gestión del cifrado nativo
La gestión del cifrado nativo consiste en controlar las funciones de cifrado ya integradas en los sistemas operativos, dispositivos y plataformas. Para la mayoría de las organizaciones, esto incluye Windows BitLocker, macOS FileVault, el cifrado basado en archivos de Android, la protección de datos de iOS, las claves de recuperación, las políticas de dispositivos y los informes.
El objetivo es sencillo: garantizar que los datos confidenciales permanezcan protegidos si se pierde, roba, repara, retira o accede sin autorización a un portátil, teléfono, tableta o unidad extraíble.
El cifrado nativo es potente porque ya forma parte de la plataforma. Pero aun así necesita gestión. Sin políticas claras, almacenamiento de claves de recuperación, comprobaciones de cumplimiento y orientación para los usuarios, el cifrado integrado puede volverse incoherente o difícil de recuperar cuando algo sale mal.
La función de seguridad que debe desempeñar el cifrado nativo
El cifrado nativo protege los datos en reposo. Esto significa que los datos almacenados en un dispositivo permanecen ilegibles a menos que esté disponible la autenticación, la clave de recuperación o el método de desbloqueo adecuados.
NIST describe el cifrado de almacenamiento como una forma de restringir el acceso a la información almacenada en dispositivos de usuarios finales, como portátiles, dispositivos móviles y medios extraíbles. Sus directrices sobre cifrado de almacenamiento ↗ son un buen punto de partida para comprender el cifrado de disco completo, el cifrado de volúmenes y el cifrado a nivel de archivo.
CISA ofrece orientaciones prácticas similares en su página sobre protección de los datos almacenados en dispositivos ↗, especialmente para dispositivos perdidos, unidades extraíbles y planificación de recuperación.
En la práctica, el cifrado nativo ayuda frente a cuatro riesgos:
- Que un portátil perdido exponga archivos empresariales.
- Que un teléfono robado dé acceso a datos de trabajo.
- Que una unidad retirada pueda leerse después de desecharla.
- Que un usuario olvide sus credenciales y necesite una recuperación segura.
El cifrado en sí es solo una parte. La capa de gestión determina si la protección es coherente.
Mapa de controles para la gestión del cifrado nativo
La forma más sencilla de entender la gestión del cifrado nativo es como un conjunto de controles, no como un único interruptor.
| Área de control | Qué debe responder la gestión del cifrado nativo | Por qué es importante |
|---|---|---|
| Cobertura | ¿Qué dispositivos, unidades y usuarios deben estar cifrados? | Evita lagunas en portátiles, teléfonos y medios extraíbles |
| Política | ¿Qué configuraciones se requieren de forma predeterminada? | Mantiene el cifrado coherente en toda la organización |
| Custodia de claves | ¿Dónde se almacenan las claves de recuperación? | Evita la pérdida permanente de datos durante la recuperación |
| Acceso | ¿Quién puede ver o utilizar las claves de recuperación? | Reduce el riesgo interno y del servicio de asistencia |
| Supervisión | ¿Cómo se comprueba el estado del cifrado? | Detecta pronto los dispositivos que no cumplen |
| Recuperación | ¿Qué ocurre cuando un usuario queda bloqueado? | Hace que la asistencia sea más rápida y segura |
| Ciclo de vida | ¿Qué ocurre durante la reparación, migración o eliminación? | Protege los datos durante los cambios de dispositivo |
Esta tabla representa la diferencia entre «el cifrado está disponible» y «el cifrado está realmente gestionado».
Windows: gestionar BitLocker y el cifrado de dispositivos
En Windows, el cifrado nativo normalmente significa BitLocker o cifrado automático de dispositivos.
La descripción general de BitLocker de Microsoft ↗ explica que BitLocker protege los volúmenes frente al acceso sin conexión, especialmente cuando los dispositivos se pierden, son robados o se retiran. En entornos gestionados, lo importante no es solo activar BitLocker. Es asegurarse de que estén implantados la política correcta, el método de recuperación y el proceso de elaboración de informes.
Una política práctica de cifrado para Windows debe definir:
- qué unidades deben cifrarse;
- si la protección solo con TPM es suficiente;
- si se requieren PIN para usuarios de mayor riesgo;
- dónde se realizan copias de seguridad de las claves de recuperación;
- quién puede recuperar las claves de recuperación;
- cómo se informa del cifrado fallido o suspendido.
La planificación de la recuperación es importante. La descripción general de la recuperación de BitLocker de Microsoft ↗ explica las distintas opciones de recuperación, incluidas las contraseñas de recuperación, claves de recuperación, paquetes de claves y agentes de recuperación de datos. Los equipos deben documentar qué opción está permitida antes de que se produzca un bloqueo real.
macOS y dispositivos Apple: gestionar FileVault y la protección de datos
En macOS, el cifrado nativo se centra en FileVault. La guía de Apple para gestionar FileVault con gestión de dispositivos ↗ explica cómo las organizaciones pueden aplicar FileVault, controlar los aplazamientos de los usuarios, gestionar si se muestran las claves de recuperación a los usuarios y custodiar las claves de recuperación personales mediante la gestión de dispositivos.
Para iPhone, iPad y las plataformas Apple más recientes, el cifrado está estrechamente vinculado a la Protección de Datos. La descripción general del cifrado y la protección de datos de Apple ↗ explica cómo los dispositivos Apple protegen los datos de usuarios y empresas si se pierde, roba o compromete un dispositivo.
En entornos Apple, la gestión debe centrarse en:
- aplicar FileVault durante la configuración cuando sea adecuado;
- custodiar las claves de recuperación en el sistema de gestión aprobado;
- rotar las claves de recuperación después de usarlas;
- confirmar qué usuarios pueden desbloquear volúmenes cifrados;
- documentar qué ocurre durante la migración o reasignación de dispositivos.
El principal riesgo es asumir que «los dispositivos Apple están cifrados» significa que la organización tiene bajo control la recuperación y los informes. Son cuestiones distintas.
Android: gestionar el cifrado mediante políticas de dispositivos
Los dispositivos Android también incluyen cifrado nativo. El cifrado basado en archivos de Android permite cifrar distintos archivos con claves diferentes, y Android Open Source Project explica el modelo en su documentación sobre cifrado basado en archivos ↗.
Para los dispositivos empresariales, la gestión del cifrado suele realizarse mediante Android Enterprise. La guía de Google sobre gestión de Android ↗ explica que las organizaciones pueden aplicar políticas de seguridad, como el bloqueo de pantalla y el cifrado de almacenamiento, a través de una solución de gestión.
La gestión del cifrado de Android debe definir:
- qué dispositivos están permitidos para el uso laboral;
- si el dispositivo está totalmente gestionado o es BYOD con un perfil de trabajo;
- qué nivel de seguridad de bloqueo de pantalla se requiere;
- cómo se bloquean o borran los dispositivos perdidos;
- cómo se supervisa el estado de cumplimiento;
- si los dispositivos más antiguos siguen cumpliendo los requisitos de seguridad.
El cifrado de Android es más sólido cuando se combina con la inscripción de dispositivos, una política de bloqueo de pantalla, requisitos de actualización y borrado remoto.
La gestión de claves es el verdadero problema de gestión
El cifrado depende de las claves. Parece obvio, pero muchos programas de cifrado fracasan porque la gestión de claves es deficiente.
Las directrices de gestión de claves de NIST ↗ abarcan la planificación, protección, ciclo de vida y gobernanza del material de claves criptográficas. Para el cifrado nativo, la pregunta práctica suele ser: ¿dónde se almacenan las claves de recuperación y quién puede utilizarlas?
Un buen proceso para las claves de recuperación debe responder:
1. ¿Dónde se custodia la clave? 2. ¿La clave se almacena automática o manualmente? 3. ¿Quién puede recuperarla? 4. ¿Se registra la recuperación? 5. ¿La clave se rota después de usarla? 6. ¿Qué ocurre cuando se retira el dispositivo? 7. ¿Qué ocurre si cambia el sistema de gestión?
No deje las claves de recuperación en capturas de pantalla, hojas de cálculo, unidades compartidas ni notas personales. El acceso de recuperación debe estar controlado, registrado y limitado.
Una secuencia práctica de implantación
La gestión del cifrado nativo es más sencilla cuando se implanta por fases.
Paso 1: inventariar los dispositivos
Enumere los portátiles, ordenadores de sobremesa, teléfonos, tabletas y unidades extraíbles que puedan almacenar datos empresariales.
Paso 2: definir la cobertura requerida
Decida qué tipos de dispositivos deben utilizar cifrado nativo y qué excepciones están permitidas.
Paso 3: elegir políticas de plataforma
Configure las reglas de BitLocker, FileVault, Android y otras plataformas antes de una implantación generalizada.
Paso 4: configurar la custodia de claves de recuperación
Asegúrese de que las claves de recuperación se almacenan en el sistema aprobado antes de que los usuarios dependan de ellas.
Paso 5: realizar una prueba piloto con un grupo pequeño
Pruebe la recuperación, los conflictos de políticas, la migración de dispositivos y la comunicación con los usuarios.
Paso 6: aplicar gradualmente
Pase del modo de solo informes a la aplicación tras resolver los problemas de la prueba piloto.
Paso 7: supervisar continuamente
Revise el estado del cifrado, la protección suspendida, la custodia fallida, los dispositivos no gestionados y los eventos de recuperación.
Esta secuencia evita el error más común: activar el cifrado de forma generalizada antes de haber probado la recuperación.
Qué informar a la dirección
Los responsables de seguridad no necesitan todos los ajustes técnicos. Necesitan una visión clara de la cobertura, el riesgo y la preparación.
Un informe útil sobre cifrado nativo debe mostrar:
- porcentaje de dispositivos gestionados cifrados;
- número de dispositivos sin claves de recuperación;
- dispositivos con cifrado suspendido o fallido;
- usuarios o equipos de alto riesgo sin cobertura;
- eventos de recuperación durante el periodo del informe;
- dispositivos pendientes de retirada o borrado;
- excepciones de política y sus responsables.
Si necesita explicar la cobertura de cifrado a ejecutivos o clientes, puede convertir su política de cifrado nativo en una presentación preparada para las partes interesadas con Pi ↗.Úsela para informar sobre cobertura, riesgos, preparación para la recuperación y próximos pasos sin convertir la presentación en un volcado técnico.
Cuando el cifrado nativo no es suficiente
El cifrado nativo protege los datos almacenados, pero no resuelve todos los problemas de seguridad.
No sustituye a:
- la gestión de identidades y accesos;
- la detección y respuesta en endpoints;
- las copias de seguridad y la recuperación ante desastres;
- la gestión de parches;
- la prevención de pérdida de datos;
- la protección contra phishing;
- los controles de acceso a la nube;
- la eliminación segura de dispositivos.
Tampoco protege los datos después de que un usuario autorizado haya desbloqueado el dispositivo y accedido a los archivos con normalidad. Una vez que el sistema está en funcionamiento y el usuario está autenticado, siguen siendo necesarios otros controles.
El cifrado nativo debe considerarse un control básico, no toda la estrategia de seguridad.
El veredicto
La gestión del cifrado nativo consiste en hacer fiable el cifrado integrado. Activar BitLocker, FileVault, el cifrado de Android o la Protección de Datos de Apple es solo el comienzo.
Un programa maduro define la cobertura, aplica políticas, custodia las claves de recuperación, limita el acceso de recuperación, supervisa el cumplimiento y prueba qué ocurre cuando un dispositivo se pierde, bloquea, migra o retira.
El mejor programa de cifrado no es el que tiene la casilla más robusta. Es aquel en el que la protección, la recuperación y los informes funcionan cuando la organización realmente los necesita.
Preguntas frecuentes
¿Qué es la gestión del cifrado nativo?
La gestión del cifrado nativo es el proceso de controlar las funciones de cifrado integradas en dispositivos y plataformas. Incluye la aplicación de políticas, la custodia de claves de recuperación, la supervisión del cumplimiento, los flujos de trabajo de recuperación y la gestión del ciclo de vida de los dispositivos cifrados.
¿Es el cifrado nativo lo mismo que el cifrado de disco completo?
No siempre. El cifrado nativo es el cifrado integrado en el sistema operativo o la plataforma. Puede incluir cifrado de disco completo, cifrado de volúmenes, cifrado basado en archivos o funciones de protección de datos, según el dispositivo y el sistema operativo.
¿Por qué es importante la gestión de claves de recuperación?
La gestión de claves de recuperación es importante porque los datos cifrados pueden volverse inaccesibles si los usuarios olvidan las contraseñas, los cambios de hardware activan la recuperación o los dispositivos se migran. Las claves de recuperación deben custodiarse de forma segura, el acceso debe limitarse y la recuperación debe registrarse.
¿Qué debe controlar una organización para el cumplimiento del cifrado nativo?
Las organizaciones deben controlar el estado del cifrado, el estado de custodia de las claves de recuperación, el cumplimiento de políticas, la protección suspendida, el cifrado fallido, la propiedad del dispositivo, los eventos de recuperación y las excepciones. Estas métricas muestran si el cifrado funciona realmente en todo el entorno.
