Sophos Fusion Device Encryption veilig invoeren
Sophos Fusion Device Encryption beheert de schijfversleuteling van Windows en macOS centraal. De versleuteling zelf blijft afkomstig uit het besturingssysteem: BitLocker onder Windows en FileVault onder macOS. Sophos distribueert de policy, verzamelt de status en beheert Recovery Keys, maar vervangt noch de encryptie-engine noch de platformspecifieke vereisten.
Voor een betrouwbare uitrol moeten vijf zaken kloppen: een geldige licentie, de geïnstalleerde Device Encryption-component, een effectieve policy, een ondersteunde lokale toestand en een werkend recoveryproces. Alleen een geslaagde agentinstallatie of de weergave ‘100 procent’ volstaat niet.
Wat Sophos beheert — en wat niet
Device Encryption beschermt opstartvolumes en, afhankelijk van de policy, vaste interne datavolumes. Verwisselbare media vallen daar niet onder. BitLocker To Go kan zulke media wel versleutelen, maar Sophos Fusion beheert daarvoor geen status of Recovery Keys.
Het beheer begint onder My Products > Encryption. De twee onderdelen hebben verschillende taken:
- Onder My Products > Encryption > Policies bepaalt u voor wie Device Encryption actief is en welke volumes worden meegenomen.
- Onder My Products > Encryption > Computers beoordeelt u de gemelde toestand, ontbrekende componenten en recoverygereedheid.
De policy wordt toegewezen aan gebruikers of groepen. Onder Windows volstaat de aanmelding van een toegewezen gebruiker om de versleuteling te starten; een gebruiker zonder passende policy die zich later aanmeldt, heft de beveiliging niet op. Op een Mac moeten alle beoogde gebruikers door de policy worden gedekt, zodat gebruikersautorisatie en recoverybeheer volledig werken. Neem gedeelde apparaten en lokale accounts daarom nadrukkelijk op in de pilot.
Vereisten vóór de eerste policy
Controleer eerst of de subscription Device Encryption omvat. Contract- en telvragen staan in het overzicht van Sophos Fusion-licenties; voor de uitrol is vooral van belang dat de functie in de tenant beschikbaar is en overeenkomt met de geplande omvang.
Keur daarna besturingssysteem, architectuur en lifecycle goed. Deze gegevens veranderen sneller dan een uitrolconcept en horen niet als statische versielijst in de versleutelingsdocumentatie. Zie Sophos Endpoint-systeemvereisten en lifecycle plannen.
Bij een reeds versleuteld apparaat begint de invoering niet vanaf nul. Inventariseer vóór toewijzing de lokale BitLocker- of FileVault-status, bestaande Recovery Keys, groepsbeleid of MDM-instellingen en een eerder versleutelingsproduct. Twee beheersystemen mogen niet gelijktijdig tegenstrijdige instellingen afdwingen. Voer de overname daarna uit via de BitLocker-procedure voor Windows of de FileVault-procedure voor macOS, niet met een algemene aan/uit-schakelaar.
Ook de component moet werkelijk aanwezig zijn. Onder My Environment > Installers bevat de volledige Windows- of macOS-installer de Endpoint-producten waarop de licentie recht geeft. Via Choose Components… kunt u gericht Device Encryption kiezen. Op de Mac wordt de Device Encryption Agent afzonderlijk geïnstalleerd. Een voltooide installer is slechts een tussenstap: policy, gemelde toestand en recoverygereedheid zijn doorslaggevend.
Een verlopen licentie als recoveryrisico behandelen
Na afloop van de Encryption-licentie verdwijnt de Device Encryption-pagina uit het Self Service Portal. Gebruikers kunnen daar geen Recovery Keys meer zelf ophalen. Sophos verwijdert bovendien de meeste Encryption-componenten van het apparaat, maar behoudt onderdelen die nodig zijn voor een latere herverbinding.
BitLocker en FileVault worden hierdoor niet uitgeschakeld en de schijven worden niet ontsleuteld. Dat is precies het risico: de gegevens blijven beschermd terwijl centraal beheer en Self Service beperkt zijn. Als een BitLocker Recovery Key in deze onbeheerde fase verandert, kan Central na heractivering aanvankelijk nog de oude key kennen.
Licentieverlenging en recovery mogen daarom niet van dezelfde enkele partij afhangen. Leg vóór de uitrol verantwoordelijke, vervaldatum, escalatieroute en een goedgekeurde herstelroute vast. Zie Recovery Keys veilig ophalen.
Begin zo klein dat fouten beheersbaar blijven
Activeer de Base Policy niet ongecontroleerd voor de hele tenant. Een goede pilotgroep vertegenwoordigt de verschillen die het versleutelingsproces echt beïnvloeden: hardwaregeneraties, notebookmodellen, OS-versies, lokale accounttypen en reeds actieve versleuteling. Neem ook een apparaat zonder bestaande versleuteling op om een nieuwe activering te testen.
Maak onder My Products > Encryption > Policies een Device Encryption-policy en wijs die eerst aan de pilotgroep toe. Encrypt boot volume only bepaalt of vaste datavolumes buiten het opstartvolume onder de Sophos-policy vallen. Stem dit af op de werkelijke gegevensopslag. De Windows-optie Encrypt used space only verkort de eerste versleuteling, maar kan op gebruikte schijven verwijderde gebieden onversleuteld laten; gebruik deze daarom alleen voor nieuw ingerichte computers.
De overige keuzes zijn platformspecifiek. TPM, Pre-Boot Authentication, BitLocker-groepsbeleid en partitionering horen in de Windows-handleiding. FileVault-gebruikers, lokale autorisatie en de persoonlijke Recovery Key horen in de Mac-handleiding. Zo blijft de gezamenlijke policy begrijpelijk zonder twee verschillende beveiligingsmodellen te vermengen.
Stop een uitrol niet bij 100 procent
De technische acceptatie verbindt Central met het lokale apparaat. Bevestig voor ieder pilotapparaat:
- De juiste policy is effectief voor de juiste gebruiker en het juiste apparaat.
- Het door de policy gedekte volume is lokaal volledig versleuteld.
- My Products > Encryption > Computers toont de verwachte status Encrypted.
- De recoveryroute voor dit apparaat en volume is beschikbaar en organisatorisch goedgekeurd.
- Herstart, aanmelding en de beoogde Pre-Boot Authentication werken.
- Alerts, verantwoordelijkheden en escalatie zijn met een onschadelijk scenario getest.
De regels voor gereedheidstests en het tonen van een key staan in de centrale recoveryprocedure; ontgrendeling en nacontrole blijven bij de BitLocker- of FileVault-procedure. Een openstaande gebruikersprompt, vereiste herstart of ontbrekende centrale key blokkeert acceptatie, ook wanneer het besturingssysteem al voortgang toont.
De zeven Central-statuswaarden correct lezen
De status onder My Products > Encryption > Computers is een samengevatte Central-weergave. Ze vervangt de lokale controle niet, maar helpt apparaten naar de juiste werkwachtrij te sturen.
| Status | Betekenis |
|---|---|
Encrypted | De door Sophos gedekte volumes zijn versleuteld. Controleer daarnaast de recoverygereedheid. |
Pending | De versleuteling is nog niet voltooid; vaak wacht het proces op synchronisatie, gebruikersactie, herstart of lokale voortgang. |
Suspended | BitLocker is op minstens één volume tijdelijk opgeschort. Dit betekent niet dat het volume ontsleuteld is. |
Plain | Minstens één door Central bekeken volume is onversleuteld. Vergelijk policydoel en lokale toestand. |
Unmanaged | Device Encryption is aanwezig, maar er is geen effectieve Device Encryption-policy. |
Not supported | Platform of lokale bedrijfsmodus wordt niet ondersteund. |
Not available | Central kan geen versleutelingsstatus leveren, bijvoorbeeld omdat de component ontbreekt. |
Pending is geen foutcode en Suspended is geen synoniem voor ontsleuteld. Blijft de status ongewijzigd, spreekt die de lokale toestand tegen of ontbreekt de Recovery Key, gebruik dan de systematische probleemoplossing voor Device Encryption in plaats van de policy herhaald uit en in te schakelen.
Drie gelijksoortige inventarissen uit elkaar houden
De aanduiding ‘unmanaged’ kan in Central verschillende oorzaken verhullen. Onderscheid daarom drie gevallen:
- Status
Unmanagedin de computerlijst: Device Encryption is aanwezig, maar een passende policy ontbreekt. - Filter Computers without Device Encryption installed onder My Products > Encryption > Computers: beheerde computers waarop de Encryption-component ontbreekt.
- Tabblad Unmanaged computers: na AD Sync ook apparaten die in Active Directory bekend zijn, maar geen Sophos-beveiliging hebben.
Deze groepen vereisen verschillende maatregelen. Een policytoewijzing installeert niet automatisch iedere ontbrekende component en een uit AD bekende computer is nog geen beheerd endpoint. Pas na vaststelling van de oorzaak kiest u toewijzing, installatie, inventarisopschoning of een bewuste uitzondering.
Verantwoordelijkheden in beheer scheiden
De gezamenlijke zoek- en uitgifteprocedure staat in Recovery Keys veilig ophalen. Daarna volgt voor het gebruik de BitLocker-handleiding of de FileVault-handleiding.
Leg bij overname of migratie eerst de uitgangssituatie vast. Sophos Device Encryption overnemen of migreren kiest vervolgens het juiste Windows- of macOS-pad. Oud beheer en de bestaande recoveryroute blijven behouden tot de nieuwe toestand lokaal en in Central is geaccepteerd. Onbekende SafeGuard-versies of gemengde modules zijn een stopsignaal; historische release notes zijn geen actuele supportgoedkeuring.
Een apparaat buiten gebruik stellen omvat meer dan een Central-record verwijderen. Bepaal eerst het versleutelingsdoel, de recoveryverantwoordelijkheid en lokale de-installatie. Volg daarna Sophos Fusion-apparaat vervangen of buiten gebruik stellen. De-installatie van een agent draagt met name geen FileVault-key over aan nieuw beheer.
Met een wachtwoord beveiligde bestanden onder Windows vormen een zelfstandige Device Encryption-functie, maar zijn geen schijfversleuteling en geen bewijs van een geslaagde BitLocker-uitrol. Plan en test policy, verzendroute, ontvangersproces en afzonderlijke wachtwoordoverdracht in die eigen procedure.