Administre BitLocker fácilmente

Obtenga primero un agente en cada máquina

La consola sólo puede gestionar lo que puede ver. Cada PC necesita primero tener el agente de Endpoint Central instalado y generando informes; sin un agente, una máquina es invisible para la política, para el almacén de claves y para todos los informes de esta guía.

Compare la lista de máquinas de la consola con lo que realmente posee la oficina: registros de compras, la lista de computadoras de Active Directory, un escaneo de red. Cualquier PC que falte no "probablemente esté cifrada"; es desconocido y se desconoce el riesgo. Los proyectos de cifrado de flotas suelen fallar en este paso de visibilidad, no en el paso de cifrado; primero cierre la brecha.

Escriba una política antes de tocar cualquier PC

Cree la política de BitLocker de forma centralizada en lugar de configurar las PC una por una. Una política es una definición de "cifrado correctamente" y el tutorial del vídeo establece las decisiones importantes:

Protector: TPM solo desbloquea la unidad automáticamente durante el arranque; una computadora portátil robada aún llega a la pantalla de inicio de sesión de Windows. TPM + PIN solicita un PIN incluso antes de que se inicie Windows, que es la configuración que realmente detiene a un ladrón; Para los portátiles que viajan, vale la pena el pequeño roce diario. Las máquinas sin TPM pueden usar un protector de contraseña: una elección deliberada, nunca un accidente.

Algoritmo y alcance: XTS-AES 128 o 256 (256 es lo que a la mayoría de los auditores les gusta ver escrito; ninguno de los dos es por fuerza bruta en la práctica), y cifrado de solo espacio usado para máquinas nuevas versus disco lleno para cualquier máquina que ya esté en servicio, porque el espacio "vacío" todavía contiene archivos eliminados.

Configure el depósito de claves y verifíquelo antes de hacer cumplir cualquier cosa

Cada unidad BitLocker tiene una clave de recuperación de 48 dígitos, y el día que una PC muestra la pantalla de recuperación azul, esa clave es lo único que hay entre el usuario y una unidad borrada. El depósito en garantía significa que la clave se recopila automáticamente y se almacena donde la organización la controla: en el servidor de Endpoint Central, con la opción de realizar también una copia de seguridad de las claves en Active Directory o Azure AD.

La regla de Endpoint Central es estricta, y el rigor es la característica: el cifrado no comienza hasta que la clave de recuperación se haya almacenado de forma segura en el servidor. Una unidad nunca puede terminar cifrada con su única clave almacenada en la propia máquina.

Primero, envíe la política a un grupo piloto

Implemente la política terminada en un pequeño grupo piloto antes que en toda la oficina: algunas máquinas a las que pueda acceder. Obsérvelos moverse a través de los estados de la consola, confirme que la clave de recuperación de cada uno haya llegado a la bóveda y solo entonces amplíe la implementación a grupos de máquinas (ManageEngine documenta envíos de hasta 250 dispositivos a la vez). Las máquinas nuevas pueden contratar la póliza automáticamente a medida que se unen, por lo que la flota permanece cubierta una vez finalizado el proyecto.

Lea el panel de estado: cifrado, pendiente, no conforme

A partir de aquí el trabajo es leer, no viajar. La vista Equipos administrados de BitLocker de la consola muestra cada máquina administrada en uno de tres estados: Cifrado, Cifrado pendiente o No compatible. Ese tablero, no un paseo por la oficina, es la forma de responder "¿cuáles de nuestras PC todavía no están cifradas?".

Trabaje la lista de brechas en orden de riesgo

"Pendiente" y "No conforme" son síntomas, no diagnósticos. Las causas habituales: la máquina no se ha registrado (apagada, de baja, el agente dejó de informar); falló un requisito previo: las comprobaciones previas a la implementación de la consola señalan clásicos como la incompatibilidad del modo BIOS y los errores de propiedad de TPM; la máquina no tiene TPM y no se planeó ninguna contraseña alternativa; o la edición de Windows no puede utilizar BitLocker en absoluto: una máquina con Windows Home permanecerá en el vacío para siempre hasta que se actualice o reemplace.

Borre la lista en orden de riesgo: computadoras portátiles que abandonan el edificio primero, luego máquinas que contienen datos confidenciales (cuentas, recursos humanos, registros de clientes), luego computadoras de escritorio en áreas compartidas y luego computadoras de escritorio fijas en salas controladas. Y verifique el acabado correctamente en cada máquina: el estado muestra Cifrado y puede recuperar su clave de recuperación de la bóveda. Ambos, ni uno solo.

Pruébelo: informes, simulacro de recuperación y verificación local

Cuando el tablero esté limpio, obtenga el informe de cifrado: qué máquinas están cifradas, con qué política y si se almacena la clave de cada unidad. Ese informe es la prueba de auditoría: la diferencia entre "creemos que estamos cifrados" y un documento que usted puede entregar.

Luego, ensaye el peor día una vez: elija una máquina, abra la búsqueda de claves de recuperación de la consola y recupere su clave como lo haría durante un bloqueo real. El depósito en garantía que nunca ha probado es una esperanza, no un sistema. Haga lo mismo cuando las personas cambien: cuando un empleado se vaya, rote las claves y acceda correctamente en lugar de dejar vivos sus accesos y claves antiguos.

Sentado frente a una PC, puede verificar el estado de esa máquina desde un símbolo del sistema de administrador:

manage-bde -status C:

Eso le indica el estado de esta unidad; no dice nada sobre dónde se encuentra su clave de recuperación. La bóveda es la respuesta a esa segunda pregunta y es el objetivo de administrar BitLocker desde una consola.