gestión del cifrado nativo
La gestión del cifrado nativo consiste en controlar las funciones de cifrado ya integradas en los sistemas operativos, dispositivos y plataformas. Para la mayoría de las organizaciones, esto incluye Windows BitLocker, macOS FileVault, el cifrado basado en archivos de Android, la protección de datos de iOS, las claves de recuperación, las políticas de dispositivos y los informes.
El objetivo es sencillo: garantizar que los datos sensibles permanezcan protegidos si se pierde, roba, repara, retira o se accede sin autorización a un portátil, teléfono, tableta o unidad extraíble.
El cifrado nativo es potente porque ya forma parte de la plataforma. Pero aun así necesita gestión. Sin políticas claras, almacenamiento de claves de recuperación, comprobaciones de cumplimiento y orientación para los usuarios, el cifrado integrado puede volverse incoherente o difícil de recuperar cuando algo sale mal.
La función de seguridad que se supone que debe cumplir el cifrado nativo
El cifrado nativo protege los datos en reposo. Esto significa que los datos almacenados en un dispositivo permanecen ilegibles a menos que se disponga de la autenticación, clave de recuperación o método de desbloqueo adecuados.
NIST describe el cifrado de almacenamiento como una forma de restringir el acceso a la información almacenada en dispositivos de usuario final, como portátiles, dispositivos móviles y medios extraíbles. Sus directrices sobre cifrado de almacenamiento ↗ son un buen punto de partida para comprender el cifrado de disco completo, de volumen y de archivos.
CISA ofrece orientación práctica similar en su página sobre la protección de los datos almacenados en dispositivos ↗, especialmente para dispositivos perdidos, unidades extraíbles y planificación de recuperación.
En la práctica, el cifrado nativo ayuda a mitigar cuatro riesgos:
- Que un portátil perdido exponga archivos empresariales.
- Que un teléfono robado dé acceso a datos de trabajo.
- Que una unidad retirada pueda leerse después de su eliminación.
- Que un usuario olvide las credenciales y necesite una recuperación segura.
El cifrado en sí es solo una parte. La capa de gestión determina si la protección es coherente.
Mapa de controles de gestión del cifrado nativo
La forma más sencilla de entender la gestión del cifrado nativo es como un conjunto de controles, no como un único interruptor.
| Área de control | Qué debería responder la gestión del cifrado nativo | Por qué es importante |
|---|---|---|
| Cobertura | ¿Qué dispositivos, unidades y usuarios deben estar cifrados? | Evita brechas entre portátiles, teléfonos y medios extraíbles |
| Política | ¿Qué configuraciones se requieren de forma predeterminada? | Mantiene el cifrado coherente en toda la organización |
| Custodia de claves | ¿Dónde se almacenan las claves de recuperación? | Evita la pérdida permanente de datos durante la recuperación |
| Acceso | ¿Quién puede ver o usar las claves de recuperación? | Reduce el riesgo interno y del servicio de asistencia |
| Supervisión | ¿Cómo se comprueba el estado del cifrado? | Detecta pronto los dispositivos no conformes |
| Recuperación | ¿Qué ocurre cuando un usuario queda bloqueado? | Hace que la asistencia sea más rápida y segura |
| Ciclo de vida | ¿Qué ocurre durante la reparación, migración o eliminación? | Protege los datos durante los cambios de dispositivo |
Esta tabla marca la diferencia entre «el cifrado está disponible» y «el cifrado se gestiona realmente».
Windows: gestionar BitLocker y el cifrado de dispositivos
En Windows, el cifrado nativo suele referirse a BitLocker o al cifrado automático de dispositivos.
La descripción general de BitLocker de Microsoft ↗ explica que BitLocker protege los volúmenes frente al acceso sin conexión, especialmente cuando los dispositivos se pierden, se roban o se retiran. En entornos gestionados, lo importante no es solo activar BitLocker. Es garantizar que estén implementados la política correcta, el método de recuperación y el proceso de generación de informes.
Una política práctica de cifrado para Windows debería definir:
- qué unidades deben cifrarse;
- si la protección solo con TPM es suficiente;
- si se requieren PIN para usuarios de mayor riesgo;
- dónde se realizan copias de seguridad de las claves de recuperación;
- quién puede recuperar las claves de recuperación;
- cómo se informa del cifrado fallido o suspendido.
La planificación de la recuperación es importante. La descripción general de la recuperación de BitLocker de Microsoft ↗ explica las diferentes opciones de recuperación, incluidas las contraseñas de recuperación, las claves de recuperación, los paquetes de claves y los agentes de recuperación de datos. Los equipos deben documentar qué opción está permitida antes de que se produzca un bloqueo real.
macOS y dispositivos Apple: gestionar FileVault y la protección de datos
En macOS, el cifrado nativo se centra en FileVault. La guía de Apple para gestionar FileVault con la gestión de dispositivos ↗ explica cómo las organizaciones pueden aplicar FileVault, controlar los aplazamientos de los usuarios, gestionar si se muestran las claves de recuperación a los usuarios y custodiar las claves de recuperación personales mediante la gestión de dispositivos.
En iPhone, iPad y las plataformas Apple más recientes, el cifrado está estrechamente vinculado a la protección de datos. La descripción general de cifrado y protección de datos de Apple ↗ explica cómo los dispositivos Apple protegen los datos de usuarios y corporativos si un dispositivo se pierde, se roba o se ve comprometido.
Para los entornos Apple, la gestión debería centrarse en:
- aplicar FileVault durante la configuración cuando corresponda;
- custodiar las claves de recuperación en el sistema de gestión aprobado;
- rotar las claves de recuperación después de usarlas;
- confirmar qué usuarios pueden desbloquear volúmenes cifrados;
- documentar qué ocurre durante la migración o reasignación de dispositivos.
El principal riesgo es asumir que «los dispositivos Apple están cifrados» significa que la organización tiene bajo control la recuperación y los informes. Son cuestiones distintas.
Android: gestionar el cifrado mediante políticas de dispositivos
Los dispositivos Android también incluyen cifrado nativo. El cifrado basado en archivos de Android permite cifrar distintos archivos con claves diferentes, y el Android Open Source Project explica el modelo en su documentación sobre cifrado basado en archivos ↗.
En los dispositivos empresariales, la gestión del cifrado suele realizarse mediante Android Enterprise. La guía de Google sobre gestión de Android ↗ explica que las organizaciones pueden aplicar políticas de seguridad, como el bloqueo de pantalla y el cifrado de almacenamiento, mediante una solución de gestión.
La gestión del cifrado de Android debería definir:
- qué dispositivos están permitidos para uso laboral;
- si el dispositivo está totalmente gestionado o es BYOD con un perfil de trabajo;
- qué nivel de seguridad del bloqueo de pantalla se requiere;
- cómo se bloquean o borran los dispositivos perdidos;
- cómo se supervisa el estado de cumplimiento;
- si los dispositivos más antiguos aún cumplen los requisitos de seguridad.
El cifrado de Android es más sólido cuando se combina con la inscripción de dispositivos, la política de bloqueo de pantalla, los requisitos de actualización y el borrado remoto.
La gestión de claves es el verdadero problema de gestión
El cifrado depende de las claves. Parece obvio, pero muchos programas de cifrado fracasan porque la gestión de claves es deficiente.
Las directrices de gestión de claves de NIST ↗ cubren la planificación, protección, ciclo de vida y gobernanza del material de claves criptográficas. Para el cifrado nativo, la pregunta práctica suele ser: ¿dónde se almacenan las claves de recuperación y quién puede utilizarlas?
Un buen proceso para las claves de recuperación debería responder:
1. ¿Dónde se custodia la clave? 2. ¿La clave se almacena automática o manualmente? 3. ¿Quién puede recuperarla? 4. ¿Se registra la recuperación? 5. ¿Se rota la clave después de usarla? 6. ¿Qué ocurre cuando se retira el dispositivo? 7. ¿Qué ocurre si cambia el sistema de gestión?
No deje las claves de recuperación en capturas de pantalla, hojas de cálculo, unidades compartidas ni notas personales. El acceso de recuperación debe estar controlado, registrado y limitado.
Una secuencia de implantación práctica
La gestión del cifrado nativo es más sencilla cuando se implanta por fases.
Paso 1: inventariar los dispositivos
Enumere los portátiles, ordenadores de sobremesa, teléfonos, tabletas y unidades extraíbles que puedan almacenar datos empresariales.
Paso 2: definir la cobertura requerida
Decida qué tipos de dispositivos deben usar cifrado nativo y qué excepciones se permiten.
Paso 3: elegir las políticas de plataforma
Establezca las reglas de BitLocker, FileVault, Android y otras plataformas antes de realizar una implantación amplia.
Paso 4: configurar la custodia de claves de recuperación
Asegúrese de que las claves de recuperación se almacenan en el sistema aprobado antes de que los usuarios dependan de ellas.
Paso 5: realizar un piloto con un grupo pequeño
Pruebe la recuperación, los conflictos de políticas, la migración de dispositivos y la comunicación con los usuarios.
Paso 6: aplicar gradualmente
Pase del modo de solo informes a la aplicación después de resolver los problemas del piloto.
Paso 7: supervisar continuamente
Revise el estado del cifrado, la protección suspendida, la custodia fallida, los dispositivos no gestionados y los eventos de recuperación.
Esta secuencia evita el error más habitual: activar ampliamente el cifrado antes de haber probado la recuperación.
Qué informar a la dirección
Los responsables de seguridad no necesitan cada configuración técnica. Necesitan una visión clara de la cobertura, el riesgo y la preparación.
Un informe útil sobre cifrado nativo debería mostrar:
- porcentaje de dispositivos gestionados cifrados;
- número de dispositivos sin claves de recuperación;
- dispositivos con cifrado suspendido o fallido;
- usuarios o equipos de alto riesgo sin cobertura;
- eventos de recuperación durante el periodo de informe;
- dispositivos pendientes de retirada o borrado;
- excepciones de política y responsables.
Si necesita explicar la cobertura de cifrado a ejecutivos o clientes, puede convertir su política de cifrado nativo en una presentación lista para las partes interesadas con Pi ↗.Úselo para informar sobre cobertura, riesgos, preparación para la recuperación y próximos pasos sin convertir la presentación en un volcado técnico.
Cuándo el cifrado nativo no es suficiente
El cifrado nativo protege los datos almacenados, pero no resuelve todos los problemas de seguridad.
No sustituye a:
- la gestión de identidades y accesos;
- la detección y respuesta en endpoints;
- las copias de seguridad y la recuperación ante desastres;
- la gestión de parches;
- la prevención de pérdida de datos;
- la protección contra phishing;
- los controles de acceso a la nube;
- la eliminación segura de dispositivos.
Tampoco protege los datos después de que un usuario autorizado haya desbloqueado el dispositivo y accedido a los archivos con normalidad. Una vez que el sistema está en funcionamiento y el usuario está autenticado, siguen siendo necesarios otros controles.
El cifrado nativo debe considerarse un control de referencia, no toda la estrategia de seguridad.
El veredicto
La gestión del cifrado nativo consiste en hacer fiable el cifrado integrado. Activar BitLocker, FileVault, el cifrado de Android o la protección de datos de Apple es solo el comienzo.
Un programa maduro define la cobertura, aplica políticas, custodia las claves de recuperación, limita el acceso de recuperación, supervisa el cumplimiento y prueba qué ocurre cuando un dispositivo se pierde, se bloquea, se migra o se retira.
El mejor programa de cifrado no es el que tiene la casilla más sólida. Es aquel en el que la protección, la recuperación y los informes funcionan cuando la organización realmente los necesita.
Preguntas frecuentes
¿Qué es la gestión del cifrado nativo?
La gestión del cifrado nativo es el proceso de controlar las funciones de cifrado integradas en los dispositivos y plataformas. Incluye la aplicación de políticas, la custodia de claves de recuperación, la supervisión del cumplimiento, los flujos de trabajo de recuperación y la gestión del ciclo de vida de los dispositivos cifrados.
¿Es el cifrado nativo lo mismo que el cifrado de disco completo?
No siempre. El cifrado nativo se refiere al cifrado integrado en el sistema operativo o la plataforma. Puede incluir cifrado de disco completo, de volumen, basado en archivos o funciones de protección de datos, según el dispositivo y el sistema operativo.
¿Por qué es importante la gestión de las claves de recuperación?
La gestión de las claves de recuperación es importante porque los datos cifrados pueden quedar inaccesibles si los usuarios olvidan las contraseñas, los cambios de hardware activan la recuperación o los dispositivos se migran. Las claves de recuperación deben custodiarse de forma segura, el acceso debe limitarse y la recuperación debe registrarse.
¿Qué debería controlar una organización para el cumplimiento del cifrado nativo?
Las organizaciones deberían controlar el estado del cifrado, el estado de custodia de las claves de recuperación, el cumplimiento de políticas, la protección suspendida, el cifrado fallido, la propiedad de los dispositivos, los eventos de recuperación y las excepciones. Estas métricas muestran si el cifrado funciona realmente en todo el entorno.
