Kelola BitLocker dengan Mudah

Dapatkan Agen di Setiap Mesin Terlebih Dahulu

Konsol hanya dapat mengatur apa yang dapat dilihatnya. Setiap PC terlebih dahulu memerlukan agen Endpoint Central yang diinstal dan dilaporkan — tanpa agen, mesin tidak akan terlihat oleh kebijakan, brankas kunci, dan setiap laporan dalam panduan ini.

Bandingkan daftar mesin konsol dengan apa yang sebenarnya dimiliki kantor — catatan pembelian, daftar komputer Direktori Aktif, pemindaian jaringan. PC apa pun yang hilang tidak "mungkin dienkripsi"; hal ini tidak diketahui, dan risikonya tidak diketahui. Proyek enkripsi armada biasanya gagal pada langkah visibilitas ini, bukan pada langkah enkripsi — tutup celahnya terlebih dahulu.

Tulis Satu Kebijakan Sebelum Menyentuh PC Mana Pun

Buat kebijakan BitLocker secara terpusat alih-alih mengonfigurasi PC satu per satu. Kebijakan adalah salah satu definisi "dienkripsi dengan benar", dan panduan video menentukan keputusan yang penting:

Pelindung: TPM hanya membuka kunci drive secara otomatis saat boot — laptop yang dicuri masih masuk ke layar masuk Windows. TPM + PIN meminta PIN bahkan sebelum Windows dimulai, yang merupakan pengaturan yang benar-benar menghentikan pencuri; untuk laptop yang dibawa bepergian, gesekan kecil hariannya sepadan. Mesin tanpa TPM dapat menggunakan pelindung frasa sandi — pilihan yang disengaja dan tidak pernah terjadi secara kebetulan.

Algoritma dan cakupan: XTS-AES 128 atau 256 (256 adalah apa yang sebagian besar auditor ingin lihat tertulis; tidak ada yang dipaksakan dalam praktiknya), dan enkripsi yang hanya menggunakan ruang untuk mesin baru versus disk penuh untuk mesin apa pun yang sudah beroperasi, karena ruang "kosong" masih menyimpan file yang dihapus.

Siapkan Escrow Kunci — dan Verifikasi Sebelum Menerapkan Apa Pun

Setiap drive BitLocker memiliki kunci pemulihan 48 digit, dan pada hari PC menampilkan layar pemulihan berwarna biru, kunci tersebut adalah satu-satunya yang ada di antara pengguna dan drive yang dihapus. Escrow berarti kunci dikumpulkan secara otomatis dan disimpan di tempat yang dikontrol oleh organisasi: di server Pusat Endpoint, dengan opsi untuk juga mencadangkan kunci ke Direktori Aktif atau Azure Active Directory.

Aturan Endpoint Central sangat ketat, dan keketatan tersebut adalah fiturnya: enkripsi tidak dimulai hingga kunci pemulihan disimpan dengan aman di server. Sebuah drive tidak akan pernah bisa dienkripsi dengan satu-satunya kunci yang terdampar di mesin itu sendiri.

Dorong Kebijakan ke Kelompok Percontohan Terlebih Dahulu

Terapkan kebijakan yang sudah selesai ke kelompok percontohan kecil sebelum seluruh kantor — beberapa mesin yang dapat Anda datangi. Saksikan mereka bergerak melalui status konsol, konfirmasikan kunci pemulihan masing-masing yang masuk ke brankas, dan baru kemudian perluas peluncurannya ke kelompok mesin (dokumen ManageEngine mendorong hingga 250 perangkat sekaligus). Mesin-mesin baru dapat mengambil kebijakan secara otomatis saat mereka bergabung, sehingga armada tetap terlindungi setelah proyek berakhir.

Baca Papan Status — Terenkripsi, Tertunda, Tidak Sesuai

Dari sini pekerjaannya adalah membaca, bukan jalan-jalan. Tampilan Komputer yang Dikelola BitLocker pada konsol membawa setiap mesin yang dikelola dalam salah satu dari tiga status: Terenkripsi, Enkripsi tertunda, atau Tidak patuh. Papan itu - bukan jalan-jalan di kantor - adalah cara Anda menjawab "PC mana yang masih belum dienkripsi?"

Kerjakan Daftar Kesenjangan dalam Urutan Risiko

"Menunggu keputusan" dan "Tidak patuh" adalah gejala, bukan diagnosis. Penyebab umum: mesin belum check in (mati, cuti, agen berhenti melapor); prasyarat gagal — pemeriksaan pra-penerapan konsol menandai hal-hal klasik seperti ketidakcocokan mode BIOS dan kesalahan kepemilikan TPM; mesin tidak memiliki TPM dan tidak ada penggantian frasa sandi yang direncanakan; atau edisi Windows tidak dapat menjalankan BitLocker sama sekali — mesin Windows Home akan tetap berada di celah tersebut selamanya hingga ditingkatkan atau diganti.

Hapus daftar berdasarkan urutan risiko: laptop yang meninggalkan gedung terlebih dahulu, lalu mesin yang menyimpan data sensitif (akun, SDM, catatan pelanggan), lalu desktop di area bersama, lalu desktop tetap di ruangan terkontrol. Dan verifikasi penyelesaiannya dengan benar di setiap mesin: status menunjukkan Terenkripsi dan Anda dapat mengambil kunci pemulihannya dari brankas. Keduanya — bukan satu.

Buktikan — Laporan, Latihan Pemulihan, dan Pemeriksaan Lokal

Ketika papan sudah bersih, tarik laporan enkripsi: mesin mana yang dienkripsi, dengan kebijakan apa, dan apakah kunci setiap drive disimpan. Laporan tersebut adalah bukti audit — perbedaan antara "kami yakin kami terenkripsi" dan dokumen yang dapat Anda serahkan.

Kemudian latih hari terburuk satu kali: pilih mesin, buka pencarian kunci pemulihan konsol, dan ambil kuncinya seperti yang Anda lakukan saat lockout sebenarnya. Escrow yang belum pernah Anda uji adalah sebuah harapan, bukan sebuah sistem. Lakukan hal yang sama ketika orang berganti: ketika seorang karyawan keluar, rotasikan kunci dan akses dengan benar alih-alih membiarkan akses dan kunci lama mereka tetap aktif.

Dengan duduk di satu PC sendiri, Anda dapat memeriksa status mesin itu dari Command Prompt admin:

manage-bde -status C:

Ini memberi tahu Anda status drive ini — ia tidak menjelaskan apa pun tentang di mana kunci pemulihannya berada. Vault adalah jawaban untuk pertanyaan kedua, dan itulah inti dari pengelolaan BitLocker dari satu konsol.