Safe AI Controls configureren met Sophos Protected Browser

Safe AI Controls stellen twee verschillende grenzen: webbeleid van Protected Browser bepaalt welke generatieve AI-toepassingen een gebruikersgroep mag gebruiken en welke gegevensacties daar zijn toegestaan. DNS Protection for Endpoints blokkeert geselecteerde GenAI-domeinen browseronafhankelijk voor beheerde endpoints. Zo kunt u goedgekeurde diensten gericht vrijgeven en niet-goedgekeurde diensten alleen in de Protected Browser of in alle browsers blokkeren.

Beslissing vóór de configuratie

Kies eerst het gewenste resultaat. De vier varianten bouwen niet automatisch op elkaar voort:

Niet-geautoriseerde GenAI-apps alleen in de Protected Browser blokkeren: een toepassingsgroep met de ongewenste apps krijgt een internetbeleid met Block.
Niet-geautoriseerde GenAI-apps in alle browsers blokkeren: DNS Protection for Endpoints gebruikt een aangepaste domeinlijst met de actie Block.
Geautoriseerde GenAI-apps toestaan, maar uploaden en kopiëren verhinderen: het internetbeleid gebruikt Block all uploads en Keep data within this policy’s destinations.
Geautoriseerde GenAI-apps gebruiken met uploaden en plakken, maar kopiëren naar buiten verhinderen: het internetbeleid gebruikt Keep data within this policy’s destination - allow pasting from outside.

Begin met een kleine gebruikersgroep met een duidelijke naam. Zo blijft zichtbaar welke personen de nieuwe grens testen voordat u meer groepen toewijst.

Vereisten, licentie en rollen

Voor deze procedure is geen specifieke licentie, beheerdersrol of vereiste voor platform, identiteit, certificaat of agent gedocumenteerd. Controleer daarom vóór de wijziging of de benodigde onderdelen en objecten beschikbaar zijn:

My Products > Protected Browser > Policy objects en My Products > Protected Browser > Web policy zijn toegankelijk als u een Protected-Browser-variant implementeert.
My Products > DNS Protection > Policies en My Products > DNS Protection > Domain lists zijn toegankelijk als u browseronafhankelijk wilt blokkeren.
De beoogde gebruikersgroep kan onder Available worden geselecteerd.
De te beheren GenAI-apps worden onder Generative AI weergegeven, of hun domeinen of URL’s zijn bekend voor de DNS-lijst.

Als een van deze elementen ontbreekt of een wijziging niet kan worden opgeslagen, breekt u de procedure op dit punt af. De gedocumenteerde procedure vermeldt niet welke licentie of rol moet worden toegevoegd en beschrijft evenmin een alternatieve configuratiemethode. Vraag de verantwoordelijke Sophos-beheerder om de machtiging of productbeschikbaarheid te controleren in plaats van instellingen in een ander productonderdeel te veronderstellen.

Variant 1: GenAI-apps in de Protected Browser blokkeren

Een toepassingsgroep maken

Maak een toepassingsgroep voor GenAI-apps.

Open My Products > Protected Browser > Policy objects.
Klik op Add object en selecteer Application group.
Voer een naam voor de toepassingsgroep in. Bijvoorbeeld: Blocked Gen AI Apps.
Vouw Generative AI uit en selecteer de niet-geautoriseerde GenAI-apps.
Klik op Save.

U kunt elke gewenste naam gebruiken. Een beschrijvende naam voorkomt echter dat de blokkeringsgroep later wordt verward met een groep voor goedgekeurde apps.

Een blokkerend internetbeleid maken

Open My Products > Protected Browser > Web policy.
Klik onder Policies op Add policy.
Voer een naam in, bijvoorbeeld Blockierte Gen AI-Apps.
Selecteer bij Policy action de optie Block.
Selecteer onder User group de optie Edit.
Selecteer onder Available eerst de pilotgroep, verplaats deze naar Assigned en klik op Save.
Selecteer onder Application group de eerder gemaakte groep met de niet-geautoriseerde GenAI-apps.
Klik op Save.

Variant 2: Geautoriseerde GenAI-apps met strikte gegevensgrenzen toestaan

Deze variant staat toegang toe, maar blokkeert bestandsuploads en voorkomt dat gegevens buiten de doelen van het beleid worden verplaatst.

Een toepassingsgroep voor geautoriseerde GenAI-apps maken

Open My Products > Protected Browser > Policy objects.
Klik op Add object.
Selecteer Application group en geef deze een duidelijke naam, bijvoorbeeld Authorized Gen AI Apps.
Vouw Generative AI uit en selecteer uitsluitend de goedgekeurde apps.
Klik op Save.

Een internetbeleid met beperkingen maken

Open My Products > Protected Browser > Web policy en klik op Add policy.
Geef het beleid een naam en selecteer bij Policy action de optie Allow.
Klik op Edit. Selecteer onder Available de pilotgroep, verplaats deze naar Assigned en klik op Save.
Selecteer onder Application group de groep met geautoriseerde GenAI-apps.
Selecteer onder Upload protection de optie Block all uploads.
Selecteer onder Data boundaries de optie Keep data within this policy’s destinations.
Klik op Save.

Het verwachte resultaat is bewust strikt: de toegewezen gebruikers mogen de geselecteerde apps openen, maar kunnen daar geen bestanden uploaden en geen gegevens uit de beleidsdoelen kopiëren.

Variant 3: Uploaden en plakken toestaan, maar kopiëren naar buiten verhinderen

Gebruik deze variant alleen als gebruikers bestanden aan een goedgekeurde GenAI-app mogen doorgeven en gegevens van buitenaf mogen plakken. Gegevens uit deze apps mogen de beleidsdoelen echter niet verlaten door ze te kopiëren.

Maak de toepassingsgroep zoals in variant 2. Configureer vervolgens het internetbeleid in deze volgorde:

Open My Products > Protected Browser > Web policy en klik op Add policy.
Geef het beleid een naam en selecteer bij Policy action de optie Allow.
Klik op Edit, selecteer onder Available de pilotgroep en verplaats deze naar Assigned.
Klik op Save om de toewijzing van de gebruikersgroep toe te passen.
Selecteer onder Application group de groep met geautoriseerde GenAI-apps.
Selecteer onder Actions in het gedeelte Data boundaries de optie Keep data within this policy’s destination - allow pasting from outside.
Klik op Save om het beleid op te slaan.

Test deze variant afzonderlijk van het strengere beleid. Het verwachte resultaat is met opzet anders: uploaden en plakken werken, maar het kopiëren van gegevens vanuit de geautoriseerde app naar buiten wordt verhinderd.

Variant 4: Niet-geautoriseerde GenAI-apps in alle browsers blokkeren

Deze variant behoort technisch tot DNS Protection for Endpoints. Deze vormt een aanvulling op de Protected-Browser-regels en gebruikt niet de toepassingsgroepen daarvan.

DNS Protection for Endpoints activeren

Open My Products > DNS Protection > Policies.
Klik op Endpoint policies en open Base Policy - Endpoint DNS Protection.
Klik op Settings.
Activeer Use Sophos DNS Protection.
Klik op Save.

Een domeinlijst voor GenAI-apps toevoegen

Open My Products > DNS Protection > Domain lists.
Klik op Add domain list.
Voer een duidelijke naam in, bijvoorbeeld Blocked Gen AI Domains.
Voer onder Domains de domeinen of URL’s in van de GenAI-toepassingen die moeten worden geblokkeerd.
Klik op Save.

U kunt een andere voorbeeldnaam gebruiken. De vermeldingen onder Domains moeten echter overeenkomen met de diensten die uw organisatie daadwerkelijk wil blokkeren.

De domeinlijst aan een DNS-Protection-beleid toevoegen

Open My Products > DNS Protection > Policies en klik op Filtering policies.
Open een beleid dat verkeer toestaat en van toepassing is op de gebruikers of apparaten die u wilt beheren.
Klik op Settings.
Activeer onder Filtering by domain lists de optie Include domain lists when filtering.
Klik op Add list en selecteer de GenAI-domeinlijst.
Klik op Save om de geselecteerde domeinlijst toe te voegen.
Selecteer voor de toegevoegde lijst onder Actions de optie Block.
Klik nogmaals op Save om het beleid op te slaan.

Het verwachte resultaat is dat de vermelde GenAI-domeinen worden geblokkeerd op de endpoints waarop dit DNS-Protection-beleid van toepassing is, ongeacht de gebruikte browser.

De werking met een pilotgroep controleren

Controleer elke geconfigureerde variant met precies één toegewezen testgebruiker of één testapparaat waarop het DNS-beleid van toepassing is. Gebruik daarbij uitsluitend niet-gevoelige testgegevens.

Open een geselecteerde geautoriseerde en een niet-geautoriseerde GenAI-app.
Controleer bij een blokkeringsbeleid of de app of het vermelde domein niet bereikbaar is.
Controleer bij het strikte toestemmingsbeleid of de app bereikbaar is, maar een bestandsupload en het kopiëren van gegevens uit het doel niet mogelijk zijn.
Controleer bij de variant met plakken of uploaden en plakken werken, maar het kopiëren vanuit de app naar buiten wordt verhinderd.
Herhaal de toegangstest met een gebruiker buiten de pilotgroep. Het gedrag voor deze gebruiker mag niet veranderen door een onbedoelde toewijzing van het pilotbeleid.

Problemen oplossen op basis van het symptoom

Voor deze procedures zijn geen productfoutmeldingen of aanvullende diagnostische hulpmiddelen gedocumenteerd. Baken afwijkingen daarom uitsluitend af aan de hand van de volgende configuratiepunten.

Een niet-geautoriseerde app blijft bereikbaar

Controleer of de app in de juiste Application group is geselecteerd, het blokkeringsbeleid daadwerkelijk Block gebruikt en de testgroep onder Assigned staat. Controleer bij de browseronafhankelijke variant in plaats daarvan de vermelding onder Domains, de optie Include domain lists when filtering, de toegevoegde lijst en de actie Block daarvan.

Een geautoriseerde app is niet bereikbaar

Controleer of de app deel uitmaakt van de geautoriseerde toepassingsgroep, het internetbeleid Allow gebruikt en de juiste gebruikersgroep is toegewezen. Wijzig niet tegelijkertijd de uploadbeveiliging en gegevensgrenzen zolang de toegangstest al mislukt.

Een gegevensactie werkt anders dan gepland

Vergelijk de geselecteerde optie woordelijk met de gewenste instelling: Block all uploads plus Keep data within this policy’s destinations voor de strikte variant, of Keep data within this policy’s destination - allow pasting from outside voor de variant met uploaden en plakken. Als het resultaat daarna onduidelijk blijft, stopt u de uitrol. De gedocumenteerde procedure bevat geen diepgaandere diagnostische methode of alternatieve werkwijze.

Veilig terugdraaien en buitengebruikstelling

Voor de hier beschreven objecten is geen procedure gedocumenteerd om ze te verwijderen, deactiveren of buiten gebruik te stellen. Leg daarom vóór de uitrol de bestaande toewijzingen en waarden vast en breid de pilotgroep pas uit nadat de test is geslaagd.

Als terugdraaien nodig is, ga dan niet uit van een niet-gedocumenteerde verwijderingsvolgorde. Stop de uitbreiding, leg het betrokken beleid, de toepassings- of domeinlijst en de gebruikersgroep vast in het wijzigingslogboek en laat de ondersteunde wijzigings- of verwijderingsprocedure bevestigen door de verantwoordelijke Sophos-beheerder of Sophos Support. Controleer daarna opnieuw de toegang en gegevensacties met de pilotgebruiker.

Beheer en controle

De onderliggende Sophos-handleidingen zijn op 4 september 2026 bijgewerkt. Controleer tijdens het beheer bij wijzigingen in goedgekeurde diensten, de domeinen daarvan of de betrokken gebruikersgroepen opnieuw de toepassingsgroep, domeinlijst en beleidstoewijzing, en herhaal de toepasselijke pilottest.

Op de officiële overzichtspagina voor veilige AI-toepassingen biedt Sophos daarnaast een Video over de configuratie aan. Controleer de configuratie desondanks aan de hand van de bovenstaande schriftelijke stappen, omdat daarin de gebruikte velden en het verwachte resultaat rechtstreeks worden vermeld.

Afbakening

Licenties, beheerdersrollen, identiteitsbeheer, ZTNA, algemeen DNS-beheer en Live Discover zijn afzonderlijke onderwerpen en maken geen deel uit van deze procedure.