Déployer Sophos Fusion Device Encryption en toute sécurité
Sophos Fusion Device Encryption gère de manière centralisée le chiffrement des lecteurs Windows et macOS. Le chiffrement proprement dit est toujours assuré par le système d’exploitation : BitLocker sous Windows et FileVault sous macOS. Sophos distribue la Policy, consigne l’état et gère les clés de récupération, mais ne remplace ni le moteur de chiffrement ni les prérequis propres à chaque plateforme.
Pour un déploiement résilient, cinq éléments doivent concorder : une licence valide, le composant Device Encryption installé, une Policy appliquée, un état local pris en charge et un processus de récupération opérationnel. La réussite de l’installation de l’agent ou l’affichage de « 100 % » ne suffit pas.
Ce que Sophos gère – et ce qu’il ne gère pas
Device Encryption protège les volumes de démarrage et, selon la Policy, les volumes de données internes fixes. Les supports amovibles ne sont pas concernés. BitLocker To Go peut chiffrer ces supports, mais Sophos Fusion n’en gère ni l’état ni les clés de récupération.
La gestion s’effectue sous My Products > Encryption. Les deux sections remplissent des fonctions différentes :
- Sous My Products > Encryption > Policies, vous définissez les utilisateurs auxquels Device Encryption s’applique et les volumes concernés.
- Sous My Products > Encryption > Computers, vous évaluez l’état signalé, les composants manquants et la disponibilité de la récupération.
La Policy est attribuée aux utilisateurs ou aux groupes. Sous Windows, la connexion d’un utilisateur concerné suffit à lancer le chiffrement ; la connexion ultérieure d’un utilisateur auquel cette Policy n’est pas attribuée ne supprime pas la protection. Sur un Mac, la Policy doit couvrir tous les utilisateurs prévus pour que leur autorisation et la gestion de la récupération fonctionnent pleinement. Les appareils partagés et les comptes locaux doivent donc faire explicitement partie du pilote.
Conditions préalables à la première politique
Vérifiez d’abord que l’abonnement comprend Device Encryption. Les questions de contrat et de comptabilisation des licences sont traitées dans la vue d’ensemble des licences Sophos Fusion ; pour le déploiement, assurez-vous surtout que la fonction est disponible dans le tenant et qu’elle couvre le périmètre prévu.
Validez ensuite le système d’exploitation, l’architecture et le cycle de vie. Ces informations évoluent plus vite qu’un plan de déploiement et ne doivent pas être recopiées sous forme de liste de versions figée dans la documentation de chiffrement. La procédure est décrite dans Planifier les configurations système requises et le cycle de vie de Sophos Endpoint.
Pour un appareil déjà chiffré, le déploiement ne part pas de zéro. Avant l’affectation, inventoriez l’état local de BitLocker ou FileVault, les clés de récupération existantes, les stratégies de groupe ou les profils MDM ainsi que tout ancien produit de chiffrement. Deux systèmes de gestion ne doivent pas imposer simultanément des paramètres contradictoires. Effectuez ensuite la reprise dans le parcours BitLocker pour Windows ou le parcours FileVault pour macOS, et non au moyen d’un simple interrupteur marche/arrêt.
Le composant doit également être installé. Sous My Environment > Installers, le programme d’installation complet pour Windows ou macOS contient les produits Endpoint couverts par la licence. Choose Components… permet de sélectionner Device Encryption de manière ciblée. Sur Mac, le Device Encryption Agent est installé séparément. La bonne exécution du programme d’installation ne constitue toutefois qu’une étape intermédiaire : la Policy, l’état signalé et la possibilité de récupérer l’appareil restent déterminants.
Traiter l’expiration de la licence comme un risque de récupération
Après l’expiration de la licence de chiffrement, la page de chiffrement de l’appareil disparaît du portail en libre-service. Les utilisateurs ne peuvent plus y récupérer eux-mêmes les clés de récupération. Sophos supprime également la plupart des composants de chiffrement de l’appareil, mais conserve les composants nécessaires à une reconnexion ultérieure.
BitLocker et FileVault ne sont pas désactivés et les lecteurs ne sont pas déchiffrés. C’est précisément là que réside le risque : les données restent protégées, tandis que la gestion centralisée et le libre-service sont limités. Si une clé de récupération BitLocker change dans cette phase non gérée, Central peut encore connaître l’ancienne clé après une réactivation ultérieure.
Le renouvellement de la licence et la récupération ne doivent donc pas dépendre d’une seule et même personne. La personne responsable, la date d’expiration, le chemin d’escalade et un chemin de récupération approuvé sont définis avant le déploiement. La procédure Récupérer la clé de récupération en toute sécurité décrit la récupération, la divulgation de la clé et la documentation du cas.
Commencez le déploiement si petit que les erreurs restent gérables
N’activez pas la Policy initiale pour tous les utilisateurs sans l’avoir validée. Un bon groupe pilote représente les différences qui influencent réellement le chiffrement : générations de matériel, modèles d’ordinateurs portables, versions du système d’exploitation, types de comptes locaux et chiffrement déjà actif. Incluez aussi un appareil qui n’est pas encore chiffré afin de tester un nouveau déploiement.
Sous My Products > Encryption > Policies, créez une Policy Device Encryption et attribuez-la d’abord à ce groupe pilote. Encrypt boot volume only détermine si la Policy Sophos couvre les volumes de données fixes autres que le volume de démarrage. Le choix dépend de l’emplacement réel des données sur les appareils. L’option Windows Encrypt used space only raccourcit le chiffrement initial, mais peut laisser non chiffrées des zones contenant d’anciennes données supprimées sur les supports déjà utilisés ; elle est donc destinée aux ordinateurs nouvellement déployés.
Les autres décisions sont spécifiques à la plateforme. Le TPM, l’authentification avant démarrage, la stratégie de groupe BitLocker et le partitionnement sont définis dans le guide Windows. Les utilisateurs FileVault, l’autorisation locale et la clé de récupération personnelle font partie du guide Mac. Ainsi, la politique commune reste compréhensible sans mélanger deux modèles de sécurité différents.
Ne pas considérer « 100 % » comme une validation du déploiement
La validation technique met en regard les informations de Central et l’état local de l’appareil. Pour chaque appareil pilote, confirmez de façon traçable les points suivants :
- La politique prévue est efficace sur le bon utilisateur et l’appareil.
- Le volume couvert par la Policy est entièrement chiffré localement.
- My Products > Encryption > Computers signale le statut attendu Encrypted.
- La méthode de récupération associée à cet appareil et à ce volume est disponible et validée sur le plan organisationnel.
- Le redémarrage, la connexion et l’authentification de pré-démarrage prévue fonctionnent.
- Les alertes, les responsabilités et l’escalade ont été vérifiées avec un scénario de test sans danger.
Les règles applicables au contrôle de disponibilité et à la divulgation d’une clé figurent dans le processus central de récupération ; le déverrouillage et le contrôle qui suit relèvent du processus BitLocker ou FileVault correspondant. Une invite utilisateur en attente, un redémarrage requis ou une clé absente de Fusion empêchent la validation, même si le système d’exploitation indique déjà que le chiffrement progresse.
Lisez correctement les sept valeurs de statut Central
Le statut sous My Products > Encryption > Computers offre une vue synthétique dans Central. Il ne remplace pas le contrôle local, mais aide à orienter chaque appareil vers la procédure appropriée.
| Statut | Classement |
|---|---|
Encrypted | Les volumes couverts par Sophos sont chiffrés. Pour la validation, la disponibilité de la récupération est également vérifiée. |
Pending | Le chiffrement n’est pas encore terminé ; le processus attend souvent la synchronisation, l’action de l’utilisateur, le redémarrage ou la progression locale. |
Suspended | BitLocker est temporairement suspendu sur au moins un volume. Cela ne signifie pas que le volume est déchiffré. |
Plain | Au moins un volume examiné par Central n’est pas chiffré. L’objectif de la Policy et l’état local doivent être comparés. |
Unmanaged | Device Encryption est présent sur l’ordinateur, mais aucune Policy Device Encryption ne s’applique. |
Not supported | La plateforme ou l’état de fonctionnement local n’est pas pris en charge par Device Encryption. |
Not available | Central ne peut pas fournir d’état de chiffrement, par exemple parce que le composant Device Encryption est manquant. |
Pending n’est pas un code d’erreur et Suspended n’est pas synonyme de déchiffré. Si un état reste inchangé, contredit l’état local ou si la clé de récupération manque, suivez la procédure de diagnostic de Device Encryption au lieu d’activer et de désactiver plusieurs fois la Policy.
Distinguer trois inventaires aux intitulés similaires
Le terme « non géré » peut cacher différentes causes dans Central. Trois cas sont donc séparés pour le nettoyage :
- Le statut
Unmanageddans la liste des ordinateurs signifie que Device Encryption est présent, mais qu’aucune politique appropriée ne fonctionne. - Le filtre Computers without Device Encryption installed sous My Products > Encryption > Computers montre les ordinateurs gérés sur lesquels le composant de chiffrement est absent.
- L’onglet Unmanaged computers contient en outre, après une synchronisation AD, des appareils connus d’Active Directory mais qui n’ont pas de protection Sophos.
Ces groupes ont besoin de mesures différentes. Une affectation de politique n’installe pas automatiquement chaque composant manquant, et un ordinateur connu d’AD n’est pas encore un point de terminaison géré. Seule la cause décide si l’affectation, l’installation, la mise à jour de l’inventaire ou une exception délibérée est correcte.
Séparer clairement les responsabilités dans l’entreprise
Le processus Récupérer la clé de récupération en toute sécurité encadre la récupération et la divulgation sécurisée. Utilisez ensuite le guide BitLocker ou le guide FileVault, selon la plateforme.
En cas de transfert ou de migration, l’état initial est d’abord enregistré. Reprendre ou migrer Sophos Device Encryption sélectionne ensuite le processus Windows ou macOS approprié. L’ancienne administration et la méthode de récupération précédente restent en place jusqu’à ce que le nouvel état soit validé localement et dans Fusion. Les versions inconnues de SafeGuard ou les modules mixtes sont un signal d’arrêt et sont clarifiés avant toute modification ; les notes de version historiques ne constituent pas une confirmation du support actuel.
La mise hors service d’un appareil ne se limite pas non plus à supprimer un enregistrement dans Central. Clarifiez d’abord l’état cible du chiffrement, la responsabilité de la récupération et la désinstallation locale. Suivez ensuite la procédure Remplacer ou mettre hors service un appareil Sophos Fusion. En particulier, une désinstallation d’agent ne transfère pas de clé FileVault à une nouvelle gestion.
Fichiers protégés par mot de passe sous Windows est une fonction autonome de chiffrement de périphérique, mais pas de chiffrement de lecteur et pas de preuve d’un déploiement réussi de BitLocker. La Policy, le mode d’envoi, le parcours du destinataire et la transmission séparée du mot de passe sont donc planifiés et testés dans une procédure dédiée, et non activés incidemment dans la Policy de déploiement.