Gestire BitLocker con Sophos Fusion

Sophos Device Encryption attiva e gestisce Microsoft BitLocker. La crittografia dell’unità e l’autenticazione pre-avvio restano funzioni di Windows. Hardware, firmware, criteri di gruppo BitLocker e policy Sophos devono quindi essere compatibili tra loro.

In breve: creare una policy Device Encryption in My Products > Encryption > Policies, assegnare gli utenti o i gruppi, configurare le impostazioni di Windows e attivare la policy. Un utente assegnato deve quindi accedere in locale al dispositivo pilota, completare le finestre di dialogo e i riavvii richiesti da Sophos ed eseguire il test di pre-avvio. Il rollout è completo soltanto dopo aver verificato lo stato locale di BitLocker, lo stato in Sophos Fusion e la disponibilità della chiave di ripristino corretta.

Verificare requisiti e compatibilità

Prima dell’attivazione, verificare almeno i punti seguenti:

• Edizione di Windows, build, livello di patch e stato del ciclo di vita in base a Requisiti di sistema e cicli di vita per Sophos Endpoint. La matrice storica dei protector riportata più avanti non costituisce un’approvazione all’uso di versioni obsolete di Windows.
• Sophos Core Agent installato e in comunicazione con il componente Device Encryption coperto dalla licenza.
• Supporto BitLocker per l’edizione Windows e una modalità di autenticazione adatta al dispositivo.
• TPM abilitato e pronto; con TPM 2.0 un disco di sistema formattato GPT e modalità UEFI.
• Spazio sufficiente per la partizione di sistema e di ripristino. I volumi di 64 MB o inferiori vengono ignorati da Sophos.
• Nessun secondo sistema che gestisca contemporaneamente protector BitLocker, metodi di crittografia o chiavi di ripristino.
• Processo di ripristino definito e personale autorizzato prima di sostituire il primo protector.

I dischi dinamici non sono supportati per il volume di sistema; i volumi di dati presenti su dischi dinamici vengono ignorati. Non sono supportate neppure le partizioni Windows create con Boot Camp su un Mac. Windows può crittografare i supporti rimovibili con BitLocker To Go, ma Sophos Fusion non ne gestisce lo stato né le chiavi di ripristino.

Sophos Device Encryption supporta BitLocker con pre-provisioning e le unità già crittografate. Per i nuovi volumi utilizza la crittografia software e non modifica automaticamente un’eventuale crittografia hardware esistente. Un’installazione BitLocker già gestita può essere presa in carico soltanto durante una finestra di modifica controllata, senza che due sistemi gestiscano contemporaneamente i protector. Sophos sostituisce le chiavi di ripristino precedenti, che da quel momento non sono più valide e non costituiscono una via di ritorno. La sequenza completa è descritta in Prendere in gestione BitLocker esistente.

Attivare e disattivare ripetutamente la policy non risolve un errore TPM. Controllare anzitutto lo stato del TPM, gli eventi di Windows e lo stato locale di BitLocker.

Configurare la policy Device Encryption

1. Aprire My Products > Encryption > Policies, selezionare Add Policy e creare una policy Device Encryption.
2. Assegnare utenti o gruppi di utenti. In Windows, l’accesso locale di un utente assegnato avvia la configurazione. L’unità resta crittografata anche quando accede un utente non incluso nella policy.
3. Attivare Device Encryption is on nella scheda Settings.
4. Valutare con attenzione Encrypt boot volume only. Se l’opzione è disattivata, dopo il volume di sistema vengono crittografati anche i volumi dati fissi supportati.
5. In Advanced Windows settings, stabilire se sia necessaria l’opzione Require startup authentication, attiva per impostazione predefinita. Se viene disattivata, Sophos usa TPM only sui dispositivi compatibili.
6. Utilizzare Encrypt used space only esclusivamente sui dispositivi appena predisposti. La crittografia iniziale è più rapida, ma i dati cancellati in precedenza dalle aree considerate libere possono restare non crittografati.
7. Se necessario, utilizzare Require new authentication password/PIN from users per definire l’intervallo di modifica del PIN o della passphrase. Questa funzione è disponibile in Windows da Device Encryption 2.0 ed è disattivata per impostazione predefinita.
8. Salvare la policy, attivarla e assegnarla prima a un gruppo pilota rappresentativo.

Un’impostazione bloccata può dipendere da una preferenza globale definita dal partner Sophos o dall’amministratore aziendale. Verificare questa possibilità prima di ritenere errata la policy locale.

Selezionare la modalità di autenticazione

Il tipo di protector installato dipende dal dispositivo, dai criteri di gruppo BitLocker e da Require startup authentication. Nella matrice seguente, 1 indica la prima scelta di Sophos. 1* si applica soltanto quando Require startup authentication è disattivato. Se l’opzione è attiva, TPM only non è disponibile e, sui dispositivi compatibili, viene preferito TPM + PIN.

Windows 7 e 8.1 sono riportati esclusivamente per mantenere completa la corrispondenza dei protector documentata da Sophos. La loro presenza nella tabella non equivale a una raccomandazione per un rollout attuale: il supporto va verificato separatamente rispetto al ciclo di vita indicato nel collegamento precedente. La chiave USB è pertanto soltanto un’opzione storica della matrice di Windows 7, non una scelta consigliata per nuove distribuzioni. In modalità FIPS di Windows, Sophos documenta la gestione di BitLocker per Windows 8.1, 10 e 11; neppure questa indicazione costituisce un’approvazione corrente di tali sistemi operativi. Windows 7 non può archiviare in Active Directory Domain Services una password di ripristino BitLocker conforme a FIPS.

• TPM only richiede un TPM predisposto e un oggetto Criteri di gruppo che consenta questo protector; anche Require startup authentication deve essere disattivato. La modalità non aggiunge alcun passaggio al pre-avvio. È semplice da gestire, ma offre una protezione inferiore contro un soggetto che controlli fisicamente il dispositivo e riesca a sbloccare l’ambiente Windows.
• TPM + PIN richiede un TPM predisposto e un oggetto Criteri di gruppo che consenta questo protector. Il PIN è composto da 4 a 20 caratteri, soltanto numerici, a meno che la GPO Allow enhanced PINs for startup non consenta anche lettere e caratteri speciali. Tutti gli utenti dello stesso computer condividono il PIN; dopo il pre-avvio, ciascuno accede a Windows con le proprie credenziali. Il Single Sign-On di Windows non è supportato. Questa modalità aumenta la protezione pre-avvio, ma anche l’impegno necessario per il rollout, l’helpdesk e il ripristino.
• Passphrase richiede Windows 8 o versioni successive e un criterio di gruppo che consenta questa modalità. La passphrase deve contenere da 8 a 100 caratteri. È l’opzione Sophos per i sistemi elencati privi di TPM. Nell’ambiente di pre-avvio, per passphrase e PIN è disponibile soltanto il layout di tastiera inglese statunitense; occorre quindi provare i caratteri speciali sull’hardware effettivo.
• La USB Key deve essere collegata, scrivibile e formattata con NTFS, FAT o FAT32 ad ogni avvio; exFAT non è supportato. Questa opzione legacy non viene utilizzata come fallback per un dispositivo corrente non supportato.

La selezione segue il modello di minaccia, l’hardware e il processo di supporto, non un rafforzamento massimo generale. Se il protector applicato non corrisponde alla riga prevista, controllare anzitutto Require startup authentication, lo stato del TPM e i criteri di gruppo BitLocker.

Correggere i criteri di gruppo di BitLocker

Gli oggetti Criteri di gruppo di Windows possono specificare l’autenticazione, gli algoritmi, l’archiviazione di ripristino e la crittografia hardware. Se le impostazioni di autenticazione pertinenti sono impostate su Not configured, Sophos può impostare i valori GPO per consentire le modalità previste. Un criterio configurato manualmente in Computer Configuration > Administrative Templates > Windows Components > BitLocker Drive Encryption > Operating System Drives, invece, non viene sovrascritto. Inoltre, i valori impostati da Sophos non compaiono necessariamente nell’Editor Criteri di gruppo locali; sono memorizzati in HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\FVE.

Prima del progetto pilota, documentare i criteri locali e di dominio effettivamente applicati, indicandone l’origine. Verificare in particolare:

• protezioni di avvio consentite e requisiti TPM,
• password di ripristino e relativa archiviazione aggiuntiva, ad esempio in Active Directory,
• Metodo di crittografia e specifiche software o hardware,
• Requisiti della smart card e altre impostazioni non supportate da Sophos.

Sophos crittografa i nuovi volumi per impostazione predefinita utilizzando AES-256 basato su software; AES-128 è possibile tramite policy di gruppo. Un oggetto Criteri di gruppo esistente che richiede la crittografia hardware non viene sovrascritto. Sophos Device Encryption non supporta il requisito della smart card per BitLocker e segnala un evento di errore. Se i criteri di gruppo e la policy Sophos sono in conflitto, in genere la crittografia resta in sospeso o termina con un errore. Occorre risolvere il conflitto, non riassegnare ripetutamente la policy.

Network Unlock non può essere configurato o gestito con Sophos Fusion. Un’infrastruttura di sblocco di rete BitLocker configurata separatamente e correttamente può essere utilizzata in parallelo.

Gestire il rollout e le richieste agli utenti

L’applicazione iniziale e il controllo pre-avvio vengono eseguiti sulla console locale. Le finestre di dialogo richieste non vengono visualizzate tramite Desktop remoto e la policy Device Encryption non viene applicata. Non è possibile eseguire nemmeno l’autenticazione pre-avvio tramite Desktop remoto.

Il processo sul dispositivo è:

1. L’utente assegnato accede localmente; l’agente si connette e si sincronizza con Sophos Fusion.
2. Se il TPM non è ancora attivato, il processo richiede un intervento nel firmware o nel BIOS e un riavvio. Se il TPM è attivo ma non ancora inizializzato oppure mancano le Endorsement Key, l’agente tenta di prepararlo.
3. Se manca la partizione di sistema BitLocker, Sophos avvia BdeHdCfg.exe, prepara l’unità e richiede un riavvio effettivo. La crittografia non inizia finché il riavvio non viene completato correttamente.
4. Quando l’autenticazione all’avvio è attiva, l’utente imposta il PIN, la passphrase o la chiave USB nella finestra di dialogo Sophos Device Encryption. Con Do this later può rimandare l’operazione, ma anche la crittografia resta in sospeso.
5. Restart and Encrypt avvia il test hardware di pre-avvio. Se l’immissione delle credenziali non riesce prima dell’avvio della crittografia, l’utente può premere Esc per avviare normalmente Windows; la richiesta ricomparirà all’accesso successivo.
6. Dopo il superamento del test, Sophos crittografa prima il volume di sistema e poi, se previsto dalla policy, i volumi dati fissi in background. Lo sblocco automatico di questi ultimi è associato al volume di sistema.

I log diagnostici CDE.log e CDE_trace.xml si trovano in %ProgramData%\Sophos\Sophos Data Protection\Logs. Servono ad analizzare la causa del problema, ma non sostituiscono la verifica dello stato locale di BitLocker.

Convalidare stato e report

In My Products > Encryption > Computers, l’elenco dei dispositivi può essere filtrato in base allo stato e al metodo di crittografia. La pagina dei dettagli del computer mostra il metodo e l’algoritmo di crittografia per ciascun volume e, in Windows, anche Encrypted since. Per i dispositivi adottati o aggiornati, questa data può indicare l’ora dell’installazione o dell’aggiornamento e pertanto non è sempre la data di crittografia originale.

Un prompt dei comandi amministrativo e PowerShell sono adatti per il controllo locale di sola lettura:

manage-bde -status

Get-BitLockerVolume

Per tutti i volumi previsti, controllare almeno Conversion Status, Protection Status, Lock Status, il metodo di crittografia e i Key Protectors presenti. La convalida richiede che:

1. il volume di sistema e tutti i volumi dati fissi inclusi nella policy siano completamente crittografati e la protezione sia attiva;
2. il protector effettivamente installato corrisponda alla policy, all’oggetto Criteri di gruppo e al rischio approvato;
3. Sophos Fusion mostri il dispositivo in My Products > Encryption > Computers con lo stato previsto e un metodo plausibile;
4. la chiave di ripristino associata al volume sia archiviata in Sophos Fusion. Le regole per Show Key e i test di disponibilità sono descritte in Recuperare in sicurezza la chiave di ripristino;
5. il riavvio e l’autenticazione pre-avvio prevista funzionino sull’hardware reale;
6. su un dispositivo di prova separato siano stati verificati il processo di ripristino concordato e una tipica modifica del firmware o del TPM.

Un avanzamento del 100% non è sufficiente: senza una protezione attiva e una capacità di ripristino verificata, il dispositivo non può essere accettato. Gli eventi di crittografia possono essere esaminati anche in Reports > General Logs > Events; i criteri di filtro, esportazione e conservazione sono descritti in Valutazione di eventi e report di Sophos Endpoint.

Rinnovare PIN o passphrase

L’intervallo di modifica si imposta nella policy Device Encryption mediante Require new authentication password/PIN from users. Se l’utente chiude la finestra di dialogo, questa ricompare dopo ogni riavvio; dopo cinque chiusure, Sophos genera un avviso.

Per un singolo dispositivo, aprire la pagina dei dettagli del computer e, nella scheda Summary, usare l’azione Trigger change of password/PIN in Device Encryption. La richiesta continua a comparire sull’endpoint finché l’utente non imposta un nuovo segreto; anche in questo caso, dopo cinque chiusure viene generato un avviso. Pianificare la modifica forzata e informare helpdesk e utenti che il nuovo segreto avrà effetto dal pre-avvio successivo.

Ripristinare Windows dopo il recupero della chiave

Il recupero autorizzato e l’associazione della chiave sono descritti in Recuperare in sicurezza la chiave di ripristino. Questa sezione inizia nella schermata Windows BitLocker con la chiave già assegnata e ne descrive solo l’utilizzo.

Per il ripristino effettivo di Windows:

1. Riavviare il computer e premere Esc alla richiesta di BitLocker.
2. Annotare per intero il Recovery Key ID visualizzato e confrontarlo con la chiave recuperata.
3. Inserire la chiave di ripristino direttamente sul dispositivo.
4. Seguire le istruzioni visualizzate e, se si utilizza un PIN o una passphrase, impostare una nuova credenziale.
5. Effettuare l’accesso normalmente, effettuare la sincronizzazione e verificare che Sophos abbia memorizzato una nuova chiave di ripristino.

Se in seguito un volume dati rimane bloccato, ripetere la procedura con la Recovery Key ID specifica di quel volume. Una chiave del volume di sistema non è automaticamente la chiave di un volume di dati.

In caso di guasto hardware, è possibile collegare l’unità BitLocker a un altro sistema Windows abilitato per BitLocker. Selezionare Unlock Drive > More options > Enter recovery key e usare l’ID chiave visualizzato. Prima di cancellare il TPM, modificare i protector o tentare altre soluzioni che alterino lo stato, accertarsi che sia effettivamente disponibile una chiave di ripristino appropriata.

Dopo ogni ripristino occorre chiarire la causa. Un PIN dimenticato, un aggiornamento del BIOS, un TPM disattivato o cancellato, modifiche a Secure Boot, la sostituzione della scheda madre e un sospetto di manomissione richiedono interventi successivi diversi.

Prendere in gestione BitLocker esistente

Per la presa in gestione, procedere nell’ordine seguente:

1. Documentare, per ogni volume, metodo di crittografia, stato di protezione, protector, Recovery-Key-ID e gestione precedente. Verificare il percorso di ripristino attualmente utilizzabile e aprire una finestra di modifica controllata.
2. Impedire al sistema di gestione precedente di modificare i protector prima che Sophos ne assuma il controllo. Due sistemi di gestione non devono mai modificare contemporaneamente i protector.
3. Installare il componente Sophos, assegnare una policy Device Encryption effettiva e completare la richiesta locale.
4. Registrare il momento in cui Sophos sostituisce i protector e le chiavi di ripristino BitLocker esistenti. Da quel momento le chiavi precedenti non sono più valide e non possono essere considerate una via di ritorno; conservarne i valori non le rende nuovamente utilizzabili.
5. Mantenere aperta la finestra di modifica e lasciare disponibile, ma inattiva, la precedente infrastruttura di gestione. Verificare in Sophos Fusion che il dispositivo compaia correttamente e che la nuova chiave Fusion corrisponda al volume sottoposto a test. Confermare in locale che la protezione sia attiva e che il riavvio con autenticazione pre-avvio riesca.
6. Disattivare l’istanza precedente soltanto dopo aver completato tutte queste verifiche.

Anche un successivo passaggio a un sistema di gestione di terze parti deve avvenire, nella finestra di modifica descritta di seguito, senza gestione parallela dei protector.

Distinguere la migrazione SafeGuard in base allo stato iniziale

Prima di ogni migrazione di SafeGuard, vengono inventariati la versione, i moduli installati e l’effettiva crittografia dell’unità. Un’installazione sconosciuta o mista impone di interrompere la procedura. La documentazione storica di SafeGuard non fornisce prova dell’attuale supporto del prodotto.

Limite del ciclo di vita: al momento non esiste un’approvazione di supporto corrente che consenta di continuare a utilizzare o reinstallare moduli SafeGuard Enterprise o SafeGuard File Encryption dopo la migrazione. Questo articolo non raccomanda nessuna delle due opzioni. Se sono ancora presenti moduli SafeGuard per la crittografia dei file o file crittografati con tali moduli, interrompere la migrazione finché il Supporto Sophos non conferma per iscritto la versione e il modulo specifici e non è stato definito un percorso verificato per accedere a quei file.

SafeGuard Enterprise BitLocker 6.x o 7.x

Questo ramo non consente l’adozione diretta. L’unità di sistema deve prima essere decrittografata utilizzando la procedura approvata per la versione esistente di SafeGuard. Verificare preventivamente la possibilità di ripristino, l’alimentazione e lo spazio libero. Installare Sophos Device Encryption, assegnare la policy e crittografare nuovamente il volume con BitLocker soltanto dopo aver confermato il completamento della decrittografia e aver rimosso in modo controllato il precedente sistema di gestione. Convalidare la nuova chiave in Fusion e l’accesso al pre-avvio prima di dismettere la precedente infrastruttura di ripristino.

SafeGuard Enterprise BitLocker 8.0 o successivo

Con questo ramo è possibile rimuovere il modulo SafeGuard BitLocker senza decrittografare i volumi BitLocker:

1. In Control Panel > Uninstall a program, fare clic con il pulsante destro su Sophos SafeGuard Client e scegliere Change.
2. Rimuovere il componente BitLocker soltanto mediante l’installazione guidata di SafeGuard. Confermare quindi in locale che il volume sia ancora crittografato e accessibile.
3. Installare Sophos Device Encryption e assegnare una policy attiva.
4. Convalidare la sincronizzazione, il nuovo protector, la chiave di ripristino Fusion corrispondente, lo stato di protezione e il riavvio.

Questa procedura si applica soltanto al ramo BitLocker identificato senza ambiguità come versione 8.0 o successiva. Non autorizza a continuare a utilizzare altri moduli SafeGuard; per tali moduli si applica il limite del ciclo di vita descritto sopra.

SafeGuard Enterprise Full Disk Encryption

Full Disk Encryption è un ramo tecnico distinto e non va trattato come SafeGuard BitLocker 8+. Durante la rimozione guidata di SafeGuard Client, i volumi protetti con FDE vengono decrittografati, mentre i file protetti da moduli di crittografia file possono restare cifrati. Per questo motivo, prima della rimozione occorre accertare i moduli installati e l’accessibilità dei dati. Se sono presenti moduli di crittografia file, si applica il criterio di arresto precedente finché non si ottiene una conferma scritta sul ciclo di vita e sull’autorizzazione alla migrazione.

Predisporre tutti i prerequisiti di Sophos Device Encryption e BitLocker prima di iniziare la decrittografia. La finestra in chiaro inizia alla conferma della decrittografia completa di SafeGuard e termina soltanto dopo la convalida della protezione BitLocker e della chiave di ripristino in Fusion associata al volume. Il piano di modifica deve limitarne la durata e mantenerla quanto più breve possibile.

Durante la finestra in cui i dati sono in chiaro, il dispositivo resta in manutenzione controllata: non viene usato in produzione, vi accede soltanto il personale autorizzato alla modifica e l’accesso alla rete e i trasferimenti di dati sono limitati a quanto serve per l’installazione e la convalida. Dopo la rimozione approvata di SafeGuard, si installa Sophos Device Encryption, si assegna la policy e si ricrittografa subito il volume con BitLocker. La finestra di modifica resta aperta finché la protezione BitLocker locale non è attiva, la chiave di ripristino in Fusion non risulta associata al volume e il riavvio con l’autenticazione pre-avvio prevista non ha esito positivo. L’intero passaggio prevede decrittografia e successiva ricrittografia: non è una presa in carico diretta dei protector.

Decrittografare e disattivare in modo controllato

Innanzitutto viene determinato lo stato di destinazione: il dispositivo deve essere completamente decrittografato o BitLocker deve rimanere attivo sotto la gestione successiva? La disinstallazione dell’agente, l’eliminazione dei record del dispositivo e la decrittografia sono tre operazioni diverse.

Per una decrittografia pianificata, procedere nell’ordine seguente:

1. In base al tipo di policy, rimuovere tutti gli utenti o il computer dalla policy Device Encryption effettivamente applicata e confermare la sincronizzazione.
2. Con un account amministratore locale di Windows, selezionare il volume in Esplora file e scegliere Manage BitLocker > Turn off BitLocker.
3. Garantire l’alimentazione e una finestra di manutenzione adeguata, quindi monitorare la decrittografia fino al completamento.
4. Utilizzare manage-bde -status o Get-BitLockerVolume per confermare che ciascun volume previsto sia completamente decrittografato e che la protezione sia disattivata.
5. Solo dopo aver dimostrato il completamento della decrittografia, rimuovere l’agente locale seguendo Disinstallare Sophos Endpoint su Windows. Qualsiasi successiva eliminazione o ripristino del record del dispositivo Fusion viene eseguita separatamente tramite Sostituisci o ritira dispositivo Sophos Central.

Se un amministratore locale tenta la decrittografia mentre la policy Device Encryption è ancora attiva, Sophos Fusion annulla il comando locale e l’unità rimane crittografata. Al contrario, la semplice rimozione di una policy o di un agente non dimostra che BitLocker sia disattivato o che la decrittografia sia stata completata.

Se BitLocker deve restare attivo, eseguire il passaggio di gestione nell’ordine seguente:

1. Aprire una finestra di modifica senza sovrapposizioni. Verificare la protezione BitLocker locale e la disponibilità di una chiave di ripristino Sophos aggiornata e corrispondente al volume; BitLocker deve restare attivo.
2. Rimuovere o disattivare la gestione locale di Sophos esclusivamente seguendo Disinstallare Sophos Endpoint su Windows.
3. Solo a questo punto registrare immediatamente il dispositivo nel sistema di gestione successivo. Due sistemi di gestione non devono modificare contemporaneamente i protector.
4. Generare una nuova chiave di ripristino adatta nell’amministrazione successiva e mantenerla al sicuro.
5. Controllare lo stato della protezione locale ed eseguire un riavvio. Soltanto dopo questa verifica si può terminare la gestione della chiave di ripristino da parte di Sophos e chiudere la finestra di modifica.

La successiva eliminazione o il ripristino del record in Sophos Fusion resta un’attività amministrativa separata, da eseguire secondo Sostituire o ritirare il dispositivo Sophos Central, non una disinstallazione locale.

Se la convalida non riesce

Non tentare ripetute attivazioni e disattivazioni della policy, cancellazioni del TPM o modifiche dei protector. Individuare prima il sintomo e il livello interessato:

• Nessun prompt: controllare l’assegnazione di utente e policy, l’accesso locale anziché RDP, la sincronizzazione dell’agente e il componente Device Encryption installato.
• Richiesta rimandata: l’utente deve completare la finestra di dialogo ed eseguire un vero riavvio dalla console locale.
• Test pre-avvio non riuscito: controllare TPM e firmware, il layout della tastiera, l’oggetto Criteri di gruppo effettivamente applicato e l’evento Windows; il volume non è ancora crittografato.
• Crittografia locale, non convalidata in Fusion: controllare la sincronizzazione del dispositivo, la ricezione della chiave di ripristino e l’associazione del volume; per verificare il recupero sicuro, seguire il processo di ripristino centrale.
• Protector o algoritmo inatteso: confrontare i criteri di dominio e locali effettivamente applicati e l’eventuale crittografia hardware con la policy Sophos.
• Ripristino dopo una modifica del firmware: mettere prima al sicuro la chiave appropriata e confermare la causa; soltanto in seguito valutare un intervento correttivo che modifichi lo stato.

Gli avvisi specifici, gli errori relativi a TPM, WMI e servizi e la raccolta sicura dei log sono trattati in Risolvere sistematicamente i problemi di Sophos Device Encryption.

Domande frequenti