Un portátil de empresa suele llevar dentro el correo de los últimos años, documentos de clientes, credenciales guardadas en el navegador y probablemente alguna hoja con datos de personal.
Si ese portátil no está cifrado, la contraseña de sesión no protege nada. Se saca el disco, se conecta a otro equipo y se lee todo. Es cuestión de minutos y no hace falta ser nadie especial para hacerlo.
Qué significa cifrar el disco
Que los datos en el disco están ilegibles sin una clave, y esa clave se entrega al arrancar. Con el equipo apagado, el disco es ruido. Con la sesión iniciada, funciona todo con normalidad y no se nota nada.
Hay que subrayar el matiz: protege el equipo apagado o suspendido. Si alguien roba el portátil abierto y desbloqueado, el cifrado no interviene. Por eso el bloqueo automático de pantalla es la otra mitad de esta medida.
Con qué
- Linux: LUKS. Es el estándar, está en el núcleo y se activa marcando una casilla durante la instalación del sistema. Si estás desplegando equipos nuevos, hazlo ahí: cifrar después es más trabajo.
- Windows: BitLocker en las ediciones que lo traen, o VeraCrypt, que es libre y multiplataforma, en las que no.
- macOS: FileVault, que viene integrado y solo hay que activarlo.
- Memorias USB y discos externos: VeraCrypt, o LUKS si solo se usan en Linux. Es donde más datos salen de la empresa sin que nadie lleve la cuenta.
El coste de rendimiento en hardware de los últimos diez años es imperceptible. Ese argumento ya no vale.
Las claves de recuperación: el punto crítico
Al cifrar, el sistema da una clave de recuperación. Sirve para entrar si la persona olvida su contraseña o si el equipo se degrada.
Si pierdes esa clave, los datos se han perdido de verdad. No hay soporte técnico que lo arregle; ese es exactamente el punto del cifrado.
Así que antes de cifrar el primer equipo, decide dónde viven las claves. En el gestor de contraseñas de la empresa, en una colección con acceso restringido, con el identificador del equipo y a quién está asignado. Y una copia impresa en una caja fuerte, porque si lo que falla es el servidor del gestor, quieres otra vía.
Lo que no puede pasar: que la clave esté guardada solo en el propio equipo cifrado.
Lo que cambia si se pierde uno
Aquí está el argumento que convence a la dirección más que el técnico.
Si se pierde un portátil sin cifrar que contenía datos personales, tienes una brecha de seguridad: hay que valorar el riesgo, probablemente notificar a la autoridad de protección de datos y, según la gravedad, avisar a las personas afectadas. Además del coste, es una conversación incómoda con clientes.
Si estaba cifrado y puedes demostrarlo, la valoración del riesgo es muy distinta, porque los datos no son accesibles. En la práctica, el incidente pasa de ser una crisis a ser la reposición de un equipo.
El «puedes demostrarlo» importa. Conviene llevar un inventario de equipos con la fecha en que se cifró cada uno. Sin registro, afirmarlo después no vale de mucho.
Por dónde empezar
No hace falta cifrar toda la flota este mes. Empieza por los equipos que salen de la oficina y por los de quien maneja datos sensibles: personal, contabilidad, dirección.
Y a partir de hoy, cada equipo nuevo se cifra al instalarlo. Añádelo a la lista de preparación de el primer día: así el problema deja de crecer mientras resuelves el histórico.