Eliminare gli utenti Sophos Fusion in sicurezza

L’eliminazione è breve: nella scheda Users, in My Environment > Users & Groups, si seleziona l’utente e si fa clic su Delete. Un offboarding sicuro inizia però prima. Sophos Fusion (in precedenza Sophos Central) può ricreare l’oggetto da una directory o quando l’utente accede di nuovo a un dispositivo associato ancora gestito.

Procedura rapida per un offboarding controllato

1. Verificare autorizzazione e identità; non è possibile eliminare il proprio account.
2. Rimuovere dalla sincronizzazione attiva un utente proveniente da directory e impedire nuovi accessi sui dispositivi gestiti associati.
3. Per Phish Threat, controllare Last Targeted e Last Enrolled e attendere la fine dell’eventuale finestra di 30 giorni.
4. Preparare gli effetti su dispositivi, login e mailbox mostrata in Sophos Fusion; verificare i dispositivi Mobile assegnati e il valore salvato di Device assignment prima di Delete.
5. In My Environment > Users & Groups > Users, selezionare l’utente e fare clic su Delete.
6. Controllare subito l’elenco, ripetere dopo la sincronizzazione pertinente successiva e monitorare eventuali login sui dispositivi.

Verifiche prima dell’eliminazione

Autorizzazioni e accesso amministrativo

Un Super Admin o un Admin può eliminare utenti. Solo un Super Admin può eliminare un utente amministratore. Nemmeno un Super Admin può eliminare il proprio account.

Prima di rimuovere un amministratore, mantenere disponibile un altro Super Admin testato. Registrare ruoli, metodi MFA, accesso federato, indagini aperte e responsabilità operative. È una raccomandazione di offboarding: la pagina ufficiale non afferma che Delete termini subito una sessione esistente. Verificare quindi le sessioni separatamente. La rimozione dei ruoli è descritta in Assegnare correttamente i ruoli amministrativi di Sophos Fusion.

Bloccare le fonti di ricreazione automatica

Per un utente aggiunto tramite AD, Microsoft Entra ID, Google Directory o un altro servizio directory, disattivare prima l’account sorgente o rimuoverlo dallo Scope sincronizzato. Se resta nella fonte, Sophos Fusion lo aggiunge di nuovo alla sincronizzazione successiva. Attendere un Sync riuscito e verificare lo Scope usando proprio quell’utente.

Sophos Fusion ricrea l’utente anche se accede a un dispositivo associato ancora gestito. Assegnare prima il dispositivo a un Owner rimanente o gestirlo con la procedura approvata. L’eliminazione dell’utente non sostituisce una procedura per i dispositivi approvata separatamente; per i dispositivi Mobile assegnati si applica anche la seguente verifica preliminare.

Verificare i dispositivi Mobile assegnati prima di Delete

Prima di eliminare l’utente, verificare in My Environment > Mobile Devices e in People in Sophos Mobile quali dispositivi Mobile sono assegnati alla persona. Registrare il valore attualmente salvato in Setup > Sophos setup > User setup > Device assignment, senza presumere un valore predefinito. Per questi dispositivi, la guida di Mobile descrive Unassign user from device, Unenroll device o Delete device come possibili impostazioni in caso di eliminazione dell’utente. L’impostazione valida per l’intero tenant non è né un singolo cambio di proprietario né il pulsante Delete separato di un dispositivo; non modificarla temporaneamente per una sola persona.

Verificare edizione, piattaforma, modalità di enrollment, proprietà, backup dei dati e possibili conseguenze della deregistrazione o del ripristino secondo Sophos Mobile: gestire in sicurezza l’assegnazione degli utenti e l’offboarding. La guida generale di Fusion sull’eliminazione e la guida di Mobile hanno ambiti di applicazione diversi; non dimostrano né il fattore scatenante concreto né una specifica conseguenza sui dispositivi Mobile dell’eliminazione di un utente Fusion nel proprio tenant. Se le possibili conseguenze rilevanti sui dispositivi o sui dati restano poco chiare, fermarsi prima di Delete e richiedere un’escalation. Ottenere un chiarimento vincolante dal produttore oppure un’osservazione del tenant autorizzata specificamente, e far approvare separatamente la procedura per i dispositivi; un test non è obbligatorio e un’eliminazione di prova non è un metodo di chiarimento.

Comprendere gli effetti su Phish Threat, mailbox e login

Se l’utente è stato iscritto a una campagna Phish Threat negli ultimi 30 giorni, può ricomparire in Users & Groups. Controllare Last Targeted e Last Enrolled. Se la data rilevante è ancora nella finestra, rinviare l’eliminazione fino alla scadenza.

Delete rimuove la mailbox associata da Mailboxes. La pagina Sophos descrive l’associazione in Sophos Fusion; non afferma che una mailbox esterna o i messaggi siano eliminati. Per Sophos Email, verificare separatamente flusso di posta, responsabilità delle Shared Mailbox e policy effettive.

I login di un utente eliminato possono essere riassegnati dalla pagina dettagli di un altro utente con Edit. Farlo solo quando le identità rappresentano la stessa persona. Prima registrare login, dispositivo e profilo di destinazione.

Eliminare l’utente

1. Accedere a fusion.sophos.com e aprire My Environment > Users & Groups.
2. Selezionare la scheda Users.
3. Selezionare la casella accanto a ogni utente da eliminare.
4. Fare clic su Delete.

Per un’eliminazione multipla, applicare le stesse verifiche a ogni persona. Se fonte, mailbox o dispositivo non sono chiari anche per un solo record, escluderlo e analizzarlo separatamente.

Convalidare il risultato

Subito dopo l’eliminazione, cercare in Users & Groups > Users l’indirizzo email completo o il login noto. L’utente non deve più comparire. La guida generale di Fusion sull’eliminazione descrive la conservazione dei dispositivi associati e del software Sophos installato; la loro presenza non indica un errore nell’eliminazione dell’utente. Non dedurre da questo uno stato finale atteso per i dispositivi Mobile precedentemente assegnati: verificare assegnazione, stato di gestione e stato effettivo del dispositivo in base all’impostazione Device assignment documentata e alla procedura Mobile approvata separatamente. La presenza o l’assenza di un record non dimostra né il completamento della deregistrazione né l’eliminazione dei dati locali. Se l’effetto non è chiaro, interrompere le ulteriori azioni e richiedere un’escalation.

Eseguire poi i controlli adatti alla fonte:

• dopo un Directory Sync riuscito, l’utente resta assente;
• l’utente non accede di nuovo a un dispositivo gestito precedentemente associato; se lo fa e ricompare, si tratta del fattore di ricreazione documentato da Sophos;
• dopo la finestra Phish Threat, il record resta assente;
• lo stato voluto in Mailboxes e la configurazione Email verificata separatamente sono corretti;
• i login riassegnati compaiono solo nel profilo di destinazione verificato.

Se serve una prova operativa, registrare ora, amministratore e risultato e consultare anche l’Audit Log. La pagina Sophos assegnata non specifica il nome di un Event; una stringa presunta non è quindi un criterio affidabile.

Eliminazione accidentale e limiti del ripristino

Le istruzioni ufficiali non documentano funzioni Undo o Restore. In caso di errore, interrompere le altre pulizie, registrare l’oggetto e ricrearlo in modo controllato tramite la fonte utente ancora autorevole. Gestire utenti e gruppi Sophos Fusion descrive i normali metodi di creazione.

La ricreazione automatica tramite Sync o login dispositivo non è un rollback documentato. Sophos non dichiara che ruoli, gruppi, policy, MFA, cronologia Phish Threat o associazioni mailbox siano ripristinati integralmente. Confrontare ogni assegnazione con l’inventario precedente. I login possono poi essere riassegnati con Edit.

Problemi comuni

Delete non è disponibile o viene rifiutato

Controllare prima ruolo e account di destinazione. Un Admin non può eliminare un amministratore e nessuno può eliminare il proprio account. Deve intervenire un altro Super Admin.

La mailbox manca dopo l’eliminazione

La rimozione da Mailboxes è un effetto espressamente documentato. Non ricreare subito una mailbox esterna: verificare separatamente Sophos Fusion, piattaforma di posta e flusso.

I dispositivi sono ancora visibili

È un comportamento previsto nell’ambito di applicazione della guida generale di Fusion sull’eliminazione: la guida descrive che Delete non rimuove né i dispositivi associati né il software Sophos. Questa aspettativa generale non vale per i dispositivi Mobile assegnati. Verificare il valore di Device assignment documentato in precedenza, l’assegnazione, lo stato di gestione e lo stato effettivo del dispositivo secondo la procedura Mobile collegata; la sola visibilità non dimostra né il successo né il fallimento di un’azione sul dispositivo. Cambio Owner, migrazione o rimozione del dispositivo restano procedure distinte, da convalidare separatamente. Se le conseguenze sui dispositivi o sui dati non sono chiare, interrompere le ulteriori azioni e richiedere un’escalation.

Domande frequenti