Configurare Safe AI Controls con Sophos Protected Browser

Safe AI Controls impostano due limiti distinti: le policy web di Protected Browser controllano quali applicazioni di IA generativa può usare un gruppo di utenti e quali operazioni sui dati sono consentite al loro interno. DNS Protection for Endpoints blocca i domini GenAI selezionati sugli endpoint gestiti, indipendentemente dal browser. In questo modo è possibile autorizzare in modo mirato i servizi approvati e bloccare quelli non approvati soltanto nel Protected Browser oppure in tutti i browser.

Decidere prima della configurazione

Scegliere innanzitutto il risultato desiderato. Le quattro varianti non dipendono automaticamente l’una dall’altra:

Bloccare le app GenAI non autorizzate soltanto nel Protected Browser: a un gruppo di applicazioni contenente le app indesiderate viene assegnata una policy Internet con Block.
Bloccare le app GenAI non autorizzate in tutti i browser: DNS Protection for Endpoints utilizza un elenco di domini personalizzato con l’azione Block.
Consentire le app GenAI autorizzate, impedendo però caricamenti e copia: la policy Internet utilizza Block all uploads e Keep data within this policy’s destinations.
Usare le app GenAI autorizzate consentendo caricamento e incolla, ma impedendo la copia verso l’esterno: la policy Internet utilizza Keep data within this policy’s destination - allow pasting from outside.

Iniziare con un gruppo di utenti piccolo e dal nome inequivocabile. Rimane così evidente quali persone stanno verificando il nuovo limite prima di assegnarlo ad altri gruppi.

Prerequisiti, licenza e ruoli

Per questa procedura non sono documentati requisiti specifici relativi a licenza, ruolo amministrativo, piattaforma, identità, certificati o agenti. Prima della modifica, verificare pertanto che le sezioni e gli oggetti necessari siano disponibili:

My Products > Protected Browser > Policy objects e My Products > Protected Browser > Web policy sono accessibili se si implementa una variante del Protected Browser.
My Products > DNS Protection > Policies e My Products > DNS Protection > Domain lists sono accessibili se si desidera applicare il blocco a tutti i browser.
Il gruppo di utenti previsto può essere selezionato in Available.
Le app GenAI da controllare compaiono in Generative AI, oppure se ne conoscono i domini o gli URL da inserire nell’elenco DNS.

Se manca uno di questi elementi o non è possibile salvare una modifica, interrompere la procedura a questo punto. La procedura documentata non indica quale licenza o ruolo sia necessario aggiungere, né descrive un percorso di configurazione alternativo. Chiarire l’autorizzazione o il provisioning del prodotto con l’amministratore Sophos responsabile, invece di ipotizzare impostazioni in un’altra area del prodotto.

Variante 1: bloccare le app GenAI nel Protected Browser

Creare un gruppo di applicazioni

Creare un gruppo di applicazioni per le app GenAI.

Aprire My Products > Protected Browser > Policy objects.
Selezionare Add object, quindi Application group.
Inserire un nome per il gruppo di applicazioni, ad esempio Blocked Gen AI Apps.
Espandere Generative AI e selezionare le app GenAI non autorizzate.
Selezionare Save.

Il nome può essere scelto liberamente. Un nome descrittivo evita tuttavia che il gruppo di blocco venga in seguito confuso con un gruppo di app approvate.

Creare una policy Internet di blocco

Aprire My Products > Protected Browser > Web policy.
In Policies, selezionare Add policy.
Inserire un nome, ad esempio Blockierte Gen AI-Apps.
Come Policy action, selezionare Block.
In User group, selezionare Edit.
In Available, selezionare inizialmente il gruppo pilota, spostarlo in Assigned e selezionare Save.
In Application group, selezionare il gruppo creato in precedenza con le app GenAI non autorizzate.
Selezionare Save.

Variante 2: consentire le app GenAI autorizzate con limiti rigorosi sui dati

Questa variante consente l’accesso, ma blocca il caricamento dei file e impedisce lo spostamento dei dati all’esterno delle destinazioni della policy.

Creare un gruppo per le app GenAI autorizzate

Aprire My Products > Protected Browser > Policy objects.
Selezionare Add object.
Selezionare Application group e assegnargli un nome univoco, ad esempio Authorized Gen AI Apps.
Espandere Generative AI e selezionare esclusivamente le app approvate.
Selezionare Save.

Creare una policy Internet con restrizioni

Aprire My Products > Protected Browser > Web policy e selezionare Add policy.
Assegnare un nome e, come Policy action, selezionare Allow.
Selezionare Edit. In Available, selezionare il gruppo pilota, spostarlo in Assigned e selezionare Save.
In Application group, selezionare il gruppo delle app GenAI autorizzate.
In Upload protection, selezionare Block all uploads.
In Data boundaries, selezionare Keep data within this policy’s destinations.
Selezionare Save.

Il risultato previsto è volutamente restrittivo: gli utenti assegnati possono aprire le app selezionate, ma non possono caricare file né copiare dati all’esterno delle destinazioni della policy.

Variante 3: consentire caricamento e incolla, impedendo la copia verso l’esterno

Usare questa variante soltanto se gli utenti possono inviare file a un’app GenAI approvata e incollarvi dati provenienti dall’esterno. I dati di queste app non devono comunque poter uscire dalle destinazioni della policy tramite copia.

Creare il gruppo di applicazioni come nella variante 2. Configurare quindi la policy Internet in questo ordine:

Aprire My Products > Protected Browser > Web policy e selezionare Add policy.
Assegnare un nome e, come Policy action, selezionare Allow.
Selezionare Edit, scegliere il gruppo pilota in Available e spostarlo in Assigned.
Selezionare Save per applicare l’assegnazione del gruppo di utenti.
In Application group, selezionare il gruppo delle app GenAI autorizzate.
In Actions, nell’area Data boundaries, selezionare Keep data within this policy’s destination - allow pasting from outside.
Selezionare Save per salvare la policy.

Verificare questa variante separatamente dalla policy più restrittiva. Il risultato previsto è volutamente diverso: caricamento e incolla funzionano, mentre viene impedita la copia dei dati dall’app autorizzata verso l’esterno.

Variante 4: bloccare le app GenAI non autorizzate in tutti i browser

Questa variante appartiene tecnicamente a DNS Protection for Endpoints. Integra le regole del Protected Browser, anziché utilizzarne i gruppi di applicazioni.

Attivare DNS Protection for Endpoints

Aprire My Products > DNS Protection > Policies.
Selezionare Endpoint policies e aprire Base Policy - Endpoint DNS Protection.
Selezionare Settings.
Attivare Use Sophos DNS Protection.
Selezionare Save.

Aggiungere un elenco di domini per le app GenAI

Aprire My Products > DNS Protection > Domain lists.
Selezionare Add domain list.
Inserire un nome univoco, ad esempio Blocked Gen AI Domains.
In Domains, inserire i domini o gli URL delle applicazioni GenAI da bloccare.
Selezionare Save.

Il nome di esempio può essere sostituito; le voci in Domains devono invece corrispondere ai servizi che l’organizzazione intende effettivamente bloccare.

Aggiungere l’elenco di domini a una policy DNS Protection

Aprire My Products > DNS Protection > Policies e selezionare Filtering policies.
Aprire una policy che consente il traffico e si applica agli utenti o ai dispositivi da gestire.
Selezionare Settings.
In Filtering by domain lists, attivare Include domain lists when filtering.
Selezionare Add list e scegliere l’elenco di domini GenAI.
Selezionare Save per aggiungere l’elenco di domini selezionato.
In Actions, selezionare Block per l’elenco aggiunto.
Selezionare nuovamente Save per salvare la policy.

Il risultato previsto è il blocco dei domini GenAI inseriti sugli endpoint inclusi in questa policy DNS Protection, indipendentemente dal browser utilizzato.

Verificare l’effetto con un gruppo pilota

Verificare ogni variante configurata con un solo utente di prova assegnato oppure con un solo dispositivo di prova incluso nella policy DNS. Utilizzare esclusivamente dati di test non critici.

Aprire un’app GenAI autorizzata e una non autorizzata tra quelle selezionate.
Per una policy di blocco, verificare che l’app o il dominio inserito non sia raggiungibile.
Per la policy di autorizzazione rigorosa, verificare che l’app sia raggiungibile, ma che non sia possibile caricare file né copiare dati all’esterno della destinazione.
Per la variante con incolla, verificare che caricamento e incolla funzionino, ma che la copia dall’app verso l’esterno venga impedita.
Ripetere l’accesso con un utente esterno al gruppo pilota. Il suo comportamento non deve cambiare a causa di un’assegnazione involontaria della policy pilota.

Risoluzione dei problemi in base al sintomo

Per queste procedure non sono documentati messaggi di errore del prodotto o strumenti diagnostici aggiuntivi. Circoscrivere pertanto le anomalie esclusivamente in base ai punti di configurazione seguenti.

Un’app non autorizzata rimane raggiungibile

Verificare che l’app sia selezionata nell’Application group corretto, che la policy di blocco utilizzi effettivamente Block e che il gruppo di prova compaia in Assigned. Per la variante valida in tutti i browser, controllare invece la voce in Domains, l’opzione Include domain lists when filtering, l’elenco aggiunto e la relativa azione Block.

Un’app autorizzata non è raggiungibile

Verificare che l’app sia inclusa nel gruppo di applicazioni autorizzate, che la policy Internet utilizzi Allow e che sia assegnato il gruppo di utenti corretto. Non modificare contemporaneamente la protezione dei caricamenti e i limiti dei dati se già il test di accesso non riesce.

Un’operazione sui dati si comporta diversamente dal previsto

Confrontare letteralmente l’opzione selezionata con quella prevista: Block all uploads insieme a Keep data within this policy’s destinations per la variante rigorosa, oppure Keep data within this policy’s destination - allow pasting from outside per la variante con caricamento e incolla. Se il risultato rimane ambiguo, interrompere l’implementazione. La procedura documentata non contiene un metodo diagnostico più approfondito né una soluzione alternativa.

Ripristino sicuro e dismissione

Per gli oggetti descritti in questa guida non è documentata alcuna procedura di eliminazione, disattivazione o dismissione. Prima dell’implementazione, registrare pertanto le assegnazioni e i valori esistenti e ampliare il gruppo pilota soltanto dopo un test riuscito.

Se è necessario un ripristino, non presumere una sequenza di eliminazione non documentata. Interrompere l’ampliamento del rollout, registrare nel log delle modifiche la policy, il gruppo di applicazioni o l’elenco di domini e il gruppo di utenti interessati e far confermare il percorso supportato di modifica o rimozione dall’amministratore Sophos responsabile o dal Support Sophos. Verificare quindi nuovamente l’accesso e le operazioni sui dati con l’utente pilota.

Gestione operativa e verifica

Stato delle funzioni descritto al 4 settembre 2026. Durante l’esercizio, quando cambiano i servizi approvati, i relativi domini o i gruppi di utenti interessati, verificare nuovamente il gruppo di applicazioni, l’elenco di domini e l’assegnazione della policy, quindi ripetere il test pilota appropriato.

Nella pagina panoramica ufficiale dedicata ai casi d’uso sicuri dell’IA, Sophos mette inoltre a disposizione un video sulla configurazione. Verificare comunque la configurazione in base ai passaggi scritti sopra, poiché indicano direttamente i campi utilizzati e il risultato previsto.

Ambito escluso

Licenze, ruoli amministrativi, gestione delle identità, ZTNA, amministrazione DNS generale e Live Discover sono argomenti distinti e non fanno parte di questa procedura.