Introdurre in sicurezza Sophos Central Device Encryption
Sophos Central Device Encryption gestisce la cifratura del disco integrata in Windows e macOS: BitLocker su Windows e FileVault su macOS. Sophos non fornisce un motore di cifratura separato, ma applica Policies, raccoglie lo stato e gestisce i Recovery Key.
Vengono gestiti il volume di boot e i volumi dati fissi, non i supporti rimovibili. BitLocker To Go può cifrare tali supporti, ma Sophos Central non ne gestisce né stato né Recovery Key.
Prerequisiti e licenza
Prima del rollout si verificano licenza, sistema operativo supportato, hardware e cifratura esistente. Un dispositivo può essere già gestito tramite BitLocker, FileVault, Group Policy, MDM o un prodotto precedente.
Un’installazione Endpoint riuscita non dimostra che Device Encryption sia licenziato, selezionato o tecnicamente pronto. In My Environment > Installers, gli installer completi per Windows e macOS includono tutti i prodotti Endpoint coperti dalla licenza. In alternativa, con Choose Components… si può selezionare in modo specifico Device Encryption. Dopo l’installazione si verificano la Policy effettiva e lo stato di cifratura segnalato, senza basarsi soltanto sull’esito dell’installer.
Cosa accade alla scadenza della licenza
Alla scadenza della licenza Encryption, la pagina Device Encryption scompare dal Self Service Portal. Gli utenti non possono più recuperare autonomamente i Recovery Key. Sophos rimuove inoltre dal dispositivo la maggior parte dei componenti Encryption, lasciando però quelli necessari per una successiva riconnessione.
BitLocker e FileVault non vengono disattivati e le unità non vengono decifrate. Questo rende critica una scadenza non pianificata: la protezione resta attiva mentre gestione centrale e Recovery sono limitati. Se un BitLocker Recovery Key cambia durante questa fase non gestita, dopo la riattivazione della licenza Central conosce inizialmente ancora la vecchia Key. Il rinnovo della licenza e un processo indipendente di Emergency Recovery fanno quindi parte della pianificazione operativa.
Prima Owner e processo Recovery
Prima di attivare la prima Policy sono definite le seguenti decisioni:
- Chi può recuperare i Recovery Key?
- Come viene verificata l’identità dell’utente richiedente?
- Viene usato Self Service?
- Dove vengono registrate le operazioni Recovery?
- Cosa accade in caso di uscita, perdita del dispositivo o sostituzione della scheda madre?
- Come viene decifrato o cancellato crittograficamente un dispositivo prima dello smaltimento?
Un Recovery Key viene trattato come un Secret altamente sensibile. Non viene archiviato in chiaro in e-mail, chat o ticket.
Assegnazione Policy
Le Device Encryption Policies vengono assegnate a utenti o gruppi. Identità utente e assegnazione dispositivo devono quindi essere corrette. Sui dispositivi condivisi e con account locali il comportamento viene testato nel Pilot.
Un dispositivo Windows resta cifrato quando successivamente accede un utente senza una Policy adatta. Con FileVault, invece, ogni utente del Mac deve essere incluso nella Encryption Policy affinché la gestione prevista di utenti e Recovery sia completa.
Con Encrypt boot volume only i volumi dati fissi restano esclusi dalla Sophos Policy. La decisione viene confrontata con la reale collocazione dei dati. L’opzione Windows Encrypt used space only accelera la cifratura iniziale, ma può lasciare non cifrate aree contenenti dati già eliminati ed è quindi prevista soltanto per computer appena distribuiti.
La Base Policy non viene attivata per l’intero tenant senza verifica. Un gruppo pilota copre almeno diverse generazioni hardware, modelli di notebook, versioni del sistema operativo e stati di cifratura esistenti.
Pianificare Windows e macOS separatamente
Windows richiede un concetto TPM e BitLocker adeguato. Modalità di autenticazione, Group Policy e partizione Recovery influenzano l’attivazione.
macOS richiede FileVault, una corretta assegnazione degli utenti e, a seconda della piattaforma, un MDM Bootstrap Token o autorizzazioni Apple appropriate. Vengono controllati Recovery Key personale e utenti FileVault autorizzati.
I dettagli delle piattaforme sono descritti negli articoli Gestire BitLocker con Sophos Central e Gestire FileVault con Sophos Central.
Gli errori specifici relativi a TPM, WMI, GPO, servizi e Recovery Key sono trattati in Risolvere sistematicamente gli errori Sophos Device Encryption.
Monitorare lo stato
Sophos Central mostra stato di cifratura, errori e informazioni Recovery. Dopo l’attivazione si verifica:
- La Policy è efficace per l’utente e il dispositivo corretti.
- La cifratura si avvia e raggiunge il 100 percento.
- Il Recovery Key è archiviato in Central.
- Riavvio e accesso funzionano.
- Il processo Recovery è stato testato in modo controllato.
- E-mail di Alert e responsabilità funzionano.
Un prompt utente o un riavvio in sospeso non costituiscono un rollout completato.
Gli Alert Medium Device is not encrypted, Recovery key is missing e Device Encryption is suspended non vengono chiusi indiscriminatamente. Una Key mancante richiede una verifica immediata della comunicazione Central. Un BitLocker sospeso può indicare un Recovery Key non ancora caricato, un Pre-Provisioning incompleto o un Windows Update con riavvio in sospeso. In presenza di molti Encryption Event, Sophos consiglia prima un riavvio e una successiva sincronizzazione, continuando poi a investigare il tipo di Event specifico.
Central distingue diversi valori di stato:
| Stato | Significato |
|---|---|
Encrypted | cifratura completata |
Pending | Policy assegnata, cifratura in corso o in attesa |
Suspended | BitLocker è temporaneamente sospeso su almeno un volume |
Plain | almeno un volume non è cifrato o non è ancora stato avviato |
Unmanaged | Agent presente, ma nessuna Device Encryption Policy attiva |
Not supported | piattaforma o modalità operativa non supportata |
Not available | Central non conosce lo stato, per esempio perché manca il componente |
In My Products > Encryption > Computers, il filtro Computers without Device Encryption installed mostra computer gestiti privi del componente. Dopo un AD Sync, la scheda Unmanaged computers contiene inoltre dispositivi noti ad AD senza protezione Sophos. Questi due elenchi non devono essere confusi.
Self Service Recovery
Tramite Sophos Central Self Service Portal gli utenti autorizzati possono recuperare autonomamente il proprio Recovery Key. Prima ricevono un invito di configurazione. Nel portale compaiono soltanto i computer su cui la persona ha effettuato l’ultimo accesso. Se nel frattempo ha eseguito l’accesso un’altra persona, il dispositivo non è più disponibile per il Self Service Recovery dell’utente precedente.
Per configurare l’accesso, si apre My Environment > Users & Groups > Users, si selezionano gli utenti e si fa clic su Email Setup Link. Nella finestra di dialogo si sceglie Sophos Central Self Service Welcome/Setup Email. Gli utenti possono usare il portale per il Recovery solo dopo aver seguito il link di attivazione. L’accesso va verificato di nuovo durante l’Offboarding.
Self Service riduce il carico dell’Helpdesk, ma non sostituisce né la verifica dell’identità durante un Recovery amministrativo né il controllo dell’evento che lo ha causato.
Gli amministratori possono cercare un Key anche con almeno cinque caratteri della Recovery-Key-ID o Volume-ID. Con BitLocker esiste un Key per ogni volume protetto. Non appena un amministratore visualizza un Windows Recovery Key, Sophos lo contrassegna come usato e lo sostituisce alla successiva sincronizzazione. Per questo il recupero non viene eseguito su dispositivi produttivi soltanto a scopo di test.
Durante l’installazione di Sophos Central Device Encryption, i Recovery Key BitLocker esistenti vengono sostituiti automaticamente e non possono più essere utilizzati. Prima di una migrazione della gestione occorre quindi verificare che il nuovo Key sia disponibile in Central.
File protetti da password su Windows
Device Encryption 2.0 o successivo può racchiudere in Windows file fino a 50 MB in un file HTML protetto con AES-256. La funzione è disponibile nel menu contestuale di Explorer o tramite un Add-in per Outlook classico per Windows; il nuovo Outlook non è supportato.
Questa funzione serve all’invio sicuro di file, non è una cifratura del disco e non sostituisce DLP. La password viene comunicata tramite un canale separato. Supporto browser e processo del destinatario vengono verificati prima dell’uso produttivo.
Adottare una cifratura esistente
Un dispositivo già cifrato non viene automaticamente decifrato e cifrato di nuovo. Sophos può adottare stati BitLocker o FileVault supportati, ma necessita di uno stato valido del Recovery Key e della gestione.
Durante le migrazioni, i Recovery Key esistenti vengono salvati e quindi ruotati in modo controllato, se previsto dal workflow ufficiale. Due sistemi di gestione non devono imporre contemporaneamente Encryption Policies in conflitto.
Disattivazione e Offboarding
Rimuovere il componente Sophos non decifra automaticamente un disco in ogni scenario. Viceversa, la decifratura non deve essere attivata incidentalmente rimuovendo una Policy.
Prima dell’Offboarding si definiscono stato finale, conservazione del Recovery Key, cambio di proprietà e disinstallazione locale. Dopo l’ultima azione lo stato viene verificato direttamente nel sistema operativo.