Sophos Email: distribuire il componente aggiuntivo di crittografia per Outlook

Il componente aggiuntivo Sophos per Outlook offre al mittente l’azione Encrypt. Non crittografa direttamente il messaggio, ma lo contrassegna affinché Sophos Email lo elabori. La Secure Message policy applicabile decide ancora se e come crittografarlo.

In breve: dimostrare prima compatibilità e ambito della policy, ottenere il componente da Sophos Central con Download Outlook Add-in, distribuirlo a un piccolo gruppo con il metodo Microsoft supportato e provare l’intero percorso verso un destinatario esterno controllato. Il sideloading resta limitato alla prova di concetto.

Verificare prerequisiti e confini

Prima del download, registrare tenant, gruppo di destinazione, ambiente email, client Outlook e responsabile della distribuzione Microsoft. Sophos elenca queste combinazioni compatibili:

• Microsoft 365 Business con Exchange Online;
• Exchange Server 2013 o successivo; Exchange Server 2013 con API 1.4 o precedente non è supportato;
• Outlook per Windows 2013 o successivo;
• Outlook per Mac 2016;
• Outlook sul web solo con Microsoft 365.

Provider non Microsoft come Gmail e altri account POP o IMAP non sono supportati. Il fatto che Outlook mostri un account non dimostra la compatibilità. Prima di ogni distribuzione consultare la documentazione Microsoft aggiornata e seguirla in caso di differenze.

Agli utenti deve applicarsi una Secure Message policy in uscita con metodo Push Encryption o Portal Encryption. Registrarene ambito, ordine e stato iniziale. Il componente non gestisce branding, accesso, scadenza o richiamo del portale, né certificati S/MIME. Sono attività operative distinte.

Scaricare il componente da Sophos Central

1. Aprire Global Settings in Sophos Central.
2. Passare a Products and Services > Email e selezionare Encryption.
3. Fare clic su Download Outlook Add-in.
4. Salvare il file scaricato senza modificarlo in una posizione ad accesso controllato per la distribuzione Microsoft.

Registrare ora, amministratore responsabile e ambito previsto. Non riscrivere il file e non inserirlo in un installer non documentato.

Eseguire una distribuzione controllata

Per una prova di concetto, un utente può installare il componente mediante sideloading. Serve solo per test, non per la produzione. Conferma che il pacchetto si carichi nel contesto di utente, cassetta postale e client previsto.

Prima della distribuzione centrale, usare il controllo Microsoft per stabilire se Centralized Deployment funzioni nell’organizzazione. Assegnare poi il componente soltanto al gruppo pilota con la procedura corrente del Microsoft 365 admin center. L’assegnazione graduale evita un impatto immediato su tutti i mittenti.

Per Exchange locale senza connessione a Microsoft 365, l’amministratore installa il componente dell’organizzazione tramite Exchange Admin Center. Non mescolare i metodi Microsoft 365 ed Exchange locale. Attendere la replica indicata da Microsoft, quindi verificare ogni tipo di client del pilota.

Spiegare il flusso al mittente

L’utente compone un messaggio e seleziona Encrypt in Outlook prima dell’invio. L’azione deve restare visibilmente attiva. Può deselezionare Encrypt in qualsiasi momento prima di inviare.

Encrypt non conferma né crittografia né consegna. Dopo l’invio, Sophos Email elabora il messaggio secondo la Secure Message policy corrispondente. Le istruzioni devono indicare destinatari e contenuti ammessi, percorso di consegna atteso e canale interno per pulsante assente o risultato inatteso.

Collaudare con un invio controllato

Usare un mittente pilota e una cassetta esterna controllata, senza dati riservati:

1. Aprire Outlook e confermare che il componente appaia senza errori di caricamento.
2. Comporre un messaggio di test riconoscibile, selezionare Encrypt e verificarne lo stato attivo prima dell’invio.
3. Inviare e annotare ora, mittente, destinatario, oggetto e Message-ID.
4. In Sophos Email verificare che la Secure Message policy prevista corrisponda a mittente e destinatario.
5. Sul destinatario aprire e leggere completamente la consegna Push Encryption o Portal Encryption prevista.
6. In una seconda bozza selezionare Encrypt, deselezionarlo prima dell’invio e confermare la reversibilità; non occorre inviarla.

Il collaudo passa solo quando componente, policy e risultato concordano. Il solo pulsante Encrypt non basta. Un messaggio del portale non dimostra la distribuzione se la crittografia è stata causata da un’altra regola.

Risolvere i problemi con metodo

Manca per alcuni utenti: verificare assegnazione, stato della distribuzione Microsoft, replica, account della cassetta e client rispetto alla matrice. Riavviare Outlook o la sessione web. Non mascherare un’assegnazione centrale errata con sideloading permanente.

Manca per tutti: controllare pacchetto e distribuzione centrale, rivalutare Centralized Deployment e confermare l’uso di Exchange Admin Center in locale. Correggere gli errori sul lato Microsoft; riscaricare il file Sophos non corregge l’assegnazione.

Encrypt compare, ma il risultato non è crittografato: confermare che Encrypt fosse attivo all’invio. Controllare direzione, ambito utente o gruppo, ordine e metodo della Secure Message policy effettiva. Deve usare Push Encryption o Portal Encryption. Non cambiare portale o S/MIME per nascondere un problema del componente o dell’ambito.

Non funziona un solo tipo di client: raccogliere versione Outlook, piattaforma e tipo di account esatti. Outlook sul web è supportato qui solo con Microsoft 365; POP, IMAP e Gmail restano esclusi. Un secondo client supportato aiuta a isolare il guasto, ma non prova il supporto del primo.

Ripristinare e rimuovere

Se il pilota fallisce, interrompere nuove assegnazioni e rimuovere gruppo o componente tramite lo stesso percorso amministrativo Microsoft usato per distribuirlo. Rimuovere dal conto di test un componente installato con sideloading. Dopo la replica verificare che Encrypt non sia più disponibile.

Ripristinare la Secure Message policy solo se modificata nello stesso change approvato. Lasciarla invariata se serve ad altri flussi. La rimozione non richiama né decrittografa messaggi già inviati. Richiamo e branding del portale e gestione chiavi S/MIME sono esclusi dal rollback.

Per l’escalation raccogliere tenant e tipo di distribuzione, gruppo, stato pacchetto e assegnazione, ambiente, versione e piattaforma Outlook, ora, mittente, destinatario, Message-ID, policy e metodo effettivi. Non includere contenuto riservato o credenziali.