Activar el control de cifrado de disco cifra la unidad en cada dispositivo objetivo y guarda la clave de recuperación, para que puedas volver a acceder a una máquina sin depender de la persona que la usó. Cubre completamente macOS y Windows. Linux es diferente.
Funcionalidad
Descripción general
| macOS | Windows | Linux | iPhone / iPad | Android |
|---|---|---|---|---|
| FileVault | BitLocker | LUKS, solo al instalar | Cifrado por Apple | Cifrado por el SO |
Los dispositivos móviles no necesitan nada de ti: Apple y Android cifran sus dispositivos por sí mismos, y no hay ninguna configuración que gestionar. El trabajo está en las tres plataformas de escritorio, y solo dos de ellas pueden ser corregidas después de hecho.
Cómo usar — macOS
- Activa el control de cifrado de disco y selecciona los dispositivos.
- FileVault se activa.
- El cifrado entra en efecto después del siguiente reinicio, no de inmediato.
- La clave de recuperación se guarda dentro de las 24 horas posteriores a ese reinicio.
La brecha entre "activado" y "cifrado" es un reinicio, y la brecha entre "cifrado" y "tienes la clave" puede ser de hasta un día. Un Mac que aparece como no conforme la misma tarde en que activaste el control generalmente solo está esperando a que el empleado reinicie.
Cómo usar — Windows
- Activa el control y selecciona los dispositivos.
- BitLocker se activa.
- No se necesita reinicio.
- La clave se almacena tan pronto como se activa el cifrado.
Windows es el más sencillo. Si no cifra, la edición es lo primero que debes verificar: Windows Home no tiene BitLocker.
Linux: debe hacerse en la instalación
Linux no tiene forma de cifrar un disco después de que el sistema operativo esté instalado. Agregar cifrado más tarde significa una reinstalación completa. Así que en Linux el control no impone nada — solo recopila.
Lo que realmente parece el flujo:
- El empleado cifra el disco con LUKS mientras instala el sistema operativo. Este es el paso que no se puede recuperar después.
- Una vez que el dispositivo está inscrito, el agente muestra al empleado un banner pidiéndole que guarde la clave de recuperación.
- Hacen clic en Crear clave e ingresan la frase de paso de LUKS que ya configuraron.
- Se genera una nueva frase de recuperación y se almacena en el servidor.
Nota quién hace qué: la custodia ocurre a través del agente en el dispositivo, no de tu lado. No puedes activarlo por ellos.
Cómo usar — cambiar o desactivar
Abre el control desde MDM > Controles para editar o desactivarlo. Desactivar detiene la imposición; no descifra nada. Los dispositivos que ya están cifrados permanecen cifrados, que es casi siempre lo que quieres, pero significa que desactivar el control no es una forma de deshacerlo.
Consejos y Mejores Prácticas
- Incorpora el reinicio en el despliegue en macOS. Anúncialo, da una fecha límite y espera que tu lista de cumplimiento se vea mal durante uno o dos días. No es desviación.
- Verifica las ediciones de Windows antes de activar cualquier cosa. Cada dispositivo Home en la flota es un problema de cifrado de disco que ninguna configuración podrá resolver.
- En Linux, la conversación ocurre en el momento de la imagen, no en la inscripción. Una vez que la máquina está construida sin cifrado, tus únicas opciones son una reinstalación o una excepción.
- Verifica que la clave llegó, no que el control esté activo. Un disco cifrado sin clave de custodia es peor que inútil el día que alguien se va.
- No desactives el control para solucionar un problema. El dispositivo permanece cifrado y pierdes la imposición.
Resolución de Problemas y FAQ
Resolución de Problemas
Un Mac muestra que el control se aplicó pero no está cifrado. No se ha reiniciado. FileVault entra en efecto en el siguiente arranque.
Un Mac está cifrado pero no hay clave de recuperación. La custodia puede tardar hasta 24 horas después de ese reinicio. Si ha pasado un día completo, verifica que el dispositivo esté sincronizando.
Un dispositivo Windows no se cifrará. Casi siempre es Windows Home, que no tiene BitLocker. Actualiza la edición o acepta la excepción.
Un dispositivo Linux informa que no hay clave de recuperación. El empleado no ha utilizado el banner en su dispositivo aún. Lo necesita y su frase de paso de LUKS existente — no puedes hacerlo por ellos.
El cifrado se mantuvo después de desactivar el control. Esperado. Desactivar detiene la imposición, no revierte lo que ya se ha hecho.
FAQ
-
¿Necesitamos hacer algo en teléfonos y tabletas?
No. Ambas plataformas se cifran solas y no exponen nada que gestionar. -
¿Podemos cifrar una máquina Linux que ya está en uso?
No sin reinstalar el sistema operativo. Esa es una limitación de Linux, no del producto. -
¿Dónde viven las claves de recuperación?
Custodiadas en el servidor, recuperables por un administrador sin involucrar al empleado. -
¿Activar esto interrumpe el trabajo de alguien?
En Windows, no. En macOS necesita un reinicio. En Linux el empleado tiene que hacer clic en el banner de custodia una vez.