Stratégie Protection des informations Windows (WIP)
Protection des informations Windows (WIP), précédemment appelée protection des données d’entreprise (EDP), est une technologie de Windows qui protège contre la fuite potentielle de données d’entreprise. Les fuites de données peuvent se produire via le partage des données d’entreprise vers des applications protégées n’appartenant pas à l’entreprise, entre les applications ou en dehors du réseau de votre organisation. Pour plus d’informations, consultez la sectionProtéger vos données d’entreprise à l’aide de la Protection des informations Windows (WIP).
Vous pouvez créer une stratégie dans XenMobile afin de spécifier les applications nécessitant une protection des informations Windows au niveau d’exécution que vous avez défini. La stratégie Protection des informations Windows est destinée aux tablettes et bureaux supervisés Windows 10 ou Windows 11.
XenMobile comprend des applications courantes et vous pouvez ajouter d’autres applications. Vous spécifiez pour la stratégie un niveau d’exécution qui affecte l’expérience utilisateur. Par exemple, vous pouvez :
Bloquer兜售分配数据inapproprie。
Avertir sur le partage de données inapproprié et permettre aux utilisateurs de personnaliser la stratégie.
Exécuter WIP de manière silencieuse lors de l’ouverture de session et du partage de données inapproprié.
Pour exclure des applications de la protection des informations Windows, définissez ces applications dans les fichiers XML AppLocker de Microsoft, puis importez ces fichiers dans XenMobile.
Pour ajouter ou configurer cette stratégie, accédez àConfigurer > Stratégies d’appareil. Pour de plus amples informations, consultez la sectionStratégies d’appareil.
Paramètres de Windows 10 et Windows 11
Application de bureau(Windows 10 ou Windows 11),Magasin d’applications(Windows 10 ou Windows 11 Tablet) : XenMobile inclut certaines applications courantes, comme illustré dans l’exemple ci-dessus. Vous pouvez modifier ou supprimer ces applications selon vos besoins.
Pour ajouter d’autres applications : dans le tableauApplication de bureauouMagasin des applications, cliquez surAjouteret fournissez les informations d’application.
Les applicationsautoriséespeuvent lire, créer et mettre à jour les données d’entreprise. Les applicationsrefuséesne peuvent pas accéder aux données d’entreprise. Les applications avec豁免peuvent lire les données d’entreprise, mais ne peuvent pas créer ou modifier les données.
Fichier XML AppLocker :Microsoft fournit une liste des applications Microsoft qui ont des problèmes de compatibilité connus avec WIP. Pour exclure ces applications de WIP, cliquez surParcourirpour charger la liste. XenMobile combine le fichier XML AppLocker chargé et les applications de bureau et de magasin configurées dans la stratégie envoyées à l’appareil. Pour plus d’informations, consultezListe de blocage recommandée pour Windows Information Protection.
Niveau d’exécution :sélectionnez une option pour spécifier la manière dont vous souhaitez que la protection des informations Windows protège et gère le partage des données. La valeur par défaut estDésactivé.
0-Désactivé :WIP est désactivé et n’effectue aucune protection ni aucun audit de vos données.
1-Silencieux :WIP s’exécute de manière silencieuse, consigne le partage de données inapproprié et ne bloque rien. Vous pouvez accéder aux journaux viaReporting CSP.
2-Remplacer :WIP avertit les utilisateurs de partage des données potentiellement dangereux. Les utilisateurs peuvent ignorer les avertissements et partager les données. Ce mode consigne les actions, y compris les messages ignorés par l’utilisateur, dans votre journal d’audit.
3-Bloquer :WIP empêche les utilisateurs d’effectuer tout partage de données potentiellement dangereux.
Noms de domaine protégés :domaines que votre entreprise utilise pour les identités de ses utilisateurs. Cette liste de domaines d’identités gérés, ainsi que le domaine principal, constituent l’identité de votre entreprise de gestion. Le premier domaine dans la liste est l’identité d’entreprise principale utilisée dans l’interface utilisateur Windows. Utilisez « | » pour séparer les éléments de la liste. Par exemple :
domain1.com | domain2.com
Certificat de récupération de données :cliquez surParcourir, puis sélectionnez un certificat de récupération à utiliser pour la récupération de données de fichiers cryptés. Ce certificat est le même que le certificat de l’agent de récupération de données (DRA) pour le système de fichiers de cryptage (EFS), uniquement mis à disposition via MDM au lieu de la stratégie de groupe. Si un certificat de récupération n’est pas disponible, créez-le. Pour plus d’informations, consultez « Créer un certificat de récupération de données » dans cette section.
Noms de domaine réseau :liste des domaines à l’intérieur de l’entreprise. WIP protège tout le trafic vers les domaines entièrement qualifiés dans cette liste. Ce paramètre, avec le paramètrePlage d’adresses IP, détecte si un point de terminaison réseau est de type enterprise ou personnel sur des réseaux privés. Utilisez une virgule pour séparer les éléments de la liste. Par exemple : corp.exemple.com,region.exemple.com
Plage d’adresses IP :liste des plages d’adresses IPv4 et IPv6 d’entreprise qui définissent les ordinateurs dans le réseau d’entreprise. WIP considère ces emplacements comme une destination sûre pour le partage de données d’entreprise. Utilisez une virgule pour séparer les éléments de la liste. Par exemple :
10.0.0.0-10.255.255.255,2001:4898::-2001:4898:7fff:ffff:ffff:ffff:ffff:ffff
La plage d’adresses IP fait autorité :pour empêcher la détection automatique des plages d’adresses IP par Windows, réglez ce paramètre surActivé. La valeur par défaut estDésactivé.
Serveurs proxy :liste des serveurs proxy que l’entreprise peut utiliser pour les ressources d’entreprise. Ce paramètre est requis si vous utilisez un proxy dans votre réseau. Sans un serveur proxy, les ressources d’entreprise peuvent être indisponibles lorsqu’un client est derrière un proxy. Par exemple, des ressources peuvent être non disponibles à partir de certains points d’accès Wi-Fi dans des hôtels et des restaurants. Utilisez une virgule pour séparer les éléments de la liste. Par exemple :
proxy.example.com:80;157.54.11.118:443
Serveurs proxy internes :liste des serveurs proxy par lesquels vos appareils passent pour accéder à vos ressources cloud. L’utilisation de ce type de serveur indique que les ressources cloud auxquelles vous vous connectez sont des ressources d’entreprise. Veillez à ne pas inclure dans cette liste les serveurs du paramètreServeurs proxy, qui sont utilisés pour le trafic non protégé par WIP. Utilisez une virgule pour séparer les éléments de la liste. Par exemple :
example.internalproxy1.com;10.147.80.50
Ressources cloud :liste des ressources cloud protégées par WIP. Pour chaque ressource cloud, vous pouvez également spécifier un serveur proxy de la listeServeurs proxypour achemine le trafic pour cette ressource cloud. Tout trafic acheminé via lesserveurs proxyest traité en tant que trafic d’entreprise. Utilisez une virgule pour séparer les éléments de la liste. Par exemple :
domain1.com:InternalProxy.domain1.com,domain2.com:InternalProxy.domain2.com
Révoquer certificat WIP après désinscription :spécifie si vous souhaitez révoquer les clés de cryptage locales d’un appareil utilisateur lorsque ce dernier est désinscrit de la protection des informations de Windows. Une fois que les clés de cryptage sont révoquées, un utilisateur ne peut pas accéder aux données d’entreprise cryptées. Si ce paramètre est réglé surDésactivé, les clés ne sont pas révoquées et l’utilisateur continue d’avoir accès aux fichiers protégés après l’annulation de l’inscription. La valeur par défaut estActivé.
Afficher icônes de superposition :spécifie si vous souhaitez inclure la superposition de l’icône de protection des informations de Windows sur les fichiers d’entreprise dans l’Explorateur et les mosaïques des applications d’entreprise dans le menu Démarrer. La valeur par défaut estDésactivé.
Créer un certificat de récupération de données
Un certificat de récupération de données est requis pour activer la stratégieProtection des informations de Windows.
Sur la machine sur laquelle s’exécute la console XenMobile, ouvrez une invite de commandes et naviguez vers un dossier (autre que Windows\System32) sur lequel vous souhaitez créer un certificat.
Exécutez cette commande :
cipher /r:ESFDRA
Lorsque vous y êtes invité, entrez un mot de passe pour protéger le fichier de clé privée.
La commande de chiffrement (cipher) crée un fichier .cer et .pfx.
Dans la console XenMobile, accédez àParamètres > Certificatset importez le fichier .cer, qui s’applique aux tablettes Windows 10 et Windows 11.
Expérience utilisateur
Lorsque la protection des informations de Windows est activée, les applications et les fichiers sont accompagnés d’une icône :
Si un utilisateur copie ou enregistre un fichier protégé dans un emplacement non protégé, la notification suivante s’affiche, en fonction du niveau d’application configuré.