Como ativar ou desativar a criptografia de arquivos NTFS no Windows

⚠️ Observação importante sobre as edições do Windows
O EFS exige um sistema de arquivos NTFS e só funciona nas edições Windows Pro, Enterprise e Education. No Windows Home, as opções descritas abaixo aparecem esmaecidas ou simplesmente não existem.

O Encrypting File System (EFS), nativo do Windows, é uma das ferramentas de criptografia de arquivos NTFS mais acessíveis e eficientes. Como administrador, dá para ativar ou desativar o recurso pelo Editor de Política de Grupo Local (GPO), pelo Prompt de Comando, pelo PowerShell ou pelos Serviços. Se é a primeira vez que vai usar o EFS, confira o guia abaixo para saber como e quando aplicar a criptografia de arquivos NTFS.

Como funciona a criptografia de arquivos NTFS (EFS)

NTFS, ou New Technology File System, é o sistema de arquivos usado em discos rígidos e unidades de estado sólido (SSDs). Já o EFS é um utilitário integrado que criptografa arquivos e pastas em unidades NTFS. Quando ativado, o EFS impede que usuários ou aplicativos acessem os arquivos criptografados sem uma chave.

Diferente do BitLocker, que bloqueia o acesso a uma unidade ou volume inteiro, o EFS criptografa no nível do arquivo. Por isso, costuma acrescentar uma camada de segurança em computadores compartilhados por vários usuários. Para entender melhor como o EFS funciona na prática, assista a este tutorial rápido em vídeo: “Guia de TI: o que é o Encrypting File System (EFS)?”.

Como ativar a criptografia de arquivos NTFS no Windows

Há vários caminhos para ativar ou desativar o EFS. Veja o passo a passo de cada um.

Ativar a criptografia NTFS pelo Editor de Política de Grupo (GPO)

1. Abra o Editor de Política de Grupo Local. (Veja como)
2. Vá até Configuração do Computador\Modelos Administrativos\Sistema\Sistema de Arquivos\NTFS.
3. No painel à direita, clique duas vezes na política Não permitir criptografia em todos os volumes NTFS para editá-la.
4. Marque Desativado ou deixe como Não configurado (padrão) para permitir a criptografia de arquivos NTFS.
5. Clique em Aplicar e depois em OK.

Ativar a criptografia NTFS pelo Prompt de Comando ou PowerShell

1. Abra o Prompt de Comando ou o PowerShell com privilégios de administrador.
2. Digite fsutil behavior set disableencryption 0 e pressione Enter.
3. Reinicie o computador para aplicar as alterações.

Ativar a criptografia NTFS pelos Serviços

1. Pressione Win + R, digite services.msc e pressione Enter.
2. Localize e clique duas vezes em Sistema de Arquivos com Criptografia (EFS) para abrir as Propriedades.
3. Abra o menu suspenso Tipo de inicialização e escolha Manual (padrão do Windows) ou Automático.
4. Clique em Aplicar e depois em OK para salvar as alterações.

Nota técnica: por padrão, o Windows usa uma inicialização por gatilho (“Trigger Start”) para o EFS. Deixar o tipo em Manual permite que o sistema operacional inicie o serviço no instante em que um arquivo criptografado é acessado, economizando recursos em segundo plano quando ele não está em uso.

Como desativar a criptografia de arquivos NTFS no Windows

Também é possível desativar o EFS pelo GPO, pelo Prompt de Comando, pelo PowerShell ou pelos Serviços.

Desativar a criptografia NTFS pelo Editor de Política de Grupo (GPO)

1. Abra o Editor de Política de Grupo Local.
2. Vá até Configuração do Computador\Modelos Administrativos\Sistema\Sistema de Arquivos\NTFS.
3. No painel à direita, clique duas vezes na política Não permitir criptografia em todos os volumes NTFS para editá-la.
4. Marque Ativado para impedir a criptografia de arquivos NTFS.
5. Clique em Aplicar e depois em OK.

Desativar a criptografia NTFS pelo Prompt de Comando ou PowerShell

1. Abra o Prompt de Comando ou o PowerShell com privilégios de administrador.
2. Digite fsutil behavior set disableencryption 1 e pressione Enter.
3. Reinicie o computador para aplicar as alterações.

Desativar a criptografia NTFS pelos Serviços

1. Pressione Win + R, digite “services.msc” e pressione Enter.
2. Localize e clique duas vezes em Sistema de Arquivos com Criptografia (EFS) para abrir as Propriedades.
3. Abra o menu suspenso Tipo de inicialização e selecione Desativado.
4. Clique em Aplicar e depois em OK para salvar as alterações.

Como criptografar arquivos ou pastas individuais no Windows

Com a criptografia de arquivos NTFS ativada, é possível criptografar manualmente um arquivo ou pasta por estes métodos:

Criptografar um arquivo ou pasta pelo Explorador de Arquivos

1. Clique com o botão direito no arquivo ou pasta que quer modificar.
2. Selecione Propriedades.
3. Em Atributos, clique em Avançados.
4. Marque a caixa Criptografar o conteúdo para proteger os dados e clique em OK para confirmar.
5. Clique em Aplicar.

O sistema também vai perguntar se a criptografia deve ser estendida aos arquivos e pastas relacionados. Siga as instruções na tela para continuar. Os arquivos ou pastas criptografados passam a exibir um ícone de cadeado. Para desbloqueá-los, repita os mesmos passos.

Criptografar um arquivo ou pasta pelo Prompt de Comando ou PowerShell

1. Use a Pesquisa do Windows e digite cmd ou PowerShell. Execute como administrador.
2. Use o comando cipher para criptografar um arquivo ou pasta digitando: cipher /e "C:\full\path\to\folder". (Não esqueça as aspas ao redor do caminho se algum nome de pasta tiver espaços.)

Sem parâmetros, o comando cipher mostra o estado de criptografia do diretório atual. Veja aqui a lista completa de parâmetros do cipher.

Gerenciamento de arquivos criptografados

A criptografia EFS do Windows é uma ferramenta poderosa para administradores de TI e gestores de conteúdo. Mas a proteção de dados nesse nível fica incompleta sem um bom sistema de backup. Veja como fazer backup e exportar os certificados de segurança para recuperação:

1. Pressione Win + R, digite certmgr.msc e pressione Enter.
2. Expanda Pessoal > Certificados.
3. Clique com o botão direito no certificado EFS e selecione Todas as Tarefas > Exportar.
4. No Assistente para Exportação de Certificados, selecione Sim, exportar a chave privada.
5. Escolha Troca de Informações Pessoais (.PFX) e inclua todos os certificados do caminho de certificação.

Para acessar arquivos criptografados em outro computador formatado com NTFS, é preciso importar o certificado EFS e a chave privada. Acesse o Gerenciador de Certificados para importar o certificado.

Implicações de segurança e boas práticas

O EFS oferece uma criptografia confiável, principalmente nas versões mais recentes do Windows. Ainda assim, é fundamental que os administradores apliquem uma política de grupo rigorosa e mantenham um sistema de backup sólido. Pensando nisso, veja algumas considerações de segurança e boas práticas para gerenciar a criptografia de arquivos NTFS.

Controle o acesso às chaves privadas

Usuários não autorizados podem usar a chave para descriptografar dados. Por isso, guarde a chave privada em um local seguro. Vale também restringir o acesso a administradores de TI ou à equipe de segurança. Outra prática comum nas organizações é substituir as chaves periodicamente, para preservar a integridade da política geral de segurança de dados.

Cuidado com redefinições forçadas de senha: se um administrador forçar a redefinição de senha de uma conta de usuário local com ferramentas de gerenciamento, esse usuário perde o acesso imediato a todos os arquivos criptografados pelo EFS. Durante uma redefinição forçada, o Windows destrói o vínculo com a chave mestra para proteger a integridade dos dados. Antes de depender fortemente do EFS, configure sempre um Agente de Recuperação de Dados (DRA) de domínio no ambiente de rede.

Mantenha backups dos certificados de recuperação

Manter um backup seguro das chaves privadas e dos certificados de recuperação é essencial. De preferência, designe pelo menos dois agentes de segurança para evitar a perda total dos dados, sobretudo se uma das chaves ou certificados for perdido. Em ambientes gerenciados, essas ações podem ser automatizadas e monitoradas remotamente.

Tenha cuidado ao transferir arquivos

Arquivos criptografados pelo EFS perdem a criptografia ao serem movidos para armazenamentos que não sejam NTFS, já que o EFS não foi feito para proteger dados em trânsito. Ao transferir arquivos, prefira armazenamento na nuvem ou outro dispositivo ou local formatado em NTFS. Garanta também que o dispositivo de destino siga uma política forte de senhas e de segurança de dados.

Além do BitLocker e do EFS do Windows, dá para usar um software de gerenciamento de chaves de criptografia de terceiros. Isso reforça os backups, melhora o monitoramento e apoia a conformidade da organização.

Proteja arquivos sensíveis ou remova a criptografia quando precisar. Assista a Como ativar ou desativar a criptografia de arquivos NTFS no Windows.

Monitore a criptografia de disco em todos os seus dispositivos

O EFS protege arquivos individuais, mas a maioria das organizações também precisa de visibilidade sobre a criptografia de disco completo em cada dispositivo. NinjaOne Endpoint Management monitora o BitLocker no Windows e o FileVault no macOS, e ajuda as equipes de TI a gerenciar as chaves de recuperação correspondentes em um único console. Veja as perguntas frequentes sobre Endpoint Management e descubra como NinjaOne apoia a visibilidade da criptografia e a conformidade em toda a frota.