Come attivare o disattivare la crittografia dei file NTFS in Windows

⚠️ Nota importante sulle edizioni di Windows
EFS richiede un file system NTFS ed è supportato solo nelle edizioni Windows Pro, Enterprise ed Education. Se usi Windows Home, le opzioni descritte di seguito risulteranno disattivate o assenti.

Il sistema integrato Encrypting File System (EFS) è uno degli strumenti di crittografia dei file NTFS più validi e accessibili di Windows. In qualità di amministratore, puoi attivarlo o disattivarlo tramite l’Editor Criteri di gruppo locali (GPO), il Prompt dei comandi, PowerShell o i Servizi. Se è la prima volta che usi EFS, consulta la guida qui sotto per scoprire come e quando utilizzare la crittografia dei file NTFS.

Come funziona la crittografia dei file NTFS (EFS)

NTFS, acronimo di New Technology File System, è il file system utilizzato su dischi rigidi e unità a stato solido (SSD). EFS, invece, è un’utilità integrata che consente di crittografare file e cartelle nelle unità NTFS. Quando è attivo, EFS impedisce a utenti o applicazioni di accedere ai file crittografati senza una chiave.

A differenza di BitLocker, che può bloccare l’accesso a un’intera unità o a un volume, EFS offre una crittografia a livello di singolo file. Per questo motivo, EFS aggiunge spesso un ulteriore livello di sicurezza sui computer condivisi da più utenti. Per approfondire il funzionamento di EFS, puoi guardare questa breve panoramica video: “Guida IT: che cos’è l’Encrypting File System (EFS)?”.

Come attivare la crittografia dei file NTFS in Windows

Esistono diversi modi per attivare o disattivare EFS. Vediamo insieme i passaggi.

Attivare la crittografia NTFS con l’Editor Criteri di gruppo (GPO)

1. Apri l’Editor Criteri di gruppo locali. (Scopri come)
2. Vai a Configurazione del computer\Modelli amministrativi\Sistema\File system\NTFS.
3. Nel riquadro di destra, fai doppio clic sul criterio Non consentire la crittografia in tutti i volumi NTFS per modificarlo.
4. Seleziona Disabilitato oppure lascialo su Non configurato (impostazione predefinita) per consentire la crittografia dei file NTFS.
5. Fai clic su Applica e poi su OK.

Attivare la crittografia NTFS con il Prompt dei comandi o PowerShell

1. Apri il Prompt dei comandi o PowerShell con privilegi di amministratore.
2. Digita fsutil behavior set disableencryption 0. Premi Invio.
3. Riavvia il computer per applicare le modifiche.

Attivare la crittografia NTFS tramite i Servizi

1. Premi Win + R e digita services.msc. Premi Invio.
2. Individua Encrypting File System (EFS) e fai doppio clic per aprire le Proprietà.
3. Apri il menu a discesa Tipo di avvio e seleziona Manuale (impostazione predefinita di Windows) o Automatico.
4. Fai clic su Applica e poi su OK per salvare le modifiche.

Nota tecnica: per impostazione predefinita, Windows utilizza un avvio automatico attivato da trigger (“Trigger Start”) per EFS. Lasciando l’impostazione su Manuale, il sistema operativo avvia il servizio immediatamente nel momento in cui accedi a un file crittografato, risparmiando risorse di sistema quando non è in uso.

Come disattivare la crittografia dei file NTFS in Windows

Possiamo disattivare EFS anche tramite GPO, Prompt dei comandi, PowerShell o Servizi.

Disattivare la crittografia NTFS con l’Editor Criteri di gruppo (GPO)

1. Apri l’Editor Criteri di gruppo locali.
2. Vai a Configurazione del computer\Modelli amministrativi\Sistema\File system\NTFS.
3. Nel riquadro di destra, fai doppio clic sul criterio Non consentire la crittografia in tutti i volumi NTFS per modificarlo.
4. Seleziona Abilitato per impedire la crittografia dei file NTFS.
5. Fai clic su Applica e poi su OK.

Disattivare la crittografia NTFS con il Prompt dei comandi o PowerShell

1. Apri il Prompt dei comandi o PowerShell con privilegi di amministratore.
2. Digita fsutil behavior set disableencryption 1. Premi Invio.
3. Riavvia il computer per applicare le modifiche.

Disattivare la crittografia NTFS tramite i Servizi

1. Premi Win + R e digita “services.msc”. Premi Invio.
2. Individua Encrypting File System (EFS) e fai doppio clic per aprire le Proprietà.
3. Apri il menu a discesa Tipo di avvio e seleziona Disabilitato.
4. Fai clic su Applica e poi su OK per salvare le modifiche.

Come crittografare singoli file o cartelle in Windows

Una volta attivata la crittografia dei file NTFS, puoi crittografare manualmente un file o una cartella con questi metodi:

Crittografare un file o una cartella con Esplora file

1. Fai clic con il pulsante destro sul file o sulla cartella che vuoi modificare.
2. Seleziona Proprietà.
3. In Attributi, seleziona Avanzate.
4. Spunta la casella accanto a Crittografa contenuto per la protezione dei dati e fai clic su OK per confermare.
5. Seleziona Applica.

Il sistema ti chiederà anche se estendere la crittografia ai file e alle cartelle correlati. Segui le indicazioni a schermo per procedere. I file o le cartelle crittografati mostreranno un’icona a forma di lucchetto. Per sbloccarli, ripeti gli stessi passaggi.

Crittografare un file o una cartella con il Prompt dei comandi o PowerShell

1. Usa la ricerca di Windows e digita cmd o PowerShell. Esegui come amministratore.
2. Usa il comando cipher per crittografare un file o una cartella digitando: cipher /e "C:\full\path\to\folder". (Ricorda di includere le virgolette attorno al percorso se i nomi delle cartelle contengono spazi.)

Se usato senza parametri, il comando cipher mostra lo stato di crittografia della directory corrente. Qui trovi l’elenco completo dei parametri di cipher.

Gestione dei file crittografati

La crittografia EFS di Windows è uno strumento potente per gli amministratori IT e i responsabili dei contenuti. Tuttavia, a questo livello la protezione dei dati non è completa senza un buon sistema di backup. Ecco come eseguire il backup ed esportare i certificati di sicurezza per il ripristino:

1. Premi Win + R, digita certmgr.msc e premi Invio.
2. Espandi Personale > Certificati.
3. Fai clic con il pulsante destro sul certificato EFS e seleziona Tutte le attività > Esporta.
4. Nell’Esportazione guidata certificati, seleziona Sì, esporta la chiave privata.
5. Scegli Scambio di informazioni personali (.PFX) e includi tutti i certificati nel percorso di certificazione.

Per accedere ai file crittografati su un altro computer con formattazione NTFS, devi importare il certificato EFS e la chiave privata. Vai in Gestione certificati per importare il certificato.

Implicazioni per la sicurezza e best practice

EFS offre una crittografia affidabile, soprattutto nelle versioni più recenti di Windows. Resta però fondamentale che gli amministratori applichino criteri di gruppo rigorosi e mantengano un sistema di backup affidabile. A questo proposito, ecco alcune considerazioni di sicurezza e pratiche consigliate per gestire la crittografia dei file NTFS.

Controlla l’accesso alle chiavi private

Gli utenti non autorizzati possono usare la chiave per decrittografare i dati. È quindi indispensabile conservare la chiave privata in un luogo sicuro. Può essere utile anche limitarne l’accesso agli amministratori IT o al personale addetto alla sicurezza. È inoltre prassi comune che le organizzazioni sostituiscano periodicamente le proprie chiavi, per mantenere l’integrità della policy complessiva di sicurezza dei dati.

Attenzione alle reimpostazioni forzate delle password: se un amministratore forza la reimpostazione della password di un account utente locale tramite strumenti di gestione, quell’utente perderà immediatamente l’accesso a tutti i file crittografati con EFS. Durante una reimpostazione forzata, Windows elimina il collegamento alla chiave master per proteggere l’integrità dei dati. Assicurati sempre che nel tuo ambiente di rete sia configurato un agente di recupero dati di dominio (DRA) prima di affidarti in modo consistente a EFS.

Conserva backup dei certificati di ripristino

È essenziale mantenere un backup sicuro delle chiavi private e dei certificati di ripristino. È preferibile assegnare almeno due responsabili della sicurezza, per evitare la perdita totale dei dati, soprattutto nel caso in cui una delle chiavi o dei certificati venga smarrito. Se fai parte di un ambiente gestito, queste operazioni possono essere automatizzate e monitorate da remoto.

Presta attenzione durante il trasferimento dei file

I file crittografati con EFS perdono la crittografia quando vengono spostati su supporti non NTFS, perché EFS non è progettato per proteggere i dati durante il trasferimento. Quando trasferisci dei file, valuta l’uso del cloud storage oppure di un altro dispositivo o percorso di archiviazione formattato in NTFS. Inoltre, assicurati che il dispositivo ricevente rispetti una policy rigorosa in materia di password e sicurezza dei dati.

Oltre a BitLocker ed EFS di Windows, puoi utilizzare un software di gestione delle chiavi di crittografia di terze parti. Questo ti permette di rafforzare i backup, migliorare il monitoraggio e supportare la conformità aziendale.

Proteggi i file sensibili o rimuovi la crittografia quando serve. Guarda Come attivare o disattivare la crittografia dei file NTFS in Windows.

Monitora la crittografia dei dischi su tutti i tuoi dispositivi

EFS protegge i singoli file, ma la maggior parte delle organizzazioni ha bisogno anche di visibilità sulla crittografia dell’intero disco di ogni dispositivo. La gestione degli endpoint di NinjaOne monitora BitLocker su Windows e FileVault su macOS e aiuta i team IT a gestire le relative chiavi di ripristino da un’unica console. Consulta le FAQ sulla gestione degli endpoint di NinjaOne per scoprire come NinjaOne supporta la visibilità sulla crittografia e la conformità su tutto il parco dispositivi.