Que comprend Sophos Central Device Encryption Corporate ?

Gestion de BitLocker – Applique et surveille le chiffrement BitLocker sur les ordinateurs Windows.
Gestion de FileVault  –  Applique le chiffrement complet du disque FileVault sur les Mac gérés.
Stockage centralisé des clés – Les clés de récupération sont conservées sous forme chiffrée au sein de Sophos Central.
Portail en libre-service – Les utilisateurs récupèrent eux-mêmes leur volume de démarrage sans avoir à créer de ticket.
Rapports de conformité – Affiche l’état actuel du chiffrement de chaque appareil géré.
Important – Les supports amovibles ne sont pas gérés, y compris BitLocker To Go.

Quels sont les principaux avantages de Sophos Central Device Encryption Corporate ?

Sophos Central Device Encryption gère le chiffrement déjà intégré à Windows et macOS au lieu d’installer son propre moteur de chiffrement, et chaque politique, clé et rapport est hébergé dans la console Web Sophos Central plutôt que sur un serveur que vous exploitez. Il s’agit du produit désigné par Sophos comme solution de migration pour SafeGuard Enterprise, dont la fin de vie a eu lieu le 20 juillet 2023, et il est vendu sous forme d’abonnement autonome ne nécessitant pas d’autre licence Sophos pour les terminaux.

Pas de serveur de clés – Pas de serveur de chiffrement ni de base de données de clés sur site à gérer.
Moins d’appels au service d’assistance – Les utilisateurs bloqués récupèrent leurs clés de récupération via le portail en libre-service.
Authentification obligatoire au démarrage – TPM + code PIN, phrase de passe ou clé USB au lieu du TPM seul.
Prise en charge de BitLocker –  Les ordinateurs déjà chiffrés sont pris en charge et reçoivent de nouvelles clés de récupération.
Partage protégé par mot de passe – Contenant HTML AES-256 pour les fichiers envoyés à l’extérieur de l’entreprise.
Stockage dans Active Directory – Les clés de récupération BitLocker peuvent en outre être stockées dans Active Directory.

À quelle taille d’entreprise Sophos Central Device Encryption Corporate est-il adapté ?

Le chiffrement complet du disque est généralement la première mesure de protection des données qu’une entreprise peut mettre en place sans avoir à repenser son infrastructure, car le chiffrement fait déjà partie intégrante de Windows et de macOS. Le tableau ci-dessous indique d’où provient généralement ce besoin, et dans quels cas ce produit apporte une réponse complète plutôt que partielle.

Sophos Central Device Encryption Corporate répond-il aux exigences de la législation suisse en matière de cybersécurité ?

La loi révisée sur la sécurité de l’information oblige les exploitants d’infrastructures critiques en Suisse à signaler les cyberattaques à l’Office fédéral de la cybersécurité (BACS) dans les 24 heures suivant leur découverte, tandis que la plupart des entreprises hors de ces secteurs n’ont pas cette obligation et sont plutôt guidées par les exigences de leurs clients et de leurs assureurs. Sophos Central Device Encryption soutient l’aspect préventif de cette approche : il impose un chiffrement complet du disque via des politiques sur les appareils Windows et macOS et enregistre, pour chaque appareil géré, si le chiffrement est actuellement actif, ce qui constitue la documentation dont une entreprise a besoin en cas de perte d’un ordinateur portable. Il ne détecte pas les attaques, ne génère pas de rapport d’incident et ne peut pas vous indiquer si des données ont été consultées ; l’obligation de signalement reste donc du ressort de vos propres processus et, le cas échéant, d’un produit de détection distinct. L’avantage pratique est plus limité mais bien réel : un appareil perdu dont l’état de chiffrement est documenté est un cas différent d’un appareil perdu dont personne ne peut prouver l’état. Ce texte constitue une information générale sur le produit et non un conseil juridique ; clarifiez vos propres obligations auprès d’un conseiller qualifié.

Sophos Central Device Encryption Corporate répond-il aux exigences de la législation européenne en matière de cybersécurité ?

Aucun logiciel ne permet à une entreprise de se mettre en conformité avec la directive NIS 2, car celle-ci exige des mesures organisationnelles de gestion des risques et un logiciel ne peut que les soutenir. La directive NIS 2 énumère des catégories de mesures, notamment l’analyse des risques et les politiques de sécurité, la gestion des incidents, la continuité des activités et la sauvegarde, la sécurité de la chaîne d’approvisionnement, la gestion des vulnérabilités, ainsi que les politiques relatives à l’utilisation de la cryptographie et du chiffrement. Sophos Central Device Encryption couvre la catégorie « cryptographie et chiffrement » pour les données au repos sur les appareils des employés, et fournit des preuves au niveau des actifs en rendant compte de l’état de chiffrement de chaque terminal géré. Elle ne couvre pas la gestion des incidents, la sauvegarde et la continuité des activités, les risques liés aux fournisseurs, la gestion des vulnérabilités ni l’authentification multifactorielle ; chacun de ces aspects nécessite son propre produit et un processus documenté. L’applicabilité de la directive NIS 2 à une organisation dépend de son secteur d’activité et de sa taille, tels que définis au niveau de la directive.

Sophos Central Device Encryption Corporate facilite-t-il le remplissage des questionnaires de sécurité des grands clients ?

Oui, pour la partie du questionnaire consacrée aux données au repos, et uniquement pour cette partie. Il permet d’indiquer si les ordinateurs portables de l’entreprise sont chiffrés, si le chiffrement est imposé de manière centralisée plutôt que laissé à la discrétion de l’utilisateur, quel algorithme est utilisé (XTS-AES 256 bits sous Windows et XTS-AES 128 bits sous macOS selon la fiche technique de Sophos), si une authentification au démarrage est requise, et comment les clés de récupération sont stockées et qui peut y accéder : chiffrées dans Sophos Central, accessibles uniquement par les rôles HelpDesk, Admin et SuperAdmin, et non exportables. Il ne répond pas aux questions concernant la protection contre les logiciels malveillants, la détection et la réponse, l’état des correctifs, l’authentification multifactorielle, la sauvegarde, les appareils mobiles, le contrôle des supports amovibles ou la conservation des journaux, et il ne fournit aucune preuve à leur sujet. Si votre questionnaire présente des lacunes sur ces points, la solution la plus économique consiste généralement à ajouter les produits Sophos Central correspondants à la même console plutôt que de faire appel à un deuxième fournisseur, car les rapports proviennent alors d’une seule source et l’auditeur dispose d’un ensemble cohérent de preuves.

Meilleur antivirus ? Pourquoi Windows Defender ne suffit pas à lui seul
Explique en quoi la protection intégrée à Windows atteint ses limites et quelles lacunes un questionnaire client est susceptible de mettre en évidence.

Quelles sont les limites à connaître avant d’acheter ?

Les supports amovibles ne sont pas pris en charge : vous pouvez toujours chiffrer une clé USB avec BitLocker To Go, mais Sophos Central ne la gère pas, ne stocke pas sa clé de récupération et elle n’apparaît pas dans l’aperçu de l’état du chiffrement. Il n’y a pas non plus de chiffrement de fichiers ou de dossiers, car Sophos a mis fin à la gamme SafeGuard Enterprise en juillet 2023 et a déclaré qu’il ne remplacerait pas les modules de chiffrement de fichiers ; ainsi, les fichiers quittant un appareil ne sont couverts que par la fonction de partage HTML protégée par mot de passe. La solution prend en charge Windows et macOS ; Linux n’est pas inclus dans Device Encryption, BitLocker Network Unlock peut coexister mais ne peut pas être configuré depuis Sophos Central, et les partitions Windows créées avec Boot Camp ne sont pas prises en charge. Les clés de récupération ne peuvent pas être exportées depuis Sophos Central de par la conception du système, et dans le portail en libre-service, les utilisateurs ne peuvent récupérer que le volume de démarrage ; la récupération d’un volume de données reste donc une tâche réservée à l’administrateur. Nous n’avons identifié aucune fonctionnalité limitée à des pays particuliers ; le choix régional déterminant est celui de la région de stockage des données de Sophos Central, sélectionnée lors de la création du compte et qui détermine la région AWS dans laquelle vos clés de récupération sont conservées.

La perte de données coûte cher : comment les sauvegardes vous aident à éviter les interruptions de service.
Ce document explique pourquoi le chiffrement protège la confidentialité mais pas la disponibilité, et quelle approche de sauvegarde couvre le risque résiduel.

Foire aux questions sur Sophos Central Device Encryption Corporate

Le chiffrement complet du disque remplace-t-il la protection des terminaux ?

Non. Le chiffrement complet du disque protège les données d’un appareil perdu, volé ou mis au rebut, tant que le disque est hors tension et verrouillé. Une fois que l’utilisateur s’est connecté, le volume est déverrouillé et les logiciels malveillants voient des fichiers normaux ; la protection contre les logiciels malveillants et leur détection restent donc des produits distincts.

Test : les meilleurs logiciels antivirus pour Windows
Comparaison des options antivirus actuelles pour Windows, pour vous aider à choisir la solution à associer au chiffrement des terminaux.

Quels volumes peuvent être chiffrés ?

Les volumes système et les volumes de données fixes. À partir de la version 1.4 de Central Device Encryption, vous pouvez choisir de chiffrer uniquement les volumes système et de laisser les volumes de données intacts ; les volumes de 64 Mo ou moins sont ignorés.

Peut-on migrer depuis SafeGuard Enterprise sans déchiffrer les disques ?

Avec SafeGuard Enterprise 8 et les versions ultérieures, vous pouvez désinstaller le module BitLocker sans déchiffrer les volumes, puis gérer ces mêmes machines depuis Sophos Central. Une fois la politique de Sophos Central appliquée, la clé de récupération est renouvelée et envoyée à Sophos Central. Les appareils exécutant le chiffrement complet du disque propre à SafeGuard doivent être déchiffrés lors de la suppression du client avant que Central Device Encryption ne prenne le relais.