Implementare Sophos Fusion Device Encryption in sicurezza
Sophos Fusion Device Encryption gestisce in modo centralizzato la crittografia dei dischi Windows e macOS. La crittografia vera e propria è comunque eseguita dal sistema operativo: BitLocker su Windows e FileVault su macOS. Sophos distribuisce la policy, registra lo stato e gestisce le chiavi di ripristino, ma non sostituisce il motore di crittografia né i requisiti specifici della piattaforma.
Per un’implementazione affidabile servono cinque elementi: una licenza valida, il componente Device Encryption installato, una policy effettivamente applicata, uno stato locale supportato e un processo di ripristino funzionante. La sola installazione dell’agente o l’indicazione “100%” non sono sufficienti.
Cosa gestisce Sophos e cosa no
Device Encryption protegge i volumi di avvio e, in base alla policy, i volumi dati interni fissi. I supporti rimovibili non sono inclusi. BitLocker To Go può crittografarli, ma Sophos Fusion non ne gestisce né lo stato né le chiavi di ripristino.
La gestione si trova in My Products > Encryption. Le due aree hanno compiti diversi:
- My Products > Encryption > Policies determina per chi è attiva la crittografia del dispositivo e quali volumi sono inclusi.
- My Products > Encryption > Computers consente di valutare lo stato segnalato, i componenti mancanti e la disponibilità del ripristino.
La policy viene assegnata a utenti o gruppi. In Windows, l’accesso di un utente assegnato è sufficiente ad avviare la crittografia; l’accesso successivo di un utente non assegnato non rimuove la protezione. Su Mac, tutti gli utenti previsti devono rientrare nella policy affinché l’abilitazione degli utenti e la gestione del ripristino funzionino correttamente. Il progetto pilota deve quindi includere esplicitamente i dispositivi condivisi e gli account locali.
Prerequisiti prima della prima policy
Per prima cosa si verifica se l’abbonamento include Device Encryption. Le questioni contrattuali e di conteggio sono trattate nella panoramica sulle licenze di Sophos Fusion; ai fini del rollout, è essenziale che la funzione sia disponibile nel tenant e corrisponda all’ambito previsto.
Verificare quindi che sistema operativo, architettura e stato del ciclo di vita siano attualmente supportati. Poiché queste informazioni cambiano più rapidamente di un progetto di rollout, non vanno riprodotte nella documentazione sulla crittografia come elenco statico di versioni. La procedura è descritta in Requisiti di sistema e pianificazione del ciclo di vita di Sophos Endpoint.
Per un dispositivo già crittografato, l’implementazione non parte da zero. Prima dell’assegnazione occorre rilevare lo stato locale di BitLocker o FileVault, le chiavi di ripristino esistenti, i criteri di gruppo o i profili MDM e l’eventuale prodotto di crittografia precedente. Due sistemi di gestione non devono applicare contemporaneamente requisiti in conflitto. La presa in gestione va quindi eseguita seguendo il processo BitLocker per Windows o il processo FileVault per macOS, non tramite un generico interruttore di attivazione e disattivazione.
Anche il componente deve essere realmente installato. In My Environment > Installers, il programma di installazione completo per Windows o macOS include i prodotti endpoint previsti dalla licenza. Con Choose Components… è possibile selezionare espressamente Device Encryption. Su Mac, Device Encryption Agent si installa separatamente. Completare l’installazione è soltanto un passaggio intermedio: restano da verificare policy, stato segnalato e disponibilità del ripristino.
Trattare la scadenza della licenza come un rischio di ripristino
Alla scadenza della licenza Encryption, la pagina Device Encryption scompare dal Self Service Portal. Gli utenti non possono più recuperare le chiavi di ripristino da soli. Sophos rimuove inoltre la maggior parte dei componenti di crittografia dal dispositivo, ma conserva i componenti necessari per una successiva riconnessione.
La scadenza non disattiva BitLocker o FileVault e non decrittografa le unità. Il rischio deriva proprio da questa situazione: i dati restano protetti, mentre la gestione centrale e il self-service diventano limitati. Se una chiave BitLocker cambia durante questa fase priva di gestione, dopo la riattivazione Central potrebbe inizialmente conservare ancora la chiave precedente.
Il rinnovo della licenza e il ripristino non devono quindi dipendere da un’unica persona. Prima del rollout occorre definire il responsabile, la data di scadenza, il percorso di escalation e un metodo di ripristino approvato. Recupero, comunicazione e documentazione della chiave sono descritti in Recuperare la chiave di ripristino in modo sicuro.
Iniziare con un rollout limitato e gestibile
La Base Policy non va attivata nell’intero tenant senza una verifica preliminare. Un gruppo pilota adeguato deve rappresentare le differenze che incidono realmente sul processo di crittografia: generazioni hardware, modelli di notebook, versioni del sistema operativo, tipi di account locali e presenza di una crittografia preesistente. È altrettanto importante includere un dispositivo non ancora crittografato, così da verificare anche una nuova attivazione.
Creare una policy Device Encryption in My Products > Encryption > Policies e assegnarla inizialmente al gruppo pilota. Encrypt boot volume only stabilisce se la policy Sophos debba includere i volumi dati fissi diversi dal volume di avvio. La scelta dipende dall’effettiva collocazione dei dati sui dispositivi. In Windows, Encrypt used space only riduce la durata della crittografia iniziale, ma sui dischi già utilizzati può lasciare non crittografate le aree contenenti dati cancellati; l’opzione è quindi adatta soltanto ai computer appena predisposti.
Le decisioni successive dipendono dalla piattaforma. La guida Windows tratta TPM, autenticazione pre-avvio, criteri di gruppo BitLocker e partizionamento; la guida Mac tratta utenti FileVault, autorizzazioni locali e chiave di ripristino personale. In questo modo la policy comune resta comprensibile senza confondere due modelli di sicurezza diversi.
Non considerare concluso un rollout solo perché ha raggiunto il 100%
La verifica tecnica confronta le informazioni di Fusion con lo stato locale del dispositivo. Per ogni dispositivo pilota occorre confermare in modo verificabile che:
- la policy prevista sia applicata all’utente e al dispositivo corretti;
- il volume incluso nella policy risulti completamente crittografato in locale;
- My Products > Encryption > Computers riporti lo stato previsto Encrypted;
- il percorso di ripristino associato al dispositivo e al volume sia disponibile e approvato dall’organizzazione;
- il riavvio, l’accesso e l’autenticazione pre-avvio prevista funzionino;
- avvisi, responsabilità ed escalation siano stati verificati mediante uno scenario di test sicuro.
Le regole per verificare la disponibilità e comunicare le chiavi sono definite nel flusso di ripristino centrale; lo sblocco e la verifica successiva restano invece disciplinati dalla rispettiva procedura BitLocker o FileVault. Una richiesta in sospeso, un riavvio necessario o l’assenza della chiave in Central impediscono la convalida, anche se il sistema operativo mostra già l’avanzamento della crittografia.
Interpretare correttamente i sette stati di Central
Lo stato in My Products > Encryption > Computers è una vista centrale condensata. Non sostituisce il controllo locale, ma aiuta a inserire i dispositivi nella coda corretta.
| Stato | Classificazione |
|---|---|
Encrypted | I volumi gestiti da Sophos sono crittografati. Per la convalida occorre verificare anche la disponibilità del ripristino. |
Pending | La crittografia non è ancora completa; spesso il flusso attende la sincronizzazione, l’azione dell’utente, il riavvio o l’avanzamento locale. |
Suspended | BitLocker è temporaneamente sospeso su almeno un volume. Ciò non significa che il volume sia decrittografato. |
Plain | Almeno un volume visualizzato da Central non è crittografato. Occorre confrontare l’obiettivo definito dalla policy con lo stato locale. |
Unmanaged | Nel computer è presente Device Encryption, ma non è attiva alcuna policy Device Encryption. |
Not supported | La piattaforma o lo stato operativo locale non sono supportati da Device Encryption. |
Not available | Central non può fornire alcuno stato di crittografia, ad esempio perché manca il componente di crittografia del dispositivo. |
Pending non è un codice di errore e Suspended non è sinonimo di decrittografato. Se uno stato rimane invariato, contraddice lo stato locale o manca la chiave di ripristino, il caso rientra nella risoluzione sistematica dei problemi di crittografia del dispositivo invece di attivare e disattivare ripetutamente la policy.
Distinguere tre inventari dai nomi simili
Il termine “non gestito” può nascondere diverse cause in Central. Per la pulizia vengono quindi distinti tre casi:
- Lo stato
Unmanagednell’elenco dei computer indica che la crittografia del dispositivo è presente, ma non è in vigore alcuna policy appropriata. - Il filtro Computers without Device Encryption installed in My Products > Encryption > Computers mostra i computer gestiti a cui manca il componente di crittografia.
- Dopo una sincronizzazione AD, la scheda Unmanaged computers contiene anche i dispositivi riconosciuti da Active Directory ma che non dispongono della protezione Sophos.
Questi gruppi richiedono interventi diversi. L’assegnazione di una policy non installa automaticamente i componenti mancanti e un computer presente in AD non è necessariamente un endpoint gestito. È la causa a determinare se occorra assegnare la policy, installare il componente, ripulire l’inventario o registrare un’eccezione intenzionale.
Separare chiaramente le responsabilità operative
La procedura Recuperare in sicurezza la chiave di ripristino disciplina il recupero e la comunicazione sicura della chiave. Per lo sblocco e le verifiche successive, seguire la guida BitLocker o la guida FileVault.
In caso di presa in gestione o migrazione, registrare innanzitutto lo stato iniziale. Adottare o migrare Sophos Device Encryption rimanda quindi alla procedura Windows o macOS appropriata. La gestione precedente e il relativo percorso di ripristino devono restare disponibili finché il nuovo stato non sia stato convalidato sia in locale sia in Fusion. Se la versione di SafeGuard è sconosciuta o sono presenti moduli misti, interrompere la procedura e chiarire il caso prima di apportare modifiche: le note di rilascio storiche non provano il supporto attuale.
La dismissione di un dispositivo non si limita all’eliminazione di un record in Central. Occorre prima definire lo stato finale della crittografia, la responsabilità del ripristino e la disinstallazione locale, quindi seguire Sostituire o dismettere un dispositivo Sophos Fusion. In particolare, la disinstallazione di un agente non trasferisce una chiave FileVault alla nuova gestione.
File protetti da password su Windows è una funzione distinta di Device Encryption: non crittografa le unità e non dimostra che BitLocker sia stato implementato correttamente. La policy, il canale di invio, la procedura del destinatario e la trasmissione separata della password devono pertanto essere pianificati e verificati in un flusso di lavoro dedicato, senza attivarli accidentalmente nella policy di rollout.