiffrement de fichiers sont concernés, le critère d’arrêt ci-dessus s’applique jusqu’à l’obtention d’une confirmation écrite du cycle de vie et du parcours de migration.

Tous les prérequis de Sophos Device Encryption et de BitLocker sont préparés avant le début du déchiffrement. La fenêtre pendant laquelle les données sont en clair commence lorsque le déchiffrement complet de SafeGuard est confirmé et ne prend fin qu’après validation de la protection BitLocker et de la Recovery Key Fusion correspondant au volume. Le plan de changement limite cette fenêtre dans le temps et la maintient aussi courte que possible.

Pendant la fenêtre où les données sont en clair, l’appareil reste en maintenance contrôlée : il n’est pas utilisé en production, seules les personnes autorisées à effectuer le changement y accèdent, et l’accès réseau ainsi que les transferts de données sont limités au strict nécessaire pour l’installation et la validation. Après le retrait approuvé, Sophos Device Encryption est installé, la Policy est attribuée et le volume est immédiatement rechiffré avec BitLocker. La fenêtre de changement reste ouverte jusqu’à ce que la protection BitLocker locale soit active, que la Recovery Key Fusion appropriée soit établie et que le redémarrage ainsi que l’authentification avant démarrage prévue aient réussi. L’ensemble de la transition consiste à déchiffrer puis à rechiffrer ; il ne s’agit pas d’une reprise directe des protecteurs.

Déchiffrer de manière contrôlée et mettre hors service

Tout d’abord, l’état cible est déterminé : l’appareil doit-il être complètement déchiffré ou BitLocker doit-il rester actif sous la gestion du successeur ? La désinstallation de l’agent, la suppression des enregistrements de périphérique et le déchiffrement sont trois opérations différentes.

Cet ordre s’applique à un déchiffrement planifié :

1. Selon le type de stratégie, retirez tous les utilisateurs ou l’ordinateur de la stratégie Device Encryption en vigueur et confirmez la synchronisation.
2. À l’aide du compte d’administrateur Windows local, sélectionnez le volume Manage BitLocker > Turn off BitLocker dans l’Explorateur Windows.
3. Garantissez une alimentation continue, prévoyez une fenêtre de maintenance et surveillez le déchiffrement jusqu’à son terme.
4. Utilisez manage-bde -status ou Get-BitLockerVolume pour confirmer que chaque volume prévu est entièrement déchiffré et que la protection est désactivée.
5. Ce n’est qu’après un déchiffrement complet et prouvé que la suppression de l’agent local est transmise à Désinstaller Sophos Endpoint sous Windows. Toute suppression ou restauration ultérieure de l’enregistrement de l’appareil Fusion est effectuée séparément à l’aide de Remplacer ou retirer l’appareil Sophos Central.

Si un administrateur local tente de déchiffrer alors que la stratégie de chiffrement de l’appareil est toujours active, Sophos Fusion remplace la commande locale et le lecteur reste chiffré. A l’inverse, la simple suppression d’une stratégie ou d’un agent ne prouve pas que BitLocker est désactivé ou que le déchiffrement est terminé.

Si BitLocker doit rester actif, la remise suit cet ordre :

1. Ouvrez une fenêtre de modification sans chevauchement. Prouvez la protection BitLocker locale actuelle et la présence d’une Recovery Key Sophos actuelle correspondant au volume ; BitLocker reste activé.
2. Retirez ou désactivez l’administration Sophos locale exclusivement selon Désinstaller Sophos Endpoint sous Windows.
3. Ensuite seulement, confiez immédiatement l’appareil à l’administration qui prend le relais. Deux administrations ne peuvent pas changer de protecteur en même temps.
4. Générez une nouvelle clé de récupération appropriée dans l’administration suivante et conservez-la en lieu sûr.
5. Vérifiez l’état de la protection locale et redémarrez. Ce n’est qu’après avoir obtenu cette preuve que vous pouvez mettre fin à la conservation de la clé de récupération par Sophos et fermer la fenêtre de changement.

La suppression ou la restauration ultérieure de l’enregistrement dans Sophos Fusion reste une action administrative distincte après Remplacer ou retirer le périphérique Sophos Central, et non une désinstallation locale.

Si la validation échoue

N’expérimentez pas l’activation et la désactivation répétées des stratégies, la suppression du TPM ou les modifications du protecteur. Affinez d’abord le symptôme et le niveau :

• Aucune invite : Vérifiez l’affectation de l’utilisateur et de la Policy, la connexion locale plutôt que RDP, la synchronisation de l’agent et la présence du composant Device Encryption.
• Invite reportée : L’utilisateur termine le dialogue et effectue un véritable redémarrage depuis la console locale.
• Échec du test Pre-Boot : Vérifiez le TPM et le firmware, la disposition du clavier, la GPO effective et les événements Windows ; le chiffrement n’a pas encore commencé.
• Chiffré localement, non validé dans Fusion : vérifiez la synchronisation de l’appareil, la réception de la clé de récupération et son association au volume ; le processus central de récupération encadre la vérification sécurisée de la récupération.
• Protector ou algorithme inattendu : Comparez les Group Policies de domaine et locales effectives ainsi que le chiffrement matériel existant avec la Policy Sophos.
• Récupération après une modification du firmware : consignez d’abord la clé appropriée et confirmez la cause ; n’envisagez qu’ensuite une réparation qui modifierait l’état.

Les alertes spécifiques, les erreurs TPM, WMI et de service ainsi que la collecte sécurisée des journaux sont couvertes Corriger systématiquement les erreurs de chiffrement des appareils Sophos.

Questions fréquentes