Implementar o Sophos Fusion Device Encryption com segurança
O Sophos Fusion Device Encryption gere centralmente a encriptação de unidades do Windows e do macOS. A encriptação propriamente dita continua a ser fornecida pelo sistema operativo: BitLocker no Windows e FileVault no macOS. A Sophos distribui a política, recolhe o estado e gere Recovery Keys, mas não substitui o motor de encriptação nem os pré-requisitos específicos da plataforma.
Para uma implementação fiável, cinco elementos têm de estar alinhados: uma licença válida, o componente Device Encryption instalado, uma política efetiva, um estado local suportado e um processo de recuperação funcional. Uma instalação bem-sucedida do agente ou a indicação de «100 por cento», por si só, não bastam.
O que a Sophos gere — e o que não gere
O Device Encryption protege volumes de arranque e, conforme a política, volumes de dados internos fixos. Os suportes amovíveis não estão incluídos. Embora o BitLocker To Go possa encriptá-los, o Sophos Fusion não gere o seu estado nem os seus Recovery Keys.
A gestão começa em My Products > Encryption. As duas áreas têm funções diferentes:
- Em My Products > Encryption > Policies, define-se para quem o Device Encryption está ativo e que volumes abrange.
- Em My Products > Encryption > Computers, avaliam-se o estado comunicado, componentes em falta e a prontidão de recuperação.
A política é atribuída a utilizadores ou grupos. No Windows, o início de sessão de um utilizador abrangido basta para iniciar a encriptação; um utilizador sem a política que inicie sessão mais tarde não desfaz a proteção. Num Mac, todos os utilizadores previstos têm de estar abrangidos para que a autorização de utilizadores e a gestão da recuperação funcionem por completo. Dispositivos partilhados e contas locais devem, portanto, fazer parte do piloto.
Pré-requisitos antes da primeira política
Primeiro, confirma-se se a subscrição inclui Device Encryption. As questões contratuais e de contagem são tratadas na visão geral do licenciamento Sophos Fusion; para a implementação, importa sobretudo que a função esteja disponível no tenant e corresponda ao âmbito previsto.
Em seguida, aprovam-se sistema operativo, arquitetura e ciclo de vida. Estes dados mudam mais depressa do que um conceito de implementação e não devem ser copiados como uma lista estática de versões para a documentação de encriptação. O procedimento está descrito em Planear requisitos de sistema e Lifecycle do Sophos Endpoint.
Num dispositivo já encriptado, a implementação não começa do zero. Antes da atribuição, inventariam-se o estado local de BitLocker ou FileVault, Recovery Keys existentes, requisitos de Group Policy ou MDM e qualquer produto de encriptação anterior. Dois sistemas de gestão não podem impor simultaneamente requisitos contraditórios. A adoção correta segue depois o processo BitLocker para Windows ou o processo FileVault para macOS, não um interruptor genérico de ativação e desativação.
O componente também tem de estar realmente instalado. Em My Environment > Installers, o instalador completo para Windows ou macOS inclui os produtos Endpoint abrangidos pela licença. Choose Components… permite selecionar especificamente Device Encryption. No Mac, o Device Encryption Agent é instalado em separado. Ainda assim, o fim da instalação é apenas uma etapa intermédia: depois contam a política, o estado comunicado e a prontidão de recuperação.
Tratar a expiração da licença como risco de recuperação
Quando a licença de Encryption expira, a página Device Encryption desaparece do Self Service Portal. Os utilizadores deixam de poder obter aí os próprios Recovery Keys. A Sophos também remove a maioria dos componentes de Encryption do dispositivo, mas conserva os componentes necessários para uma futura reconexão.
BitLocker e FileVault não são desativados e as unidades não são desencriptadas. É precisamente este o risco: os dados continuam protegidos enquanto a gestão central e o Self Service ficam limitados. Se um BitLocker Recovery Key mudar durante esta fase sem gestão, após a reativação o Central poderá inicialmente conhecer apenas a chave antiga.
A renovação da licença e a recuperação não devem, portanto, depender da mesma pessoa ou função isolada. Antes da implementação, definem-se responsável, data de expiração, via de escalamento e um processo de recuperação aprovado. A obtenção, divulgação e documentação do caso estão descritas em Obter Recovery Keys em segurança.
Começar com um âmbito suficientemente pequeno para controlar falhas
A Base Policy não é ativada em todo o tenant sem validação. Um bom grupo piloto representa as diferenças que realmente influenciam a encriptação: gerações de hardware, modelos de portátil, versões do sistema operativo, tipos de conta local e encriptação já ativa. É igualmente importante incluir um dispositivo sem encriptação existente para testar uma ativação nova.
Em My Products > Encryption > Policies, cria-se uma política Device Encryption e atribui-se primeiro ao grupo piloto. Encrypt boot volume only determina se a política Sophos abrange volumes de dados fixos além do volume de arranque. A escolha depende de onde os dados estão efetivamente guardados. A opção Windows Encrypt used space only reduz o tempo da primeira encriptação, mas pode deixar sem encriptação áreas apagadas de discos já utilizados; destina-se, por isso, a computadores recém-configurados.
As restantes decisões são específicas da plataforma. TPM, autenticação Pre-Boot, Group Policies BitLocker e particionamento são definidos no guia Windows. Utilizadores FileVault, autorização local e o Recovery Key pessoal pertencem ao guia Mac. Assim, a política comum permanece clara sem misturar dois modelos de segurança diferentes.
Não dar a implementação por concluída aos 100 por cento
A validação técnica cruza o Central com o dispositivo local. Para cada dispositivo piloto, confirma-se de forma rastreável:
- A política prevista está efetiva no utilizador e dispositivo corretos.
- O volume abrangido pela política está localmente encriptado por completo.
- My Products > Encryption > Computers apresenta o estado esperado Encrypted.
- O processo de recuperação correspondente ao dispositivo e volume está disponível e aprovado pela organização.
- Reinício, início de sessão e autenticação Pre-Boot prevista funcionam.
- Alerts, responsabilidades e escalamento foram testados com um cenário inofensivo.
As regras dos testes de prontidão e da divulgação de uma chave estão no processo central de recuperação; o desbloqueio e a verificação posterior permanecem no processo BitLocker ou FileVault aplicável. Um pedido ao utilizador ainda pendente, um reinício necessário ou a ausência da chave central impedem a aprovação, mesmo que o sistema operativo já mostre progresso de encriptação.
Interpretar corretamente os sete estados do Central
O estado em My Products > Encryption > Computers é uma visão resumida do Central. Não substitui a verificação local, mas ajuda a encaminhar os dispositivos para a fila certa.
| Estado | Interpretação |
|---|---|
Encrypted | Os volumes abrangidos pela Sophos estão encriptados. A prontidão de recuperação também é verificada antes da aprovação. |
Pending | A encriptação ainda não terminou; é frequente o processo aguardar sincronização, ação do utilizador, reinício ou progresso local. |
Suspended | BitLocker está temporariamente suspenso em pelo menos um volume. Isto não significa que o volume esteja desencriptado. |
Plain | Pelo menos um volume observado pelo Central não está encriptado. É necessário comparar o objetivo da política com o estado local. |
Unmanaged | O computador tem Device Encryption, mas nenhuma política Device Encryption está efetiva. |
Not supported | A plataforma ou o estado operativo local não é suportado pelo Device Encryption. |
Not available | O Central não consegue fornecer o estado de encriptação, por exemplo porque falta o componente Device Encryption. |
Pending não é um código de erro e Suspended não é sinónimo de desencriptado. Se o estado não mudar, contradisser o estado local ou faltar o Recovery Key, encaminha-se o caso para a resolução sistemática de problemas do Device Encryption, em vez de ligar e desligar repetidamente a política.
Distinguir três inventários com nomes semelhantes
A designação «unmanaged» pode esconder causas diferentes no Central. Para a correção, distinguem-se três casos:
- O estado
Unmanagedna lista de computadores significa que Device Encryption está instalado, mas nenhuma política adequada está efetiva. - O filtro Computers without Device Encryption installed, em My Products > Encryption > Computers, mostra computadores geridos sem o componente Encryption.
- Após um AD Sync, o separador Unmanaged computers contém também dispositivos conhecidos do Active Directory, mas sem proteção Sophos.
Estes grupos exigem medidas diferentes. A atribuição de uma política não instala automaticamente todos os componentes em falta, e um computador conhecido do AD ainda não é um Endpoint gerido. Só a causa determina se é adequada uma atribuição, instalação, limpeza de inventário ou exceção deliberada.
Separar claramente as responsabilidades operacionais
A obtenção comum e a entrega segura seguem o processo Obter Recovery Keys em segurança. Para utilizar a chave, segue-se depois o guia BitLocker ou o guia FileVault.
Numa adoção ou migração, regista-se primeiro o estado de origem. Adotar ou migrar o Sophos Device Encryption seleciona depois o processo adequado para Windows ou macOS. A gestão antiga e o processo de recuperação anterior permanecem disponíveis até o novo estado ser validado localmente e no Central. Versões SafeGuard desconhecidas ou módulos mistos são um sinal de paragem e são esclarecidos antes de alterações; Release Notes históricas não equivalem a uma aprovação de suporte atual.
A desativação de um dispositivo também é mais do que apagar um registo no Central. Primeiro, esclarecem-se o objetivo de encriptação, a responsabilidade pela recuperação e a desinstalação local. Só depois se segue o processo Substituir ou desativar um dispositivo Sophos Fusion. Em particular, desinstalar o agente não transfere uma chave FileVault para uma nova gestão.
Os ficheiros protegidos por palavra-passe no Windows são uma função autónoma do Device Encryption, mas não são encriptação de disco nem prova de uma implementação BitLocker bem-sucedida. A política, o canal de envio, o processo do destinatário e a transmissão separada da palavra-passe são planeados e testados nesse processo próprio, não ativados incidentalmente na política de implementação.