Crittografia file su Windows 11: proteggi documenti riservati senza software aggiuntivi

Proteggere i dati locali è tornato un tema centrale: laptop in mobilità, sincronizzazioni cloud e supporti removibili espongono file sensibili a rischi concreti. Windows 11 integra due strumenti maturi per la cifratura a riposo, senza bisogno di software aggiuntivi. La scelta tra cifratura per singolo file e cifratura dell’intero disco dipende dal modello d’uso, dai requisiti di conformità e dall’infrastruttura IT in cui il PC opera.

Perché cifrare: quadro tecnico e rischio operativo

La cifratura a riposo impedisce la lettura dei dati da parte di terzi in caso di furto, smarrimento o accesso fisico non autorizzato. Gli algoritmi moderni come AES offrono robustezza crittografica con accelerazione hardware nelle CPU recenti, mantenendo un impatto minimo sulle prestazioni.

Dal punto di vista normativo, molte organizzazioni richiedono la cifratura come misura adeguata per proteggere dati personali o segreti industriali, in linea con standard e policy interne. Nei laboratori di rete e nei reparti field delle telecomunicazioni, ad esempio, portatili con tracciati di rete o configurazioni di apparati transitano spesso fuori sede: cifrare riduce il rischio residuo in scenari di smarrimento. L’autore, con esperienza internazionale nel settore, ha visto operatori adottare criteri di cifratura by default proprio per mitigare incidenti ricorrenti durante campagne di test e drive test 5G.

Potrebbe interessarti anche

Come recuperare file cancellati dal cestino: la soluzione definitiva già inclusa nel sistemaPerché la connessione internet è lenta su alcuni dispositivi? Il colpevole nascosto che pochi notanoTablet convertibili per studenti universitari: organizzazione, risparmio e praticità in un solo dispositivoRecensione monitor portatili USB-C: la soluzione ideale per lavorare ovunque senza complicazioni

Opzione 1: EFS per file e cartelle

EFS, Encrypting File System, cifra file e cartelle su volumi NTFS e li rende accessibili in chiaro solo all’utente che li ha cifrati o ad altri utenti autorizzati tramite certificato. È disponibile su Windows 11 Pro, Enterprise ed Education.

Come funziona in sintesi: il sistema genera una chiave simmetrica per il file, la usa per cifrare i contenuti e poi cifra quella chiave con il certificato dell’utente. L’operazione è trasparente all’uso quotidiano, ma richiede una gestione attenta delle chiavi.

Procedura rapida per cifrare una cartella:

• Fare clic destro sulla cartella e aprire Proprietà.
• Selezionare Avanzate e spuntare Crittografa contenuto per la protezione dei dati.
• Confermare con OK e scegliere se applicare anche a sottocartelle e file.

Backup del certificato EFS: al primo utilizzo Windows propone di eseguire il backup della chiave. È essenziale salvarla in un file protetto da password e conservarla offline. In alternativa si può usare la riga di comando:

• Aprire Prompt dei comandi come amministratore.
• Generare o verificare una chiave EFS con il comando: cipher /k.
• Esportare la chiave in un file protetto: cipher /x efs-backup.pfx e impostare una password robusta.

Limitazioni da conoscere:

• EFS richiede NTFS. Copiando file su FAT32 o exFAT l’OS propone di rimuovere la cifratura; ciò espone dati in chiaro se non si presta attenzione.
• EFS non è compatibile con la compressione NTFS sulla stessa cartella.
• Alcuni client di sincronizzazione, incluso OneDrive, possono rifiutare o ignorare file EFS; la sincronizzazione non è garantita.
• In domini aziendali possono esistere Recovery Agent per il ripristino; su PC personali senza backup del certificato, la perdita della chiave equivale alla perdita definitiva dei dati cifrati.

Segnali visivi: in Esplora file, i nomi dei file EFS possono apparire in verde se è attiva l’opzione di visualizzazione a colori dei file cifrati e compressi.

Opzione 2: BitLocker e Device Encryption per interi dischi

BitLocker cifra l’intera unità, inclusa la partizione di sistema. È indicato quando si desidera proteggere tutto il contenuto del disco indipendentemente dall’utente o dall’applicazione. Su Windows 11 è disponibile nelle edizioni Pro, Enterprise ed Education; la funzione Device Encryption può essere presente anche su Home se l’hardware soddisfa i requisiti.

Prerequisiti principali: TPM 2.0 e firmware UEFI con Secure Boot attivo. Il modulo TPM, Trusted Platform Module, custodisce le chiavi e verifica l’integrità dell’avvio, mitigando attacchi offline sul disco.

Abilitazione rapida:

• Se presente Device Encryption: Impostazioni, Privacy e sicurezza, Crittografia dispositivo, quindi attivare.
• BitLocker classico: Pannello di controllo, Sistema e sicurezza, Crittografia unità BitLocker, Attiva BitLocker sull’unità desiderata.

Durante la configurazione:

• Scegliere il metodo di sblocco: solo TPM, TPM con PIN pre-avvio, password o chiavetta USB. Per portatili aziendali si consiglia TPM con PIN.
• Salvare la chiave di ripristino a 48 cifre su account Microsoft, file e stampa. Redundancy è fondamentale.
• Selezionare l’ambito: solo spazio usato per attivazione rapida, oppure intera unità per massima copertura su dischi con dati preesistenti.
• L’algoritmo predefinito è XTS-AES 128; in contesti regolati si può impostare XTS-AES 256 via criteri di gruppo.

Prestazioni: su CPU con estensioni AES hardware, l’impatto è di norma contenuto tra 2 e 5 percento nelle operazioni I/O intensive. Su SSD NVMe moderni la differenza è difficilmente percepibile in uso d’ufficio.

Manutenzione: prima di aggiornamenti firmware o sostituzione componenti sensibili conviene sospendere temporaneamente i protezioni con Gestione BitLocker o con il comando manage-bde -protectors -disable C:, per poi riattivarle a operazione completata.

Supporti removibili: BitLocker To Go estende la cifratura a chiavette USB e dischi esterni. L’accesso su altri PC Windows richiede la password o la smart card configurata.

Quale scegliere: confronto operativo

Buone pratiche per evitare perdite di dati

• Eseguire e testare il backup delle chiavi: file PFX per EFS conservato offline e chiavi di ripristino BitLocker salvate in almeno due posizioni separate.
• Usare account con password robuste o Windows Hello associato al TPM per ridurre il rischio di accessi non autorizzati dopo lo sblocco.
• Evitare la compressione NTFS su cartelle EFS e verificare le policy dell’azienda su sincronizzazione cloud prima di cifrare.
• Documentare i passaggi: in contesti regolati, registrare algoritmo, lunghezza chiave, data di attivazione e responsabili del custodian delle chiavi.
• Verificare periodicamente l’integrità: aprire un campione di file cifrati da un account secondario con certificati importati e simulare un ripristino in ambiente isolato.
• Mantenere aggiornati BIOS e driver di storage, sospendendo temporaneamente BitLocker durante flash critici per prevenire richieste inattese della chiave di ripristino.

Errori comuni e come evitarli

• Dimenticare l’export della chiave EFS: su PC personali non esiste un Recovery Agent. Senza backup del certificato la cifratura è effettivamente distruttiva in caso di guasto o reinstallazione.
• Copiare file EFS su unità non NTFS: l’OS avvisa che la cifratura verrà rimossa; ignorare l’avviso genera copie in chiaro su supporti meno sicuri.
• Affidarsi al solo TPM senza PIN su portatili ad alto rischio: impostare un PIN pre-avvio riduce l’impatto di furti con accesso alla tastiera.
• Confondere la protezione del volume con la protezione nel cloud: BitLocker tutela il disco a riposo, non cifra i file una volta caricati su servizi online. Per esigenze cloud serve una cifratura end-to-end separata.
• Non prevedere procedure di handover: al cambio di personale, i certificati EFS e le chiavi BitLocker devono essere trasferiti o revocati secondo policy, con tracciabilità.

In sintesi, chi necessita di proteggere pochi documenti riservati e di controllarne l’accesso per utente può partire da EFS, curando con rigore il backup del certificato. Chi vuole mettere in sicurezza l’intero portatile, in particolare in mobilità o su asset aziendali, troverà in BitLocker una soluzione più semplice da governare e conforme alle migliori pratiche del settore. La scelta non è esclusiva: combinare BitLocker per la protezione complessiva ed EFS per dossier particolarmente sensibili offre un livello di difesa a più strati appropriato ai rischi odierni.