Zarządzanie BitLockerem za pomocą Sophos Fusion

Sophos Device Encryption aktywuje Microsoft BitLocker i nim zarządza. Za właściwe szyfrowanie dysków i uwierzytelnianie Pre-Boot nadal odpowiada Windows. Dlatego sprzęt i firmware urządzenia, zasady grupy BitLockera oraz polityka Sophos muszą być ze sobą zgodne.

Szybka ścieżka: w My Products > Encryption > Policies utwórz politykę Device Encryption, przypisz użytkowników lub grupy, określ ustawienia Windows i włącz politykę. Następnie przypisany użytkownik loguje się lokalnie na urządzeniu pilotażowym, wykonuje czynności w oknach Sophos i restarty oraz przeprowadza test Pre-Boot. Wdrożenie jest zakończone dopiero po potwierdzeniu lokalnego stanu BitLockera, stanu w Sophos Fusion i pasującego Recovery Key.

Sprawdzanie wymagań i zgodności

Przed aktywacją należy zatwierdzić co najmniej następujące punkty:

• edycję, kompilację, poziom poprawek i status cyklu życia Windows zgodnie z wymaganiami systemowymi i cyklem życia Sophos Endpoint. Historyczna macierz protectorów podana dalej nie stanowi dopuszczenia starych wersji Windows;
• zainstalowany i komunikujący się Sophos Core Agent z komponentem Device Encryption objętym licencją;
• obsługę BitLockera przez daną edycję Windows i tryb uwierzytelniania odpowiedni dla urządzenia;
• aktywny, gotowy moduł TPM, a w przypadku TPM 2.0 — dysk systemowy w formacie GPT i tryb UEFI;
• wystarczającą ilość miejsca na partycję systemową i Recovery. Sophos ignoruje woluminy o rozmiarze 64 MB lub mniejszym;
• brak drugiego systemu, który równocześnie zarządza protectorami BitLockera, metodą szyfrowania lub Recovery Keys;
• określony proces odzyskiwania i uprawnione osoby, zanim zostanie zastąpiony pierwszy protector.

Dynamic Disks nie są obsługiwane dla woluminu systemowego; woluminy danych na Dynamic Disks są ignorowane. Nie są także obsługiwane partycje Windows utworzone na Macu za pomocą Boot Camp. Windows może szyfrować nośniki wymienne funkcją BitLocker To Go, ale Sophos Fusion nie zarządza ich stanem ani Recovery Keys.

Sophos Device Encryption obsługuje wstępnie przygotowany BitLocker i już zaszyfrowane dyski. Nowe woluminy szyfruje programowo. Nie konwertuje automatycznie istniejącego szyfrowania sprzętowego. Już zarządzany BitLocker wolno przejąć wyłącznie w kontrolowanym oknie zmiany, bez równoległego zarządzania protectorami. Sophos zastępuje wtedy dotychczasowe Recovery Keys; od tego momentu są one nieważne i wyraźnie nie stanowią drogi powrotu. Pełna uporządkowana procedura znajduje się w sekcji Przejęcie istniejącego BitLockera.

Błędu TPM nie naprawia się przez wielokrotne wyłączanie i włączanie polityki. Najpierw sprawdza się gotowość TPM, zdarzenia Windows i lokalny stan BitLockera.

Konfiguracja polityki Device Encryption

1. Otwórz My Products > Encryption > Policies, wybierz Add Policy i utwórz politykę Device Encryption.
2. Przypisz użytkowników lub grupy użytkowników. W Windows konfigurację uruchamia lokalne logowanie przypisanego użytkownika. Dysk pozostaje później zaszyfrowany także wtedy, gdy zaloguje się użytkownik nieobjęty tą polityką.
3. Na karcie Settings włącz Device Encryption is on.
4. Świadomie wybierz ustawienie Encrypt boot volume only. Jeśli jest wyłączone, po woluminie systemowym szyfrowane są również obsługiwane stałe woluminy danych.
5. W Advanced Windows settings określ, czy wymagane jest Require startup authentication. Opcja jest domyślnie włączona. Po jej wyłączeniu Sophos używa na zgodnych urządzeniach trybu TPM only.
6. Opcji Encrypt used space only używaj wyłącznie na nowo przygotowanych urządzeniach. Pierwsze szyfrowanie przebiega szybciej, ale wcześniej usunięte dane w pozornie wolnych obszarach mogą pozostać niezaszyfrowane.
7. W razie potrzeby za pomocą Require new authentication password/PIN from users określ interwał zmiany PIN-u lub Passphrase. Funkcja jest dostępna w Windows od Device Encryption 2.0 i domyślnie wyłączona.
8. Zapisz i włącz politykę, a następnie przypisz ją najpierw reprezentatywnej grupie pilotażowej.

Zablokowane ustawienie może pochodzić z globalnej konfiguracji partnera Sophos lub administratora Enterprise. Należy to wyjaśnić, zanim lokalna polityka zostanie uznana za błędną.

Wybór trybu uwierzytelniania

Rodzaj instalowanego protectora zależy od urządzenia, GPO BitLockera i ustawienia Require startup authentication. W poniższej macierzy 1 oznacza pierwszy wybór Sophos. 1* ma zastosowanie tylko wtedy, gdy Require startup authentication jest wyłączone. Gdy opcja jest aktywna, TPM only nie jest dostępne, a na zgodnym urządzeniu preferowane jest TPM + PIN.

Windows 7 i 8.1 podano tu wyłącznie dla zachowania kompletności udokumentowanego przez Sophos przypisania protectorów. Nie jest to aktualna rekomendacja wdrożenia; wersje te trzeba osobno zweryfikować względem podanego cyklu życia. USB Key jest odpowiednio tylko historyczną opcją macierzy Windows 7, a nie zaleceniem dla nowego wdrożenia. W trybie FIPS systemu Windows Sophos dokumentuje to zarządzanie BitLockerem dla Windows 8.1, 10 i 11; z tego również nie wynika aktualne dopuszczenie systemu. Windows 7 nie umożliwia zapisania zgodnego z FIPS hasła odzyskiwania BitLockera w Active Directory Domain Services.

• TPM only wymaga przygotowanego modułu TPM i GPO zezwalającej na tę ochronę; ponadto Require startup authentication musi być wyłączone. Tryb nie dodaje kroku Pre-Boot. Jest wygodny operacyjnie, ale słabiej chroni przed napastnikiem kontrolującym urządzenie i środowisko Windows, które można odblokować.
• TPM + PIN wymaga przygotowanego TPM i GPO zezwalającej na tę ochronę. PIN ma od 4 do 20 znaków i składa się wyłącznie z cyfr, chyba że GPO Allow enhanced PINs for startup zezwala także na litery i znaki specjalne. Wszyscy użytkownicy komputera współdzielą ten PIN, po czym logują się osobistymi danymi Windows. Windows Single Sign-on nie jest obsługiwane. Tryb zwiększa ochronę Pre-Boot, ale również nakład wdrożeniowy, helpdeskowy i odzyskiwania.
• Passphrase wymaga Windows 8 lub nowszego oraz GPO zezwalającej na ten tryb i ma od 8 do 100 znaków. Jest to opcja Sophos dla wymienionych systemów bez TPM. Dla Passphrase i PIN-u środowisko Pre-Boot używa wyłącznie układu klawiatury US English. Znaki specjalne należy więc przetestować na rzeczywistym sprzęcie.
• USB Key musi być podłączony przy każdym uruchomieniu, umożliwiać zapis i być sformatowany jako NTFS, FAT lub FAT32; exFAT nie jest obsługiwany. Tej starszej opcji nie używa się jako obejścia dla nieobsługiwanego współczesnego urządzenia.

Wybór wynika z modelu zagrożeń, sprzętu i procesu wsparcia, a nie z ogólnego dążenia do maksymalnego utwardzenia. Jeśli zastosowany protector odbiega od oczekiwanego wiersza, najpierw sprawdza się Require startup authentication, gotowość TPM i GPO BitLockera.

Porządkowanie zasad grupy BitLockera

GPO systemu Windows mogą określać uwierzytelnianie, algorytmy, przechowywanie danych odzyskiwania i szyfrowanie sprzętowe. Jeśli odpowiednie ustawienia uwierzytelniania mają wartość Not configured, Sophos może ustawić wartości GPO tak, aby dozwolone były przewidziane tryby. Ręcznie skonfigurowane ustawienie w Computer Configuration > Administrative Templates > Windows Components > BitLocker Drive Encryption > Operating System Drives nie jest jednak zastępowane. Wartości ustawione przez Sophos nie muszą być widoczne w Local Group Policy Editor; znajdują się w HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\FVE.

Przed pilotażem należy udokumentować skuteczne zasady domenowe i lokalne wraz z ich źródłem. Szczególnej kontroli wymagają:

• dozwolone protectory startowe i wymagania TPM;
• hasło odzyskiwania i jego dodatkowe przechowywanie, na przykład w Active Directory;
• metoda szyfrowania oraz wymogi dotyczące szyfrowania programowego lub sprzętowego;
• obowiązek użycia Smart Card i inne ustawienia nieobsługiwane przez Sophos.

Sophos domyślnie szyfruje nowe woluminy programowo algorytmem AES-256; GPO może wskazać AES-128. Istniejąca GPO wymagająca szyfrowania sprzętowego nie jest zastępowana. Sophos Device Encryption nie obsługuje wymogu Smart Card dla BitLockera i zgłasza zdarzenie błędu. Jeśli GPO i polityka Sophos są sprzeczne, szyfrowanie zwykle pozostaje oczekujące albo kończy się błędem. Należy wtedy usunąć konflikt, a nie wielokrotnie ponownie przypisywać politykę.

Funkcji Network Unlock nie można konfigurować ani zarządzać nią za pomocą Sophos Fusion. Poprawnie skonfigurowana oddzielna infrastruktura BitLocker Network Unlock może działać równolegle.

Nadzorowanie wdrożenia i monitów użytkownika

Pierwsze wymuszenie i test Pre-Boot odbywają się przy lokalnej konsoli. W sesji Remote Desktop wymagane okna dialogowe nie są wyświetlane i polityka Device Encryption nie jest wymuszana. Uwierzytelnienia Pre-Boot również nie można wykonać przez Remote Desktop.

Przebieg na urządzeniu jest następujący:

1. Przypisany użytkownik loguje się lokalnie; agent łączy się i synchronizuje z Sophos Fusion.
2. Jeśli TPM nie jest jeszcze aktywny, procedura wymaga działania w firmware/BIOS i restartu. Agent próbuje przygotować aktywny, ale niezainicjowany TPM oraz brakujące Endorsement Keys.
3. Jeśli brakuje partycji systemowej BitLockera, Sophos uruchamia BdeHdCfg.exe, przygotowuje dysk i wymaga rzeczywistego restartu. Szyfrowanie nie rozpocznie się bez udanego restartu.
4. Przy aktywnym uwierzytelnianiu startowym użytkownik ustawia PIN, Passphrase lub USB Key w oknie Sophos Device Encryption. Opcja Do this later pozwala odłożyć dialog, lecz szyfrowanie także pozostaje wtedy oczekujące.
5. Restart and Encrypt uruchamia test sprzętowy Pre-Boot. Jeśli wprowadzenie sekretu przed pierwszym szyfrowaniem się nie powiedzie, użytkownik może nacisnąć Esc, normalnie uruchomić system i zostanie ponownie poproszony przy kolejnym logowaniu.
6. Po udanym teście Sophos szyfruje w tle najpierw wolumin systemowy, a następnie — jeśli przewiduje to polityka — stałe woluminy danych. Ich automatyczne odblokowanie jest powiązane z woluminem systemowym.

Logi diagnostyczne CDE.log i CDE_trace.xml znajdują się w %ProgramData%\Sophos\Sophos Data Protection\Logs. Służą do analizy przyczyn, ale nie zastępują lokalnego stanu BitLockera.

Odbiór stanu i raportowania

W My Products > Encryption > Computers listę urządzeń można filtrować według stanu i metody szyfrowania. Strona szczegółów komputera pokazuje dla każdego woluminu metodę szyfrowania i algorytm, a w Windows także Encrypted since. Na przejętych lub zaktualizowanych urządzeniach data ta może oznaczać moment instalacji lub aktualizacji, dlatego nie zawsze jest pierwotną datą zaszyfrowania.

Do lokalnej kontroli tylko do odczytu można użyć administracyjnego wiersza poleceń i PowerShell:

manage-bde -status

Get-BitLockerVolume

Dla wszystkich przewidzianych woluminów sprawdza się co najmniej Conversion/Volume Status, stan ochrony, stan blokady, metodę szyfrowania i dostępne Key Protectors. Odbiór obejmuje:

1. Wolumin systemowy i wszystkie stałe woluminy danych objęte polityką są w pełni zaszyfrowane, a ochrona jest aktywna.
2. Faktycznie zainstalowany protector jest zgodny z polityką, GPO i zatwierdzonym ryzykiem.
3. Sophos Fusion pokazuje urządzenie w My Products > Encryption > Computers w oczekiwanym stanie i z wiarygodną metodą.
4. Recovery Key właściwy dla tego woluminu jest zapisany w Sophos Fusion. Reguły użycia Show Key i testów gotowości opisuje bezpieczne pobieranie klucza odzyskiwania.
5. Restart i przewidziane uwierzytelnianie Pre-Boot działają na rzeczywistym sprzęcie.
6. Oddzielne urządzenie testowe przeszło uzgodniony proces odzyskiwania i typową zmianę firmware/TPM.

Sam postęp wynoszący 100 procent nie wystarcza: bez aktywnej ochrony i udokumentowanej gotowości do odzyskiwania urządzenie nie przechodzi odbioru. Zdarzenia szyfrowania można dodatkowo analizować w Reports > General Logs > Events; filtrowanie, eksport i przechowywanie opisuje artykuł Analizowanie zdarzeń i raportów Sophos Endpoint.

Odnawianie PIN-u lub Passphrase

Interwał zmiany ustawia się w polityce Device Encryption za pomocą Require new authentication password/PIN from users. Jeśli użytkownik zamknie dialog, pojawi się on ponownie po każdym restarcie; po pięciu zamkniętych monitach Sophos generuje Alert.

Dla pojedynczego urządzenia administrator otwiera stronę szczegółów komputera i na karcie Summary, w sekcji Device Encryption, używa akcji Trigger change of password/PIN. Monit ponownie pojawia się na Endpoincie, dopóki użytkownik nie ustawi nowego sekretu; również tutaj pięciokrotne zamknięcie powoduje Alert. Wymuszoną zmianę należy przetestować pilotażowo, a Helpdesk i użytkownicy muszą wiedzieć, że nowy sekret obowiązuje od następnego uruchomienia Pre-Boot.

Odzyskiwanie Windows po pobraniu klucza

Autoryzowane pobranie i przypisanie realizuje procedura bezpiecznego pobierania klucza odzyskiwania. Ta sekcja zaczyna się na ekranie BitLockera z już przypisanym kluczem i opisuje wyłącznie jego użycie.

Właściwe odzyskiwanie Windows przebiega tak:

1. Uruchom komputer ponownie i naciśnij Esc przy monicie BitLockera.
2. Zapisz pełne Recovery Key ID wyświetlone na ekranie i porównaj je z pobranym kluczem.
3. Wprowadź Recovery Key bezpośrednio na urządzeniu.
4. Wykonaj instrukcje ekranowe i w przypadku PIN-u lub Passphrase ustaw nowy sekret.
5. Zaloguj się normalnie, zsynchronizuj urządzenie i potwierdź, że Sophos zapisał nowy Recovery Key.

Jeśli wolumin danych nadal pozostaje zablokowany, powtórz procedurę z jego własnym Recovery Key ID. Klucz woluminu systemowego nie jest automatycznie kluczem woluminu danych.

W przypadku awarii sprzętu dysk BitLockera można podłączyć do innego systemu Windows obsługującego BitLocker. Wybierz tam Unlock Drive > More options > Enter recovery key i użyj wyświetlonego Key ID. Przed wyczyszczeniem TPM, zmianą protectorów lub innym obejściem zmieniającym stan najpierw upewnij się, że właściwy Recovery Key jest rzeczywiście dostępny.

Po każdym odzyskiwaniu należy wyjaśnić przyczynę. Zapomniany PIN, aktualizacja BIOS-u, wyłączony lub wyczyszczony TPM, zmiana Secure Boot, wymiana płyty głównej i podejrzenie manipulacji wymagają różnych działań następczych.

Przejęcie istniejącego BitLockera

Przejęcie wykonuje się w następującej kolejności:

1. Dla każdego woluminu udokumentuj metodę szyfrowania, stan ochrony, protectory, Recovery Key ID i dotychczasowe zarządzanie. Sprawdź aktualnie działającą drogę odzyskiwania i otwórz kontrolowane okno zmiany.
2. Wyłącz zmiany protectorów w dotychczasowym systemie, zanim Sophos przejmie zarządzanie. Dwa systemy nigdy nie mogą jednocześnie zmieniać protectorów.
3. Zainstaluj komponent Sophos, przypisz skuteczną politykę Device Encryption i wykonaj lokalny monit.
4. Odnotuj moment, w którym Sophos zastąpił istniejące protectory BitLockera i Recovery Keys. Od tej chwili stare klucze są nieważne i nie wolno traktować ich jako drogi powrotu; przechowanie starych danych również nie przywraca im użyteczności.
5. Pozostaw otwarte okno zmiany, a starą infrastrukturę zarządzania nieaktywną, lecz dostępną. W Sophos Fusion potwierdź prawidłową obecność urządzenia i zgodność nowego Fusion Key z testowanym woluminem. Lokalnie wykaż aktywną ochronę i udany restart z wprowadzeniem sekretu Pre-Boot.
6. Dopiero po uzyskaniu tych dowodów wycofaj stary system.

Także późniejsze przejście do zewnętrznego systemu zarządzania odbywa się bez równoległego zarządzania protectorami, w opisanym niżej oknie zmiany.

Rozdziel migrację SafeGuard według stanu

Przed każdą migracją SafeGuard należy zinwentaryzować wersję, zainstalowane moduły i rzeczywisty sposób szyfrowania dysków. Nieznana lub mieszana instalacja jest kryterium przerwania. Historyczna dokumentacja SafeGuard nie dowodzi aktualnego wsparcia produktu.

Granica cyklu życia: obecnie nie ma wiarygodnego aktualnego dopuszczenia dalszego używania lub ponownej instalacji SafeGuard Enterprise ani modułów SafeGuard File Encryption po migracji. Ten artykuł nie zaleca żadnego z tych działań. Jeśli nadal istnieją plikowe moduły SafeGuard lub zaszyfrowane nimi pliki, migrację należy zatrzymać do czasu pisemnego potwierdzenia przez Sophos Support konkretnej wersji i modułu oraz ustalenia przetestowanej drogi dostępu do tych plików.

SafeGuard Enterprise BitLocker 6.x lub 7.x

Ta gałąź nie pozwala na bezpośrednie przejęcie. Wolumin systemowy trzeba najpierw odszyfrować zgodnie z procedurą zatwierdzoną dla używanej wersji SafeGuard. Wcześniej sprawdza się możliwość odzyskania, zasilanie i wolne miejsce. Dopiero po potwierdzonym pełnym odszyfrowaniu i kontrolowanym usunięciu starego zarządzania dyskiem instaluje się Sophos Device Encryption, przypisuje politykę i ponownie szyfruje BitLockerem. Nowy Fusion Key i logowanie Pre-Boot muszą przejść odbiór przed usunięciem starej infrastruktury odzyskiwania.

SafeGuard Enterprise BitLocker 8.0 lub nowszy

W tej gałęzi można usunąć moduł SafeGuard BitLocker bez odszyfrowywania woluminów BitLockera:

1. W Control Panel > Uninstall a program kliknij prawym przyciskiem Sophos SafeGuard Client i otwórz Change.
2. W kreatorze instalacji SafeGuard usuń wyłącznie komponent BitLocker. Następnie lokalnie potwierdź, że wolumin nadal jest zaszyfrowany i dostępny.
3. Zainstaluj Sophos Device Encryption i przypisz aktywną politykę.
4. Przeprowadź odbiór synchronizacji, nowego protectora, pasującego Fusion Recovery Key, stanu ochrony i restartu.

Ten krok dotyczy wyłącznie jednoznacznie rozpoznanej gałęzi BitLockera od wersji 8.0. Nie stanowi zgody na dalsze używanie innych modułów SafeGuard; w ich przypadku obowiązuje powyższa granica cyklu życia.

SafeGuard Enterprise Full Disk Encryption

Full Disk Encryption jest technicznie inną gałęzią i nie wolno traktować go jak SafeGuard BitLocker 8+. Podczas obsługiwanego usuwania SafeGuard Client zaszyfrowane nim woluminy są odszyfrowywane; pliki szyfrowane plikowo mogą pozostać zaszyfrowane. Właśnie dlatego przed usunięciem należy wyjaśnić zainstalowane moduły i dostęp do danych. Jeśli występują moduły plikowe, obowiązuje wspomniane kryterium przerwania do czasu pisemnego zatwierdzenia cyklu życia i migracji.

Wszystkie wymagania Sophos Device Encryption i BitLockera przygotowuje się przed rozpoczęciem odszyfrowywania. Okno danych jawnych zaczyna się po potwierdzonym pełnym odszyfrowaniu SafeGuard, a kończy dopiero po odbiorze ochrony BitLockera i pasującego do woluminu Fusion Recovery Key. W planie zmiany okno to jest ograniczone czasowo i utrzymywane jak najkrócej.

W oknie danych jawnych urządzenie pozostaje w kontrolowanym trybie serwisowym: nie jest używane produkcyjnie, dostęp mają wyłącznie osoby uprawnione do migracji, a dostęp sieciowy i transfer danych ogranicza się do zakresu niezbędnego do instalacji i odbioru. Po zatwierdzonym usunięciu starego rozwiązania instaluje się Sophos Device Encryption, przypisuje politykę i niezwłocznie ponownie szyfruje wolumin BitLockerem. Okno zmiany pozostaje otwarte do chwili, gdy lokalna ochrona BitLockera jest aktywna, wykazano pasujący Fusion Recovery Key, a restart i przewidziane uwierzytelnianie Pre-Boot zakończyły się powodzeniem. Cała migracja składa się z odszyfrowania i ponownego zaszyfrowania; nie jest bezpośrednim przejęciem protectorów.

Kontrolowane odszyfrowanie i wycofanie

Najpierw określ stan docelowy: czy urządzenie ma zostać całkowicie odszyfrowane, czy BitLocker ma pozostać aktywny pod kontrolą kolejnego systemu zarządzania? Odinstalowanie agenta, usunięcie rekordu urządzenia i odszyfrowanie to trzy różne operacje.

Planowane odszyfrowanie wykonuje się w tej kolejności:

1. Zależnie od rodzaju polityki usuń wszystkich użytkowników lub komputer z obowiązującej polityki Device Encryption i potwierdź synchronizację.
2. Na lokalnym koncie administratora Windows wybierz dla woluminu w Windows Explorer Manage BitLocker > Turn off BitLocker.
3. Zapewnij zasilanie i okno serwisowe oraz monitoruj odszyfrowywanie do końca.
4. Za pomocą manage-bde -status lub Get-BitLockerVolume potwierdź, że każdy przewidziany wolumin jest całkowicie odszyfrowany, a ochrona wyłączona.
5. Dopiero po udokumentowanym pełnym odszyfrowaniu przejdź do lokalnego usunięcia agenta zgodnie z artykułem Odinstalowywanie Sophos Endpoint w Windows. Późniejsze usunięcie lub przywrócenie rekordu urządzenia Fusion wykonuje się oddzielnie według artykułu Wymiana lub wycofanie urządzenia Sophos Central.

Jeśli lokalny administrator spróbuje odszyfrować dysk przy nadal aktywnej polityce Device Encryption, Sophos Fusion cofnie lokalne polecenie i dysk pozostanie zaszyfrowany. Z drugiej strony samo usunięcie polityki lub agenta nie dowodzi ani wyłączenia BitLockera, ani ukończenia odszyfrowywania.

Jeśli BitLocker ma pozostać aktywny, przekazanie odbywa się w następującej kolejności:

1. Otwórz niepokrywające się okno zmiany. Potwierdź bieżącą lokalną ochronę BitLockera i aktualny Sophos Recovery Key pasujący do woluminu; BitLocker pozostaje włączony.
2. Usuń lub wyłącz lokalne zarządzanie Sophos wyłącznie zgodnie z artykułem Odinstalowywanie Sophos Endpoint w Windows.
3. Dopiero potem natychmiast zarejestruj urządzenie w kolejnym systemie zarządzania. Dwa systemy nigdy nie mogą jednocześnie zmieniać protectorów.
4. W nowym systemie zarządzania utwórz pasujący Recovery Key i bezpiecznie go przechowaj.
5. Sprawdź lokalny stan ochrony i restart. Dopiero po uzyskaniu tych dowodów zrezygnuj z przechowywania klucza odzyskiwania przez Sophos i zamknij okno zmiany.

Późniejsze usunięcie lub przywrócenie rekordu w Sophos Fusion pozostaje oddzielną czynnością administracyjną według artykułu Wymiana lub wycofanie urządzenia Sophos Central, a nie lokalną dezinstalacją.

Gdy odbiór się nie powiedzie

Nie eksperymentuj z wielokrotnym wyłączaniem i włączaniem polityki, czyszczeniem TPM ani zmianą protectorów. Najpierw zawęź objaw i warstwę:

• Brak monitu: sprawdź przypisanie użytkownika/polityki, lokalne logowanie zamiast RDP, synchronizację agenta i zainstalowany komponent Device Encryption.
• Monit odroczony: użytkownik zamyka dialog i wykonuje rzeczywisty restart przy lokalnej konsoli.
• Test Pre-Boot nie powiódł się: sprawdź TPM/firmware, układ klawiatury, skuteczną GPO i zdarzenie Windows; szyfrowanie jeszcze się nie rozpoczęło.
• Lokalnie zaszyfrowane, ale bez odbioru w Fusion: sprawdź synchronizację urządzenia, odebranie Recovery Key i przypisanie woluminu; bezpieczną kontrolę pobierania opisuje centralna procedura odzyskiwania.
• Nieoczekiwany protector lub algorytm: porównaj skuteczne domenowe i lokalne zasady grupy oraz istniejące szyfrowanie sprzętowe z polityką Sophos.
• Recovery po zmianie firmware: najpierw zabezpiecz pasujący klucz i potwierdź przyczynę; dopiero później rozważ naprawę zmieniającą stan.

Konkretne alerty, błędy TPM, WMI i usług oraz bezpieczne zbieranie logów opisuje artykuł Systematyczne rozwiązywanie problemów z Sophos Device Encryption.

Często zadawane pytania