FileVault

Cómo funciona

En los Mac con chip Apple o chip T2, el almacenamiento siempre está cifrado a nivel de hardware. Lo que FileVault añade es el vínculo entre ese cifrado y la contraseña del usuario. Sin FileVault, la clave está disponible en cuanto el Mac arranca. Con él, solo se libera cuando alguien introduce una contraseña válida en la ventana de inicio de sesión. Portátil robado, sin contraseña, sin datos.

Al activarlo, macOS genera una clave de recuperación personal, una cadena de 24 caracteres que desbloquea el disco si se olvidan todas las contraseñas. Esa clave puede mostrarse una vez al usuario o custodiarse: cifrada con un certificado que proporciona el MDM y enviada al servidor MDM, donde un administrador podrá recuperarla más tarde.

La activación es una operación única que termina en segundo plano. Desde macOS 10.13 y APFS, el cifrado inicial tarda unos minutos en un Mac reciente, no horas.

Por qué importa para una flota

Los portátiles salen del edificio. Que un portátil perdido sea un incidente de seguridad o una simple sustitución de hardware depende de una sola cosa: si el disco estaba cifrado y si puede demostrarlo.

El RGPD hace explícita esa distinción. El artículo 34 del reglamento 2016/679 le exime de notificar a los afectados cuando los datos perdidos estaban cifrados con una clave que el ladrón no tiene. La AEPD lo recuerda en su guía sobre brechas de datos. Es la diferencia entre una baja de inventario discreta y una notificación pública de brecha.

La clave de recuperación es la mitad operativa del asunto. Un Mac con FileVault activo y sin clave custodiada es un Mac que borrará el día que el usuario olvide su contraseña. En una flota de 300 Mac, eso pasa más de lo que parece.

Cómo lo gestiona Appaloosa

Appaloosa envía a los Mac gestionados un perfil de configuración FileVault que activa el cifrado en el siguiente inicio de sesión y obliga al usuario a completarlo antes de continuar. La clave de recuperación personal se custodia automáticamente en Appaloosa, cifrada durante el envío, y queda disponible para un administrador autorizado desde la ficha del dispositivo cuando un usuario se bloquea.

La vista de cumplimiento de su consola de gestión de dispositivos móviles muestra qué Mac tienen FileVault activo y cuáles tienen una clave custodiada. Una pregunta de auditoría como "¿están cifrados todos los portátiles?" se responde con un filtro, no con una encuesta. Los Mac que salen de ese estado pueden marcarse como no conformes hasta que se reactive el cifrado.