Konfiguracja Safe AI Controls w Sophos Protected Browser

Safe AI Controls wyznaczają dwie różne granice: Zasady internetowe Protected Browser określają, z których aplikacji generatywnej AI może korzystać grupa użytkowników i jakie operacje na danych są w nich dozwolone. DNS Protection for Endpoints blokuje wybrane domeny GenAI na zarządzanych endpointach niezależnie od używanej przeglądarki. Pozwala to precyzyjnie udostępniać zatwierdzone usługi oraz blokować niezatwierdzone usługi tylko w Protected Browser albo we wszystkich przeglądarkach.

Decyzja przed rozpoczęciem konfiguracji

Najpierw wybierz oczekiwany rezultat. Cztery warianty nie są automatycznie zależne od siebie:

Blokowanie nieautoryzowanych aplikacji GenAI tylko w Protected Browser: grupa aplikacji zawierająca niepożądane aplikacje otrzymuje zasadę internetową z działaniem Block.
Blokowanie nieautoryzowanych aplikacji GenAI we wszystkich przeglądarkach: DNS Protection for Endpoints korzysta z niestandardowej listy domen z działaniem Block.
Zezwalanie na autoryzowane aplikacje GenAI przy jednoczesnym zablokowaniu przesyłania i kopiowania: zasada internetowa korzysta z opcji Block all uploads oraz Keep data within this policy’s destinations.
Korzystanie z autoryzowanych aplikacji GenAI z możliwością przesyłania i wklejania, ale bez kopiowania na zewnątrz: zasada internetowa korzysta z opcji Keep data within this policy’s destination - allow pasting from outside.

Rozpocznij od małej, jednoznacznie nazwanej grupy użytkowników. Dzięki temu będzie wiadomo, które osoby testują nową granicę, zanim zostaną przypisane kolejne grupy.

Wymagania wstępne, licencja i role

Dla tej procedury nie udokumentowano konkretnej licencji, roli administratora ani wymagania dotyczącego platformy, tożsamości, certyfikatu lub agenta. Dlatego przed wprowadzeniem zmiany sprawdź, czy wymagane obszary i obiekty są dostępne:

Obszary My Products > Protected Browser > Policy objects i My Products > Protected Browser > Web policy są dostępne, jeśli wdrażasz wariant dla Protected Browser.
Obszary My Products > DNS Protection > Policies i My Products > DNS Protection > Domain lists są dostępne, jeśli chcesz blokować we wszystkich przeglądarkach.
Przewidzianą grupę użytkowników można wybrać w sekcji Available.
Aplikacje GenAI, które mają być kontrolowane, są widoczne w sekcji Generative AI albo znane są ich domeny lub adresy URL potrzebne do listy DNS.

Jeśli brakuje któregokolwiek z tych elementów albo nie można zapisać zmiany, przerwij procedurę na tym etapie. Udokumentowana procedura nie określa, jaką licencję lub rolę należy dodać, ani nie opisuje alternatywnej ścieżki konfiguracji. Wyjaśnij uprawnienia lub udostępnienie produktu z właściwym administratorem Sophos, zamiast zgadywać ustawienia w innym obszarze produktu.

Wariant 1: blokowanie aplikacji GenAI w Protected Browser

Tworzenie grupy aplikacji

Utwórz grupę aplikacji dla aplikacji GenAI.

Otwórz My Products > Protected Browser > Policy objects.
Kliknij Add object i wybierz Application group.
Wprowadź nazwę grupy aplikacji, na przykład Blocked Gen AI Apps.
Rozwiń Generative AI i wybierz nieautoryzowane aplikacje GenAI.
Kliknij Save.

Nazwę można wybrać dowolnie. Opisowa nazwa zapobiega jednak późniejszemu pomyleniu grupy blokującej z grupą zatwierdzonych aplikacji.

Tworzenie blokującej zasady internetowej

Otwórz My Products > Protected Browser > Web policy.
W sekcji Policies kliknij Add policy.
Wprowadź nazwę, na przykład Blocked Gen AI Apps.
Jako Policy action wybierz opcję Block.
W sekcji User group wybierz Edit.
W sekcji Available najpierw zaznacz grupę pilotażową, przenieś ją do Assigned i kliknij Save.
W sekcji Application group wybierz utworzoną wcześniej grupę z nieautoryzowanymi aplikacjami GenAI.
Kliknij Save.

Wariant 2: zezwalanie na autoryzowane aplikacje GenAI z rygorystycznymi granicami danych

Ten wariant zezwala na dostęp, ale blokuje przesyłanie plików i uniemożliwia przenoszenie danych poza cele zasady.

Tworzenie grupy autoryzowanych aplikacji GenAI

Otwórz My Products > Protected Browser > Policy objects.
Kliknij Add object.
Wybierz Application group i nadaj jej jednoznaczną nazwę, na przykład Authorized Gen AI Apps.
Rozwiń Generative AI i wybierz wyłącznie zatwierdzone aplikacje.
Kliknij Save.

Tworzenie zasady internetowej z ograniczeniami

Otwórz My Products > Protected Browser > Web policy i kliknij Add policy.
Nadaj nazwę i jako Policy action wybierz opcję Allow.
Kliknij Edit. W sekcji Available wybierz grupę pilotażową, przenieś ją do Assigned i kliknij Save.
W sekcji Application group wybierz grupę autoryzowanych aplikacji GenAI.
W sekcji Upload protection wybierz opcję Block all uploads.
W sekcji Data boundaries wybierz opcję Keep data within this policy’s destinations.
Kliknij Save.

Oczekiwany rezultat jest celowo restrykcyjny: przypisani użytkownicy mogą otwierać wybrane aplikacje, ale nie mogą przesyłać do nich plików ani kopiować danych poza cele zasady.

Wariant 3: zezwalanie na przesyłanie i wklejanie przy blokowaniu kopiowania na zewnątrz

Użyj tego wariantu tylko wtedy, gdy użytkownicy mogą przekazywać pliki do zatwierdzonej aplikacji GenAI i wklejać dane z zewnątrz. Dane z tych aplikacji nadal nie powinny móc opuszczać celów zasady przez kopiowanie.

Utwórz grupę aplikacji tak jak w wariancie 2. Następnie skonfiguruj zasadę internetową w następującej kolejności:

Otwórz My Products > Protected Browser > Web policy i kliknij Add policy.
Nadaj nazwę i jako Policy action wybierz opcję Allow.
Kliknij Edit, w sekcji Available wybierz grupę pilotażową i przenieś ją do Assigned.
Kliknij Save, aby zastosować przypisanie grupy użytkowników.
W sekcji Application group wybierz grupę autoryzowanych aplikacji GenAI.
W sekcji Actions, w obszarze Data boundaries, wybierz opcję Keep data within this policy’s destination - allow pasting from outside.
Kliknij Save, aby zapisać zasadę.

Przetestuj ten wariant oddzielnie od bardziej restrykcyjnej zasady. Oczekiwany rezultat celowo jest inny: przesyłanie i wklejanie działa, ale kopiowanie danych z autoryzowanej aplikacji na zewnątrz jest blokowane.

Wariant 4: blokowanie nieautoryzowanych aplikacji GenAI we wszystkich przeglądarkach

Ten wariant technicznie należy do DNS Protection for Endpoints. Uzupełnia reguły Protected Browser, zamiast korzystać z ich grup aplikacji.

Aktywowanie DNS Protection for Endpoints

Otwórz My Products > DNS Protection > Policies.
Kliknij Endpoint policies i otwórz Base Policy - Endpoint DNS Protection.
Kliknij Settings.
Włącz Use Sophos DNS Protection.
Kliknij Save.

Dodawanie listy domen dla aplikacji GenAI

Otwórz My Products > DNS Protection > Domain lists.
Kliknij Add domain list.
Wprowadź jednoznaczną nazwę, na przykład Blocked Gen AI Domains.
W sekcji Domains wprowadź domeny lub adresy URL aplikacji GenAI, które mają zostać zablokowane.
Kliknij Save.

Przykładową nazwę można zmienić, ale wpisy w sekcji Domains muszą odpowiadać usługom, które organizacja rzeczywiście chce blokować.

Dodawanie listy domen do zasady DNS Protection

Otwórz My Products > DNS Protection > Policies i kliknij Filtering policies.
Otwórz zasadę, która zezwala na ruch i dotyczy zarządzanych użytkowników lub urządzeń.
Kliknij Settings.
W sekcji Filtering by domain lists włącz opcję Include domain lists when filtering.
Kliknij Add list i wybierz listę domen GenAI.
Kliknij Save, aby dodać wybraną listę domen.
W sekcji Actions dla dodanej listy wybierz opcję Block.
Ponownie kliknij Save, aby zapisać zasadę.

Oczekiwanym rezultatem jest zablokowanie wprowadzonych domen GenAI na endpointach objętych tą zasadą DNS Protection, niezależnie od używanej przeglądarki.

Sprawdzanie działania z grupą pilotażową

Sprawdź każdy skonfigurowany wariant z dokładnie jednym przypisanym użytkownikiem testowym albo jednym urządzeniem testowym objętym zasadą DNS. Używaj przy tym wyłącznie niekrytycznych danych testowych.

Otwórz jedną wybraną autoryzowaną i jedną nieautoryzowaną aplikację GenAI.
W przypadku zasady blokującej sprawdź, czy aplikacja lub wprowadzona domena jest niedostępna.
W przypadku restrykcyjnej zasady zezwalającej sprawdź, czy aplikacja jest dostępna, ale przesyłanie pliku i kopiowanie danych z celu nie jest możliwe.
W przypadku wariantu z wklejaniem sprawdź, czy przesyłanie i wklejanie działa, lecz kopiowanie z aplikacji na zewnątrz jest blokowane.
Powtórz próbę dostępu przy użyciu użytkownika spoza grupy pilotażowej. Przypadkowe przypisanie zasady pilotażowej nie może zmienić działania po jego stronie.

Rozwiązywanie problemów według objawów

Dla tych procedur nie udokumentowano komunikatów o błędach produktu ani dodatkowych narzędzi diagnostycznych. Dlatego odchylenia należy zawężać wyłącznie na podstawie poniższych punktów konfiguracji.

Nieautoryzowana aplikacja pozostaje dostępna

Sprawdź, czy aplikacja została wybrana we właściwej Application group, zasada blokująca rzeczywiście używa opcji Block, a grupa testowa znajduje się w sekcji Assigned. W przypadku wariantu obejmującego wszystkie przeglądarki sprawdź zamiast tego wpis w sekcji Domains, opcję Include domain lists when filtering, dodaną listę oraz przypisane do niej działanie Block.

Autoryzowana aplikacja jest niedostępna

Sprawdź, czy aplikacja znajduje się w grupie autoryzowanych aplikacji, zasada internetowa korzysta z opcji Allow i przypisana jest właściwa grupa użytkowników. Nie zmieniaj jednocześnie ochrony przesyłania i granic danych, dopóki nie powiedzie się sam test dostępu.

Operacja na danych działa inaczej niż zaplanowano

Porównaj wybraną opcję dosłownie z oczekiwanym ustawieniem: Block all uploads wraz z Keep data within this policy’s destinations dla wariantu restrykcyjnego albo Keep data within this policy’s destination - allow pasting from outside dla wariantu z przesyłaniem i wklejaniem. Jeśli wynik nadal jest niejasny, wstrzymaj wdrożenie. Udokumentowana procedura nie zawiera bardziej szczegółowej ścieżki diagnostycznej ani sposobu obejścia.

Bezpieczne wycofanie i wyłączenie z eksploatacji

Dla opisanych tutaj obiektów nie udokumentowano procedury usuwania, dezaktywowania ani wyłączania z eksploatacji. Dlatego przed wdrożeniem zapisz dotychczasowe przypisania i wartości, a grupę pilotażową rozszerzaj dopiero po pomyślnym teście.

Jeśli wycofanie okaże się konieczne, nie zakładaj nieudokumentowanej kolejności usuwania. Wstrzymaj rozszerzanie wdrożenia, odnotuj objętą zmianą zasadę, grupę aplikacji lub listę domen oraz grupę użytkowników w dzienniku zmian, a następnie poproś właściwego administratora Sophos lub Sophos Support o potwierdzenie obsługiwanej ścieżki zmiany lub usunięcia. Potem ponownie sprawdź dostęp i operacje na danych przy użyciu użytkownika pilotażowego.

Eksploatacja i przegląd

Podstawowe instrukcje Sophos zaktualizowano 4 września 2026 roku. W bieżącej eksploatacji, po zmianie zatwierdzonych usług, ich domen lub odpowiednich grup użytkowników, ponownie sprawdź grupę aplikacji, listę domen i przypisanie zasad oraz powtórz odpowiedni test pilotażowy.

Na oficjalnej stronie przeglądowej dotyczącej bezpiecznych przypadków użycia AI Sophos udostępnia także film przedstawiający konfigurację. Mimo to sprawdź konfigurację na podstawie powyższych pisemnych kroków, ponieważ bezpośrednio wskazują używane pola i oczekiwany rezultat.

Zakres wyłączeń

Licencjonowanie, role administratorów, zarządzanie tożsamością, ZTNA, ogólna administracja DNS oraz Live Discover to odrębne tematy i nie należą do tej procedury.