Glosario
Clave de recuperación de BitLocker
La clave de recuperación de BitLocker es un código numérico de 48 dígitos que desbloquea un disco cifrado cuando Windows no puede abrirlo por la vía normal. Si su flota tiene portátiles cifrados y nadie sabe dónde están esas claves, el cifrado ha dejado de ser una protección y se ha convertido en un riesgo operativo.
Cómo funciona
BitLocker guarda la clave que cifra el volumen protegida por el TPM del equipo. En el arranque normal, el TPM comprueba que el firmware y el gestor de arranque son los esperados y libera la clave sin que nadie teclee nada. Cuando esa comprobación falla, Windows entra en modo de recuperación y pide la clave de 48 dígitos.
Las causas son casi siempre mundanas: una actualización de BIOS o UEFI, un cambio en el orden de arranque, la placa base sustituida por el servicio técnico, el Secure Boot desactivado para instalar algo, el disco movido a otro equipo. También ocurre tras una actualización de firmware mal sincronizada con las políticas de medición del TPM.
La clave se puede depositar en varios sitios, y de esa elección depende todo. Vinculada a la cuenta de Microsoft del usuario, lo que en un equipo corporativo es inaceptable. Guardada en Microsoft Entra ID, que es el patrón habitual en parques gestionados con Intune. Archivada en Active Directory para los equipos unidos al dominio. Exportada a un archivo o impresa, que es la vía que acaba en un cajón olvidado. Desde Windows 11 24H2 el cifrado de dispositivo se activa por defecto en más configuraciones de instalación limpia, lo que significa más discos cifrados sin que nadie lo haya decidido conscientemente.
Por qué importa para una flota
El escenario que hunde a un equipo de TI es una actualización de firmware desplegada a 200 portátiles un martes. El miércoles, 30 usuarios llaman con una pantalla azul que pide 48 dígitos, y el soporte descubre que las claves se depositaron en cuentas personales de Microsoft.
Así que la pregunta operativa no es si cifra, sino dónde está la custodia y quién puede consultarla. Debe ser un repositorio corporativo, con permisos limitados, registro de consultas y una vía de verificación de identidad antes de dictar una clave por teléfono. Ese último punto importa: dictar 48 dígitos a alguien que llama diciendo que es el director financiero es un vector de ingeniería social de manual.
Conviene también rotar la clave después de usarla. Muchas organizaciones la dictan y la dejan intacta durante años.
Cómo lo gestiona Appaloosa
Appaloosa gestiona los equipos Windows inscritos y trata el cifrado como un criterio de cumplimiento: comprueba que BitLocker está activo en el volumen del sistema, marca como no conforme el portátil que no lo está y puede retirarle el acceso a las aplicaciones y los recursos gestionados hasta que se corrija. La custodia de claves vive en su directorio corporativo, que es donde debe estar, y el estado de cifrado aparece junto al resto del inventario en la página de MDM para Windows.
Explorar
Toda la plataforma
Inscripción, apps, seguridad, soporte remoto: todo en un lugar.
Explorar Appaloosa →Vea Appaloosa en su parque Reservar una demo