Cosa include Sophos Central Device Encryption Corporate?

Gestione di BitLocker – Applica e monitora la crittografia BitLocker sui computer Windows.
Gestione di FileVault – Applica la crittografia completa del disco con FileVault sui Mac gestiti.
Archiviazione centralizzata delle chiavi – Le chiavi di ripristino vengono conservate in forma crittografata all’interno di Sophos Central.
Portale self-service – Gli utenti possono ripristinare autonomamente il proprio volume di avvio senza bisogno di un ticket.
Report sulla conformità – Mostra lo stato attuale della crittografia di ogni dispositivo gestito.
Importante – I supporti rimovibili non sono gestiti, incluso BitLocker To Go.

Quali sono i principali vantaggi di Sophos Central Device Encryption Corporate?

Sophos Central Device Encryption gestisce la crittografia già integrata in Windows e macOS invece di installare un proprio motore di crittografia, e ogni politica, chiave e report risiede nella console web-based Sophos Central anziché su un server gestito dall’utente. Si tratta del prodotto che Sophos ha indicato come percorso di migrazione per SafeGuard Enterprise, giunto a fine vita il 20 luglio 2023, ed è venduto come abbonamento autonomo che non richiede un’altra licenza Sophos per endpoint.

Nessun server delle chiavi – Non è necessario gestire alcun server di crittografia o database delle chiavi in locale.
Meno richieste all’help desk – Gli utenti che non riescono ad accedere recuperano le chiavi di ripristino tramite il portale self-service.
Autenticazione all’avvio obbligatoria – TPM+PIN, passphrase o chiave USB invece del solo TPM.
Sostituisce BitLocker – I computer già crittografati vengono integrati e ricevono nuove chiavi di ripristino.
Condivisione protetta da password – Wrapper HTML AES-256 per i file inviati all’esterno dell’azienda.
Archiviazione in Active Directory – Le chiavi di ripristino di BitLocker possono inoltre essere archiviate in Active Directory.

Per aziende di quali dimensioni è adatto Sophos Central Device Encryption Corporate?

La crittografia completa del disco è solitamente la prima misura di protezione dei dati che un’azienda può introdurre senza dover riprogettare la propria infrastruttura, poiché la crittografia stessa è già integrata in Windows e macOS. La tabella mostra da dove proviene normalmente l’esigenza e in quali casi questo prodotto rappresenta una soluzione completa anziché parziale.

Sophos Central Device Encryption Corporate soddisfa i requisiti della legislazione svizzera in materia di sicurezza informatica?

La revisione della Legge sulla sicurezza dell’informazione obbliga i gestori di infrastrutture critiche in Svizzera a segnalare gli attacchi informatici all’Ufficio federale per la sicurezza informatica (BACS) entro 24 ore dalla loro scoperta, mentre la maggior parte delle aziende al di fuori di tali settori non ha tale obbligo e agisce invece in base ai requisiti dei clienti e degli assicuratori. Sophos Central Device Encryption supporta l’aspetto preventivo di questo quadro: applica la crittografia completa del disco tramite criteri sui dispositivi Windows e macOS e registra per ogni dispositivo gestito se la crittografia è attualmente attiva, il che costituisce la documentazione di cui un’azienda ha bisogno in caso di smarrimento di un notebook. Non rileva gli attacchi, non genera un rapporto sugli incidenti e non è in grado di indicare se vi sia stato accesso ai dati; pertanto, l’obbligo di segnalazione rimane di competenza dei vostri processi interni e, ove pertinente, di un prodotto di rilevamento separato. Il vantaggio pratico è più limitato ma concreto: un dispositivo smarrito con uno stato di crittografia documentato è un caso diverso da un dispositivo smarrito il cui stato nessuno può dimostrare. Il presente testo costituisce un’informazione generale sul prodotto e non una consulenza legale; chiarite i vostri obblighi con un consulente qualificato.

Sophos Central Device Encryption Corporate soddisfa i requisiti della legislazione europea in materia di sicurezza informatica?

Nessun prodotto software rende un’azienda conforme alla direttiva NIS 2, poiché la direttiva richiede misure organizzative di gestione del rischio e il software può solo supportarle. La direttiva NIS 2 individua categorie di misure che includono l’analisi dei rischi e le politiche di sicurezza, la gestione degli incidenti, la continuità operativa e il backup, la sicurezza della catena di approvvigionamento, la gestione delle vulnerabilità e le politiche sull’uso della crittografia e della crittografia dei dati. Sophos Central Device Encryption copre la categoria relativa alla crittografia e alla crittografia dei dati inattivi sui dispositivi dei dipendenti e fornisce prove a livello di asset segnalando lo stato di crittografia di ciascun endpoint gestito. Non copre la gestione degli incidenti, il backup e la continuità operativa, il rischio legato ai fornitori, la gestione delle vulnerabilità o l’autenticazione a più fattori; ciascuno di questi aspetti richiede un prodotto dedicato e un processo documentato. L’assoggettamento di un’organizzazione alla NIS 2 dipende dal settore di appartenenza e dalle dimensioni, come definito a livello di direttiva.

Sophos Central Device Encryption Corporate è d’aiuto nella compilazione dei questionari sulla sicurezza richiesti dai grandi clienti?

Sì, per la sezione relativa ai dati inattivi di un questionario, e solo per quella sezione. Risponde indicando se i portatili aziendali sono crittografati, se la crittografia è imposta centralmente anziché lasciata all’utente, quale algoritmo viene utilizzato (XTS-AES a 256 bit su Windows e XTS-AES a 128 bit su macOS secondo la scheda tecnica di Sophos), se è richiesta l’autenticazione all’avvio, e come vengono conservate le chiavi di ripristino e chi può accedervi: crittografate in Sophos Central, recuperabili solo dai ruoli HelpDesk, Admin e SuperAdmin, e non esportabili. Non risponde alle domande relative alla protezione dal malware, al rilevamento e alla risposta, allo stato delle patch, all’autenticazione a più fattori, al backup, ai dispositivi mobili, al controllo dei supporti rimovibili o alla conservazione dei log, e non fornisce alcuna prova in merito a nessuno di questi aspetti. Se il vostro questionario risulta carente su questi punti, la soluzione più economica è solitamente quella di aggiungere i prodotti Sophos Central corrispondenti alla stessa console piuttosto che introdurre un secondo fornitore, poiché in tal modo i report provengono da un’unica fonte e il revisore ha a disposizione un insieme coerente di prove.

Il miglior antivirus? Perché Windows Defender da solo non basta
Spiega dove la protezione integrata in Windows raggiunge i propri limiti e quali lacune un questionario per i clienti potrebbe mettere in luce.

Quali limitazioni è bene conoscere prima dell’acquisto?

I supporti rimovibili non rientrano nell’ambito di copertura: è comunque possibile crittografare una chiavetta USB con BitLocker To Go, ma Sophos Central non la gestisce né memorizza la relativa chiave di ripristino, e non compare nella vista dello stato di crittografia. Non è prevista nemmeno la crittografia di file o cartelle, poiché Sophos ha interrotto la linea SafeGuard Enterprise nel luglio 2023 e ha dichiarato che non avrebbe sostituito i moduli di crittografia dei file; pertanto, i file che escono da un dispositivo sono protetti solo dalla funzione di condivisione HTML protetta da password. La copertura riguarda Windows e macOS; Linux non fa parte di Device Encryption, BitLocker Network Unlock può coesistere ma non può essere configurato da Sophos Central, e le partizioni Windows create con Boot Camp non sono supportate. Per impostazione predefinita, le chiavi di ripristino non possono essere esportate da Sophos Central e, nel portale Self Service, gli utenti possono ripristinare solo il volume di avvio; pertanto, il ripristino di un volume di dati rimane un’operazione di competenza dell’amministratore. Non abbiamo riscontrato alcuna funzionalità limitata a paesi specifici; la scelta regionale rilevante è la regione dati di Sophos Central, selezionata al momento della creazione dell’account e che determina la regione AWS in cui sono conservate le chiavi di ripristino.

La perdita di dati è costosa: in che modo i backup aiutano a evitare interruzioni
di servizio. Spiega perché la crittografia protegge la riservatezza ma non la disponibilità e quale approccio di backup copre il rischio residuo.

Domande frequenti su Sophos Central Device Encryption Corporate

La crittografia completa del disco sostituisce la protezione degli endpoint?

No. La crittografia completa del disco protegge i dati su un dispositivo smarrito, rubato o smaltito, mentre l’unità è spenta e bloccata. Una volta che un utente ha effettuato l’accesso, il volume viene sbloccato e il malware vede i file normali, quindi la protezione e il rilevamento del malware rimangono prodotti separati.

Test: i migliori programmi antivirus per Windows
Confronta le attuali opzioni antivirus per Windows e ti aiuta a decidere quale soluzione abbinare alla crittografia dei dispositivi.

Quali volumi possono essere crittografati?

I volumi di sistema e i volumi di dati fissi. A partire dalla versione 1.4 di Central Device Encryption è possibile scegliere di crittografare solo i volumi di sistema e lasciare inalterati i volumi di dati; i volumi di 64 MB o inferiori vengono ignorati.

È possibile effettuare la migrazione da SafeGuard Enterprise senza decrittografare i dischi?

Con SafeGuard Enterprise 8 e versioni successive è possibile disinstallare il modulo BitLocker senza decrittografare i volumi e gestire quindi le stesse macchine da Sophos Central. Una volta applicata la policy di Central, la chiave di ripristino viene rinnovata e inviata a Sophos Central. I dispositivi su cui è in esecuzione la crittografia completa del disco propria di SafeGuard devono essere decrittografati durante la rimozione del client prima che Central Device Encryption subentri.