Konfigurowanie zasad internetowych i granic danych w Sophos Protected Browser

Zasady internetowe w Sophos Protected Browser określają, kto może uzyskać dostęp do jakich zasobów docelowych przy jakim stanie urządzenia oraz co może się dziać z pobieranymi i przesyłanymi plikami oraz danymi. Kluczowa jest kolejność oceny: przeglądarka sprawdza aktywne zasady według rangi i stosuje pierwszą zasadę, której wszystkie warunki są spełnione. Pozostałe zasady nie są już oceniane.

Aby bezpiecznie przeprowadzić wdrożenie, należy najpierw utworzyć wąsko ograniczoną zasadę pilotażową, umieścić ją przed bardziej ogólnymi regułami i osobno przetestować dostęp, transfer plików i granice danych. Zasada bazowa zawiera domyślne działania używane, gdy nie ma innych zasad.

Wymagania wstępne, licencja i role

Przed konfiguracją wymagane User groups muszą już istnieć w Sophos Fusion (dawniej Sophos Central), a Device posture, Application groups, Site lists i Web categories muszą być utworzone jako obiekty zasad. W sekcji Conditions pojawiają się tylko wcześniej utworzeni użytkownicy i obiekty. Przypisana grupa użytkowników nie może być pusta — musi zawierać co najmniej jednego użytkownika.

Przed zmianą trzeba sprawdzić, czy sekcja My Products > Protected Browser > Web policy jest widoczna i edytowalna w danej dzierżawie. Jeśli sekcji brakuje lub jest tylko do odczytu, nie należy eksperymentować z szerszą rolą, lecz wyjaśnić przypisanie licencji i ról w dzierżawie.

Wymagane obiekty zasad muszą zostać wcześniej utworzone w Sophos Fusion; ich tworzenie nie należy do tej procedury.

Zrozumienie logiki zasad przed konfiguracją

Zasada ma overall policy effect Allow, Block lub Warn:

Allow zapewnia wybranym grupom użytkowników i stanom urządzeń dostęp do wybranych zasobów docelowych.
Block blokuje ten dostęp.
Warn zezwala na dostęp, ale najpierw wyświetla ostrzeżenie.

Grupa użytkowników i stan urządzenia są połączone operatorem AND: jeśli oba elementy określono w zasadzie, oba muszą być zgodne. Kryteria zasobu docelowego Application group, Site list i Web category są natomiast połączone operatorem OR: wystarczy zgodność jednego kryterium.

Oznacza to, że szerokie zestawy zasobów mogą szybko zacząć obowiązywać. Na przykład zasada dla grupy użytkowników Finanzen-Pilot, stanu urządzenia Windows, grupy aplikacji i listy witryn jest zgodna, gdy użytkownik i stan urządzenia są zgodne, a zasób należy do grupy aplikacji albo listy witryn. Finanzen-Pilot jest tylko przykładową nazwą i trzeba ją zastąpić istniejącą, niepustą grupą z własnej dzierżawy.

Świadome stosowanie zasady bazowej

Base policy zawiera Web filtering profile oraz Default actions for downloads, uploads, and data boundaries. Te działania domyślne obowiązują, o ile inna zasada ich nie zastąpi. Aby ją edytować, należy otworzyć My Products > Protected Browser > Web policy i wybrać Base policy.

Zasadę bazową można edytować, ale nie można jej usunąć, sklonować ani zmienić jej rangi. Indywidualne wymagania należy więc umieszczać w osobnych, węziej ograniczonych zasadach. Dzięki temu zasada bazowa pozostaje przewidywalną ścieżką rezerwową, a wyjątki można kontrolować za pomocą rangi i stanu.

Globalne włączanie Phishing Protection i aktywacja w zasadach

Phishing Protection monitoruje formularze stron internetowych pod kątem określonych firmowych adresów e-mail lub domen. Ochrona działa przy wpisywaniu lub wysyłaniu monitorowanego adresu; nie skanuje wiadomości e-mail. Jest to osobny mechanizm, którego nie należy utożsamiać z filtrowaniem kategorii internetowych ani z granicami schowka lub plików.

Najpierw określ adresy do ochrony

Otwórz My Products > Protected Browser > Settings i wybierz kartę Phishing Protection.
Włącz Phishing Protection.
W sekcji Email domains to protect wpisz potrzebne domeny firmowe lub pojedyncze adresy e-mail. example.com to fikcyjna domena przykładowa obejmująca wszystkich jej użytkowników; pb-pilot@example.com oznacza pojedynczy adres testowy. W dzierżawie użyj wyraźnie zatwierdzonego adresu testowego własnej organizacji, początkowo nie całej domeny produkcyjnej.
Zapisz za pomocą Save. Dopiero potem można włączyć ochronę w zasadzie bazowej lub własnej zasadzie.

Ustawienie globalne określa monitorowane adresy. Zasada określa zasoby docelowe, w których ochrona obowiązuje, i sposób reakcji. Sam przełącznik globalny nie zastępuje więc konfiguracji zasady.

Oddzielnie wybierz zasadę bazową i własną

W sekcji My Products > Protected Browser > Web policy > Base policy włącz Enable Phishing Protection i wybierz Warn lub Block. W zasadzie bazowej kontrola ta dotyczy znanych witryn wysokiego ryzyka lub o słabej reputacji. Warn wyświetla ostrzeżenie i pozostawia użytkownikowi decyzję o kontynuowaniu. Block uniemożliwia wpisanie monitorowanego adresu e-mail.

We własnej zasadzie również włącz Enable Phishing Protection, wybierz Warn lub Block i zapisz za pomocą Save. Tutaj kontrola obejmuje aplikacje i witryny objęte zasadą niezależnie od ich poziomu ryzyka. Świadomie ogranicz więc grupę użytkowników, stan urządzenia, warunki zasobu docelowego, stan i rangę. Działanie antiphishingowe nie jest tym samym co overall policy effect zasady: aplikacja ogólnie dozwolona może nadal blokować wpisanie monitorowanego adresu. W pilotażu użyj dostępnej, dozwolonej aplikacji testowej, aby ogólna blokada dostępu nie przesłoniła testu formularza.

Testuj bez prawdziwej strony phishingowej

Użyj zatwierdzonej, nieszkodliwej strony z formularzem pod własną kontrolą i pojedynczego zatwierdzonego adresu testowego. Nie wpisuj prawdziwych haseł i nie odwiedzaj podejrzanych witryn.

Zapisz poprzedni stan globalny, listę adresów i ustawienia antiphishingowe odpowiednich zasad. Ogranicz własną zasadę pilotażową do grupy testowej i strony formularza, a następnie umieść ją przed szerszymi pasującymi regułami.
Dodaj adres testowy globalnie i wybierz Enable Phishing Protection > Warn w zasadzie pilotażowej. Wpisz monitorowany adres w formularzu lub spróbuj go wysłać. Oczekiwane jest ostrzeżenie; zatwierdzone kontynuowanie sprawdza decyzję po ostrzeżeniu, a nie blokadę.
Zmień tylko działanie antiphishingowe na Block i powtórz próbę. Wpisanie lub wysłanie monitorowanego adresu powinno być niemożliwe. Używając fikcyjnego, niemonitorowanego adresu, sprawdź, czy ta kontrola nie blokuje bez rozróżnienia wszystkich adresów.
Zanotuj czas testu, użytkownika, aplikację, URL formularza i zaobserwowaną decyzję. Następnie sprawdź zdarzenia w raportach Phishing Protection. Test na nieszkodliwej stronie docelowej potwierdza działanie własnej zasady niezależnie od reputacji, a nie klasyfikację ryzyka lub warunek uruchomienia zasady bazowej.

Jeśli przełącznik zasady się nie pojawia albo oczekiwana reakcja nie następuje, sprawdź najpierw aktywację globalną, zapisany adres lub domenę oraz pierwszą pasującą aktywną zasadę. Pusty raport nie dowodzi ani skutecznej ochrony, ani jej wyłączenia. Bez jednoznacznego wyniku ogranicz wdrożenie do pilotażu.

Po zmianie lub wyłączeniu zasady antiphishingowej należy ponownie załadować istniejące chronione karty albo otworzyć nową stronę przed kolejnym testem. W NZT-11106 Sophos dokumentuje, że już otwarte karty mogą w przeciwnym razie nadal usuwać monitorowany tekst po naciśnięciu Enter. Również po przywróceniu zasady pilotażowej należy najpierw ponownie załadować stronę, a następnie sprawdzić działanie przy użyciu nieszkodliwych wartości testowych. Samo to zachowanie nie dowodzi błędnego zapisu zasady. Stan weryfikacji: 24 października 2026.

Aby wycofać zmianę, przywróć udokumentowany poprzedni stan zasady pilotażowej albo wyłącz ją za pomocą Update, a następnie sprawdź, która zasada faktycznie przejmuje działanie. Ochrona antiphishingowa nadal aktywna w zasadzie bazowej może działać także po wyłączeniu pilotażu. Globalną listę adresów i przełącznik przywróć tylko wtedy, gdy żadne inne zasady nie potrzebują tej zmiany. Globalne wyłączenie usuwa również wymaganie wstępne innych zasad antiphishingowych i nie jest pozbawionym ryzyka wycofaniem jednej zasady.

Wybór ochrony pobierania i przesyłania

Profile działań nie są wariantami jednego poziomu bezpieczeństwa. W szczególności zezwalanie bez skanowania i zezwalanie, jeśli nie można przeskanować wpływają na ryzyko inaczej niż profil blokujący plik, którego nie można przeskanować.

Ochrona pobierania

Block all downloads: blokuje pobieranie wszystkich plików.
Allow all downloads without scanning: zezwala na wszystkie pobrania bez skanowania plików i sprawdzania reputacji ich adresów URL.
Scan risky downloads and block if unscannable: skanuje pliki tekstowe, Microsoft Office i PDF, sprawdza reputację adresu URL i blokuje pliki, których nie można przeskanować.
Scan risky downloads and allow if unscannable: wykonuje te same kontrole, ale zezwala na pliki, których nie można przeskanować.
Scan only executable downloads: skanuje pliki binarne i wykonywalne, sprawdza reputację adresu URL i zezwala na pliki, których nie można przeskanować.

Ochrona przesyłania

Block all uploads: blokuje przesyłanie wszystkich plików.
Allow all uploads without scanning: zezwala na wszystkie operacje przesyłania bez skanowania plików i sprawdzania reputacji ich adresów URL.
Scan risky file uploads and block if unscannable: skanuje pliki tekstowe, Microsoft Office i PDF, sprawdza reputację adresu URL i blokuje pliki, których nie można przeskanować.
Scan risky file uploads and allow if unscannable: wykonuje te same kontrole, ale zezwala na pliki, których nie można przeskanować.
Block document and text uploads, scan other file types: blokuje dokumenty i pliki tekstowe, skanuje inne typy plików wraz z kontrolą adresu URL oraz zezwala na pliki, których nie można przeskanować.

Protected Browser ocenia reputację plików przy użyciu Sophos Extensible List (SXL). W określonych przypadkach Sophos Intellix skanuje i analizuje konkretne pliki. Przed testem pilotażowym należy wyjaśnić klasyfikację danych i dopuszczalność analizy w chmurze. Decyzje dotyczące prywatności i udostępniania danych w całej dzierżawie pozostają oddzielone od opisanych tutaj profili zasad produktu.

Właściwy wybór granic danych

Granice danych kontrolują Screen capture, sharing, and recording, Printing, Save page oraz Cut, copy, paste. Ograniczenia schowka wyraźnie nie dotyczą paska adresu przeglądarki. Pomyślny test schowka w treści strony nie dowodzi więc kontroli paska adresu.

Zezwalanie na wszystko

Ten profil zezwala na wykonywanie zrzutów ekranu, udostępnianie i nagrywanie, drukowanie, zapisywanie strony oraz wycinanie, kopiowanie i wklejanie. Nie nakłada żadnych z opisanych granic danych.

Zezwalaj na kopiowanie na zewnątrz — blokuj wklejanie do środka

Allow copy/paste outside the browser - block pasting inwards zezwala na wycinanie i kopiowanie z wybranych aplikacji oraz wklejanie w zasobach poza przeglądarką. Kierunek odwrotny jest zablokowany: treści ze źródeł zewnętrznych nie można wklejać do wybranych aplikacji. Zrzuty ekranu, udostępnianie i nagrywanie, drukowanie oraz Save page są dozwolone. Dla tego profilu nie wskazano dodatkowej opcji tymczasowego obejścia; wymienione działania dotyczące ekranu są już dozwolone.

Jest to kierunkowa granica wejścia, a nie blokada wypływu danych. Na przykład wyniki z wybranej aplikacji AI można kopiować na zewnątrz, ale wklejanie do niej treści zewnętrznych pozostaje zablokowane. Przesyłanie plików nadal jest kontrolowane osobno przez ochronę przesyłania.

Zachowanie danych w zasobach docelowych tej zasady

Wykonywanie zrzutów ekranu, udostępnianie i nagrywanie, drukowanie oraz Save page są zablokowane. Wycinanie, kopiowanie i wklejanie działają w wybranych zasobach docelowych, ale tekstu nie można wkleić poza nimi. Nie jest dozwolone ani wklejanie ze źródeł zewnętrznych, ani tymczasowe obejście ochrony przed zrzutami ekranu, udostępnianiem i nagrywaniem.

Ten profil jest odpowiedni, gdy dane mogą przepływać między aplikacjami objętymi tą samą zasadą, ale nie mogą opuszczać tego zestawu zasobów. Jeśli na przykład Jira i Salesforce znajdują się w wybranej grupie aplikacji, schowek pozostaje dostępny między tymi zasobami.

Zachowanie danych w zasobach — zezwolenie na obejście i rejestrowanie

Schowek pozostaje ograniczony do wybranych zasobów docelowych, a wklejanie ze źródeł zewnętrznych jest niedozwolone. Wycinanie, kopiowanie i wklejanie są rejestrowane. Zrzuty ekranu, udostępnianie i nagrywanie są domyślnie zablokowane, ale użytkownicy końcowi mogą tymczasowo obejść tę ochronę. Printing i Save page są dozwolone po ostrzeżeniu.

Ten profil jest mniej rygorystyczny niż wariant bez obejścia. Należy go używać tylko wtedy, gdy uzasadniona potrzeba wyjątku usprawiedliwia dozwolone obejście i zwolnienia po ostrzeżeniu.

Zachowanie danych w zasobach — zezwolenie na wklejanie z zewnątrz

Zrzuty ekranu, udostępnianie i nagrywanie, drukowanie oraz Save page są zablokowane. Wycinanie i kopiowanie również są zablokowane, natomiast wklejanie jest dozwolone. Dane zewnętrzne można więc wprowadzać do chronionych zasobów bez możliwości kopiowania ich treści na zewnątrz. Tymczasowe obejście ochrony przed zrzutami ekranu, udostępnianiem i nagrywaniem nie jest dostępne.

W przypadku Keep data within this policy’s destinations - allow pasting from outside opis i jawne przypisanie ustawień są sprzeczne: opis wspomina o wklejaniu w obu kierunkach, ale przypisanie blokuje wycinanie i kopiowanie oraz zezwala na wklejanie. Przy planowaniu nadal obowiązuje powyższe restrykcyjne przypisanie. Nie jest to potwierdzone zezwolenie na kopiowanie na zewnątrz. Przed użyciem produkcyjnym sprawdź oba kierunki na nieszkodliwych treściach; w razie rozbieżności zatrzymaj wdrożenie i poproś Sophos Support o wyjaśnienie zachowania.

Zachowuj dane w zasobach docelowych — zezwalaj na udostępnianie ekranu i nagrywanie

Keep data within this policy’s destinations - allow screenshare and recording zezwala na zrzuty ekranu, udostępnianie i nagrywanie dla wybranych zasobów docelowych. Printing i Save page pozostają zablokowane. Wycinanie, kopiowanie i wklejanie są dozwolone w zasobach docelowych zasady; wklejanie tych treści poza nimi i wklejanie ze źródeł zewnętrznych jest niedozwolone. Przypisanie ustawień dodatkowo wymienia jako dozwolone tymczasowe obejście przez użytkownika ochrony przed zrzutami ekranu, udostępnianiem i nagrywaniem. Ponieważ działania dotyczące ekranu są już dozwolone, nie stanowi to dodatkowej gwarancji ochrony.

Granica schowka nie zapobiega tutaj przekazywaniu widocznej treści przez udostępnianie ekranu lub nagrywanie. Wybierz ten profil tylko wtedy, gdy takie przekazywanie jest dozwolone dla objętych aplikacji.

Zachowanie danych w Protected Browser

Zrzuty ekranu, udostępnianie i nagrywanie, drukowanie oraz Save page są zablokowane. Wycinanie, kopiowanie i wklejanie jest możliwe tylko w Protected Browser; tekst z zewnątrz można wkleić do przeglądarki. Tymczasowe obejście ochrony przed zrzutami ekranu, udostępnianiem i nagrywaniem nie jest dostępne.

Różnica względem granicy opartej na zasobach docelowych jest istotna: ten profil tworzy granicę wokół całej przeglądarki Protected Browser, a nie tylko wokół zasobów objętych tą samą zasadą.

Sprawdź kierunki i inne drogi w pilotażu

Siedem profili należy sprawdzić według powyższych przypisań, nie tylko według nazw. Użyj nieszkodliwego znacznika tekstowego w treści strony, dwóch zasobów tej samej zasady, zasobu nieobjętego zasadą i aplikacji zewnętrznej. Pasek adresu świadomie wyklucz z testów granic schowka.

Do środka: Wklej znacznik z aplikacji zewnętrznej do objętego zasobu. Musi to zakończyć się niepowodzeniem przy profilu blokującym wklejanie do środka oraz przy profilach zasobów docelowych bez zezwolenia na wklejanie zewnętrzne; Zezwalanie na wszystko, Zezwolenie na wklejanie z zewnątrz i granica wokół całego Protected Browser na to zezwalają.
Na zewnątrz i między zasobami: Oddzielnie sprawdź wycinanie i kopiowanie w objętym zasobie, wklejanie w drugim objętym zasobie, a potem w zasobie nieobjętym zasadą lub aplikacji zewnętrznej. Zezwalanie na wszystko i Zezwolenie na kopiowanie na zewnątrz dopuszczają wyjście. Profile zasobów docelowych ograniczają je do własnych zasobów; w sprzecznie opisanym profilu zezwalającym na wklejanie już wycinanie i kopiowanie muszą być niemożliwe według restrykcyjnego przypisania. Granica przeglądarki zezwala tylko na drogę wewnątrz Protected Browser.
Inne wyjścia: Sprawdź osobno zrzuty ekranu, udostępnianie, nagrywanie, drukowanie i Save page. W wariancie z rejestrowanym obejściem sprawdź też zatwierdzone tymczasowe obejście ochrony ekranu oraz ostrzeżenia przed drukowaniem lub zapisywaniem. W wariancie z dozwolonym udostępnianiem ekranu działania dotyczące ekranu muszą działać, a drukowanie i zapisywanie pozostawać zablokowane.

Dla każdego testu zanotuj profil, źródło, cel, oczekiwany i zaobserwowany wynik. Powodzenie testu schowka nie dowodzi blokady przesyłania ani blokady udostępniania ekranu. Nie obchodź niewyjaśnionych rozbieżności, przełączając na Zezwalanie na wszystko.

Konfigurowanie zasady pilotażowej

Otwórz My Products > Protected Browser > Web policy i w sekcji Policies wybierz Add Policy.
W polu Name wprowadź unikatową nazwę, na przykład PB-Finanzen-Pilot, a w Description podaj cel i osobę odpowiedzialną. Nazwę przykładową można wybrać dowolnie; nie zastępuje istniejącej grupy użytkowników.
W sekcji overall policy effect wybierz Allow, Block lub Warn. Zasada z działaniami dotyczącymi plików i granic danych musi używać Allow albo Warn.
W sekcji Conditions > User group wybierz Edit. W sekcji Edit user groups > Available wybierz istniejącą grupę pilotażową i przenieś ją do Assigned. Sprawdź, czy grupa zawiera co najmniej jednego użytkownika, i potwierdź za pomocą Save.
Wybierz co najmniej jedną wartość Device posture. Następnie wybierz wymagane zasoby przez Application group, Site list i/lub Web category. Opcję Any należy wybrać tylko wtedy, gdy warunek celowo nie ma być ograniczony do określonej grupy użytkowników lub obiektu zasady.
W sekcji Actions wybierz profile Download protection, Upload protection i Data boundaries. Ta sekcja dotyczy efektów ogólnych Allow i Warn.
Jeśli zasoby mają być otwierane wyłącznie w pełnej wersji Protected Browser, włącz Enforce use of full browser. Przy próbie dostępu odpowiednie witryny lub zasoby zostaną automatycznie otwarte w pełnej wersji Protected Browser.
Wybierz Save.
W tabeli zasad otwórz z menu z trzema kropkami Move to rank #, przesuń strzałką zasadę pilotażową na wymaganą pozycję i wybierz Apply. Niższy numer rangi jest oceniany wcześniej; ranga 1 jest pierwsza.

Wąska zasada musi znajdować się przed bardziej ogólną zasadą, która już w pełni spełnia te same warunki użytkownika i zasobu. W przeciwnym razie najpierw zadziała zasada ogólna, a zasada pilotażowa nie zostanie oceniona.

Walidacja i oczekiwany wynik

Do odbioru należy użyć użytkownika testowego należącego dokładnie do przypisanej, niepustej grupy pilotażowej, zgodnego stanu urządzenia i jednoznacznie przypisanego zasobu. Testy należy wykonywać na niewrażliwych plikach i treściach.

W tabeli zasad sprawdź Rank, Name, Access i Status. Zasada pilotażowa musi mieć stan Active i znajdować się przed każdą szerszą, również pasującą zasadą.
Przetestuj zasób spełniający warunki. Przy Allow dostęp musi być możliwy, przy Warn — możliwy po ostrzeżeniu, a przy Block — niemożliwy.
Przetestuj po jednym scenariuszu pobierania i przesyłania dozwolonym przez wybrany profil oraz po jednym blokowanym. W profilu blokuj, jeśli nie można przeskanować decyzja ta należy do kryteriów powodzenia; w profilu zezwól, jeśli nie można przeskanować oczekiwany jest przeciwny wynik.
Osobno przetestuj każdy aspekt wybranej granicy danych: zrzut ekranu lub udostępnianie, drukowanie, Save page, kopiowanie między dwoma objętymi zasobami, kopiowanie na zewnątrz i wklejanie z zewnątrz. Oczekiwany jest dokładnie zestaw zachowań wybranego profilu.
Jeśli Enforce use of full browser jest aktywne, zainicjuj dostęp do objętego zasobu i sprawdź, czy otwiera się w pełnej wersji Protected Browser.
Wykonaj test, w którym pasuje tylko jedno kryterium zasobu, oraz test, w którym nie pasuje grupa użytkowników lub stan urządzenia. Pozwala to osobno sprawdzić relację OR zasobów oraz relację AND warunków użytkownika i urządzenia.

Rozwiązywanie problemów według objawu

Zasada nie działa

Najpierw sprawdź Status i Rank. Zasada Not active nie jest oceniana. Jeśli wyżej umieszczona aktywna zasada już w pełni pasuje, ocena kończy się na niej. Przenieś węższą zasadę przed szerszą regułę za pomocą Move to rank # > Apply i powtórz test.

Następnie sprawdź logikę warunków: grupa użytkowników i stan urządzenia muszą pasować łącznie; dla grupy aplikacji, listy witryn i kategorii internetowej wystarczy jeden zgodny zasób. Brak wartości do wyboru może oznaczać, że użytkownik lub obiekt zasady nie został jeszcze utworzony.

Nie można prawidłowo przypisać grupy użytkowników

Sprawdź, czy grupa zawiera co najmniej jednego użytkownika. Nie można przypisać pustej grupy użytkowników. Najpierw dodaj użytkowników do grupy, ponownie zapisz zasadę i powtórz test z członkiem tej grupy.

Działania na plikach lub granice danych wydają się ignorowane

Sprawdź overall policy effect. Przy Block dodatkowe działania ochrony pobierania, przesyłania i granic danych nie obowiązują. Przy Allow lub Warn sprawdź następnie, czy najpierw zadziałała zasada o wyższym priorytecie i jaki profil działania faktycznie w niej wybrano.

Nie używaj paska adresu do testowania schowka: udokumentowane granice schowka tam nie obowiązują. Jeśli wynik w treści strony nadal różni się od macierzy wybranego profilu, nie rozszerzaj wdrożenia. Udokumentuj przypadek testowy, rangę, warunki i profil, a następnie eskaluj sprawę do Sophos Support.

Bezpieczne wycofanie i usuwanie

Przed zmianą zapisz Rank, Status, warunki i profile działań danej zasady. Aby umożliwić odwrócenie zmiany, wyłącz nową zasadę pilotażową, a następnie wybierz Update. Nieaktywna zasada nie jest oceniana; ponowny test musi zatem wykazać, że znów działa kolejna zgodna zasada albo zasada bazowa.

Usunięcie należy rozważyć dopiero po potwierdzeniu wycofania. Własne zasady można usunąć z menu z trzema kropkami za pomocą Delete albo użyć ich jako podstawy nowego wariantu za pomocą Clone. Zasady bazowej nie można usunąć, sklonować ani zmienić jej rangi. Nie należy więc usuwać zasady, dopóki jej warunki, ranga lub zamierzony efekt zastępczy nie są jasne.

Podczas wycofywania grupy użytkowników lub obiektu zasady najpierw przejrzyj wszystkie zasady używające go jako warunku. Następnie dostosuj przypisanie, potwierdź efekt ograniczonym testem i dopiero potem zajmij się niepotrzebnym obiektem w przeznaczonej do tego sekcji.

Eksploatacja i regularne przeglądy

Zasady należy przeglądać po każdej zmianie grup użytkowników, stanów urządzeń lub obiektów docelowych oraz regularnie sprawdzać ich Rank, Status, Access i przypisane profile działań. Szczególnej kontroli wymagają reguły z Any, profile zezwalające na pliki, których nie można przeskanować, zezwalanie na wszystkie pobrania i przesyłanie bez skanowania oraz granice danych z tymczasowym obejściem.

Zmianę należy najpierw sklonować albo utworzyć jako nową zasadę pilotażową dla małej grupy docelowej. Po pomyślnym odbiorze świadomie rozszerzyć jej zakres. Niezależnie od tych kontroli trzeba weryfikować terminy migracji oraz daty wycofania produktu lub EOL w oficjalnych komunikatach.

Powiązany przewodnik

Kontrolowanie prywatności i udostępniania danych w Sophos Fusion objaśnia kontekst przekazywania plików usługom Sophos i decyzji o prywatności dotyczących całej dzierżawy.