Inför Sophos Fusion Device Encryption på ett säkert sätt
Sophos Fusion Device Encryption hanterar diskkryptering centralt för Windows och macOS. Den faktiska krypteringen kommer fortfarande från operativsystemet: BitLocker på Windows, FileVault på macOS. Sophos distribuerar policyn, registrerar status och hanterar Recovery Keys, men ersätter inte krypteringsmotorn eller de plattformsspecifika kraven.
För en robust utrullning måste fem delar fungera tillsammans: en giltig licens, den installerade Device Encryption-komponenten, en aktiv policy, ett lokalt tillstånd som stöds och en fungerande återställningsprocess. En slutförd agentinstallation eller visningen ”100 procent” räcker inte.
Vad Sophos hanterar – och inte hanterar
Device Encryption skyddar startvolymer och, beroende på policyn, fasta interna datavolymer. Flyttbara medier omfattas inte. BitLocker To Go kan visserligen kryptera sådana enheter, men Sophos Fusion hanterar varken deras status eller Recovery Keys.
Hanteringen finns under My Products > Encryption. De två områdena har olika uppgifter:
- Under My Products > Encryption > Policies anges för vilka användare Device Encryption är aktivt och vilka volymer som omfattas.
- Under My Products > Encryption > Computers bedöms rapporterad status, saknade komponenter och återställningsberedskap.
Policyn tilldelas användare eller grupper. I Windows räcker det att en användare som omfattas av policyn loggar in för att krypteringen ska starta; en användare som senare loggar in utan en motsvarande policy inaktiverar inte skyddet. På en Mac måste alla avsedda användare omfattas av policyn för att användarbehörighet och återställningshantering ska fungera fullt ut. Delade enheter och lokala konton ingår därför uttryckligen i pilotprojektet.
Förutsättningar innan den första policyn
Kontrollera först att prenumerationen omfattar Device Encryption. Avtals- och licensmätningsfrågor behandlas i översikten över Sophos Fusion-licensiering. För utrullningen är det avgörande att funktionen finns i tenanten och motsvarar den planerade omfattningen.
Därefter godkänns operativsystem, arkitektur och livscykelstatus. Uppgifterna ändras snabbare än ett utrullningskoncept och bör inte kopieras till krypteringsdokumentationen som en statisk versionslista. Metoden beskrivs i Planera systemkrav och livscykel för Sophos Endpoint.
En redan krypterad enhet ska inte behandlas som en ny installation. Före tilldelningen inventeras den lokala BitLocker- eller FileVault-statusen, befintliga Recovery Keys, gruppolicyer eller MDM-inställningar och eventuella tidigare krypteringsprodukter. Två administrativa system får inte tvinga fram motstridiga krav samtidigt. Det lämpliga övertagandet sker sedan i BitLocker-flödet för Windows eller i FileVault-flödet för macOS, inte via en generell på/av-knapp.
Komponenten måste också faktiskt existera. Under My Environment > Installers innehåller hela installationsprogrammet för Windows eller macOS de endpointsprodukter som omfattas av licensen. Device Encryption kan väljas specifikt via Choose Components…. På Mac installeras Device Encryption Agent separat. En färdig installation är fortfarande bara ett mellansteg: policyn, rapporterad status och återställningsberedskap är då avgörande.
Behandla licensens utgång som en återställningsrisk
När krypteringslicensen löper ut försvinner sidan Device Encryption från Self Service Portal. Användare kan då inte längre hämta Recovery Keys där själva. Sophos tar också bort de flesta krypteringskomponenterna från enheten, men behåller komponenter som behövs för en senare återanslutning.
Detta stänger inte av BitLocker eller FileVault och dekrypterar inte enheterna. Det är precis där risken ligger: uppgifterna förblir skyddade, medan central administration och självbetjäning är begränsade. Om en BitLocker-Recovery Key ändras i denna ohanterade fas, kan Central initialt fortfarande känna till den gamla nyckeln efter en senare återaktivering.
Licensförnyelse och återställning får därför inte vara beroende av en och samma funktion eller person. Ansvarig person, sista giltighetsdatum, eskaleringsväg och en godkänd återställningsväg bestäms före utrullningen. Hämtning, utlämning och ärendedokumentation beskrivs i Hämta Recovery Key säkert.
Börja med en så liten utrullning att felen förblir hanterbara
Baspolicyn ska inte aktiveras i hela tenanten innan den har testats. En bra pilotgrupp kartlägger de skillnader som faktiskt påverkar krypteringsprocessen: hårdvarugenerationer, bärbara modeller, operativsystemversioner, lokala kontotyper och redan aktiv kryptering. Det är lika viktigt att ha en enhet utan befintlig kryptering så att den nya inställningen också kan kontrolleras.
En Device Encryption-policy skapas under My Products > Encryption > Policies och tilldelas den här pilotgruppen först. Encrypt boot volume only avgör om fasta datavolymer utanför startvolymen omfattas av Sophos policy. Valet beror på var data faktiskt finns på enheterna. Windows-alternativet Encrypt used space only förkortar den initiala krypteringen, men kan lämna borttagna områden okrypterade på diskar som redan har använts; den är därför avsedd för nyinstallerade datorer.
De ytterligare besluten är plattformsspecifika. TPM, autentisering före start, BitLocker-grupppolicyer och partitionering anges i Windows-guiden. FileVault-användare, lokal behörighet och den personliga Recovery Key hör hemma i Mac-guiden. Detta innebär att den gemensamma policyn förblir begriplig utan att blanda två olika säkerhetsmodeller.
Avsluta inte utrullningen bara för att den visar 100 procent
Vid det tekniska godkännandet jämförs uppgifterna i Central med den lokala enheten. Följande ska kunna verifieras för varje pilotenhet:
- Den avsedda policyn tillämpas på rätt användare och enhet.
- Volymen som täcks av policyn är helt krypterad lokalt.
- My Products > Encryption > Computers rapporterar förväntad status Encrypted.
- Återställningsvägen för denna enhet och volym är tillgänglig och organisatoriskt godkänd.
- Omstart, inloggning och avsedd Pre-Boot-autentisering fungerar.
- Alerts, ansvar och eskalering har testats med ett säkert testscenario.
Reglerna för beredskapstester och utlämning av nycklar finns i den centrala återställningsprocessen. Upplåsning och efterkontroll görs fortfarande enligt respektive BitLocker- eller FileVault-process. En väntande användarprompt, en nödvändig omstart eller en saknad central nyckel förhindrar godkännande även om operativsystemet redan visar krypteringsförlopp.
Tolka de sju statusvärdena i Central rätt
Statusen under My Products > Encryption > Computers är en sammanfattande vy i Central. Den ersätter inte en lokal kontroll, men hjälper till att placera enheterna i rätt åtgärdskö.
| Status | Förklaring |
|---|---|
Encrypted | Volymerna som omfattas av Sophos är krypterade. Även beredskapen för återställning kontrolleras för godkännande. |
Pending | Krypteringen är ännu inte färdig; ofta väntar flödet på synkronisering, användaråtgärd, omstart eller lokala förlopp. |
Suspended | BitLocker-skyddet är tillfälligt pausat på minst en volym. Detta betyder inte att volymen är dekrypterad. |
Plain | Minst en volym som visas av Central är okrypterad. Policymål och lokalt tillstånd måste jämföras. |
Unmanaged | Device Encryption finns på datorn, men ingen Device Encryption-policy är aktiv. |
Not supported | Plattform eller lokalt driftläge stöds inte av Device Encryption. |
Not available | Central kan inte ge någon krypteringsstatus, till exempel för att Device Encryption-komponenten saknas. |
Pending är inte en felkod och Suspended är inte en synonym för dekrypterad. Om en status förblir oförändrad, strider mot det lokala tillståndet eller om Recovery Key saknas hör ärendet hemma i systematisk Device Encryption-felsökning, i stället för att policyn upprepade gånger slås av och på.
Skilj mellan tre snarlika kategorier
Benämningen ”ohanterad” kan avse olika saker i Central. Vid upprensning måste därför tre fall hållas isär:
- Statusen
Unmanagedi datorlistan betyder att Device Encryption är närvarande, men ingen lämplig policy är i kraft. - Computers without Device Encryption installed-filtret under My Products > Encryption > Computers visar hanterade datorer som saknar krypteringskomponenten.
- Efter en AD-synkronisering innehåller fliken Unmanaged computers även enheter som är kända från Active Directory men som inte har Sophos-skydd.
Dessa grupper kräver olika åtgärder. En policytilldelning installerar inte automatiskt saknade komponenter, och en dator som är känd från AD är inte nödvändigtvis en hanterad endpoint. Orsaken avgör om rätt åtgärd är tilldelning, installation, upprensning i inventariet eller ett medvetet undantag.
Håll isär ansvarsområdena i driften
Processen Hämta Recovery Key säkert hanterar gemensam hämtning och säker utlämning. Detta följs av BitLocker-guiden eller FileVault-guiden för användning.
Vid ett övertagande eller en migrering dokumenteras utgångsläget först. Adoptera eller migrera Sophos Device Encryption väljer sedan lämpligt Windows- eller macOS-flöde. Den gamla hanteringen och den tidigare återställningsvägen förblir på plats tills den nya statusen godkänns lokalt och centralt. Okända SafeGuard-versioner eller blandade moduler är en stoppsignal och måste klargöras före varje ändring. Historiska versionskommentarer utgör inget aktuellt supportgodkännande.
Att ta bort en enhet är också mer än att radera en central post. Först klargörs krypteringsmålet, återställningsansvaret och lokal avinstallation. Först därefter följer processen Ersätt eller avveckla Sophos Fusion-enhet. I synnerhet överför en avinstallation av en agent inte en FileVault-nyckel till ny hantering.
Lösenordsskyddade filer på Windows är en fristående Device Encryption-funktion, men är inte diskkryptering och är inte bevis för en framgångsrik utrullning av BitLocker. Policy, överföringsväg, mottagarprocess och separat lösenordsöverföring planeras och testas därför i detta separata arbetsflöde och aktiveras inte i förbifarten i utrullningspolicyn.