Gestión de dispositivos de Windows

La gestión de dispositivos Windows consiste en el proceso mediante el cual los equipos de TI configuran, protegen, supervisan y mantienen los terminales Windows de toda una organización desde una única consola de administración, en lugar de hacerlo equipo por equipo. Si eres responsable de un parque de dispositivos Windows y estás tratando de decidir qué herramientas utilizar, cómo aplicar las políticas o cómo reforzar tu postura de seguridad, esta guía recoge todo lo que necesitas saber.

Qué abarca realmente la gestión de dispositivos Windows

El término se utiliza de forma imprecisa, por lo que conviene ser preciso. La gestión de dispositivos Windows abarca cuatro funciones principales:

• Gestión de la configuración: la distribución de ajustes del sistema operativo, perfiles de red, configuraciones de aplicaciones y políticas de seguridad básicas a los dispositivos.
• Gestión de aplicaciones: implementar, actualizar y eliminar software sin tener que intervenir en cada equipo.
• Aplicación de políticas de seguridad: exigir el cifrado de disco (BitLocker), aplicar reglas de cortafuegos, controlar los soportes extraíbles y configurar temporizadores de bloqueo de pantalla.
• Visibilidad del inventario y del cumplimiento normativo: saber qué dispositivos hay en la red, qué versión del sistema operativo ejecutan y si cumplen los requisitos de seguridad.

Si desea una introducción más amplia sobre cómo encajan estas capacidades, consulte «¿Cómo funciona la gestión de dispositivos?».

Los protocolos básicos detrás de la gestión de dispositivos móviles (MDM) de Windows

La gestión moderna de dispositivos Windows se ejecuta sobre la pila de protocolos MDM de Microsoft, que se basa en OMA-DM (Open Mobile Alliance Device Management). Cuando un dispositivo con Windows 10 o Windows 11 se inscribe en una solución MDM, establece un canal de gestión que el servidor utiliza para entregar las cargas útiles del proveedor de servicios de configuración (CSP).

Los CSP son el mecanismo real para modificar la configuración del dispositivo. Existen CSP para la aplicación de políticas (Policy CSP), la implementación de certificados (CertificateStore CSP), la instalación de aplicaciones (EnterpriseModernAppManagement CSP) y docenas de otras funciones. Es importante comprender esto, ya que determina lo que una herramienta MDM de terceros puede y no puede hacer en un dispositivo Windows, en comparación con una herramienta que utilice las propias API de Microsoft.

Para las organizaciones que también gestionan objetos de política de grupo (GPO) en un entorno de Active Directory, hay una distinción importante: los GPO se procesan al iniciar sesión o en un ciclo de actualización y requieren conectividad al dominio. Las políticas de MDM se envían de forma continua a través de Internet y funcionan en dispositivos que nunca se han unido a un dominio. La documentación de Microsoft sobre la coexistencia entre la gestión de dispositivos móviles y la política de grupo describe cómo se resuelven los conflictos cuando ambas se aplican al mismo dispositivo.

Opciones de inscripción en Windows

La forma en que los dispositivos se incorporan a la gestión es tan importante como lo que se haga con ellos después. Windows admite varias vías de inscripción:

1. Windows Autopilot: los dispositivos se envían directamente a los usuarios, se inician y se inscriben automáticamente en tu MDM y en tu inquilino de Azure Active Directory (ahora Microsoft Entra ID). No se requiere intervención del departamento de TI.

2. Inscripción masiva: uso de un paquete de aprovisionamiento (PPKG) creado con Windows Configuration Designer para inscribir un gran número de dispositivos a la vez.

3. Incorporación a Azure AD: los usuarios inician sesión con una cuenta de trabajo durante la experiencia OOBE (Out of Box Experience) y el dispositivo se inscribe automáticamente si el inquilino está configurado para ello.

4. Incorporación híbrida a Azure AD: los dispositivos se incorporan tanto a Active Directory local como a Microsoft Entra ID, lo cual resulta útil para organizaciones con dependencias de infraestructura heredada.

5. Inscripción manual: los usuarios acceden a «Configuración» y se inscriben por sí mismos. Funciona en escenarios BYOD, pero ofrece menos control sobre la experiencia de inscripción.

Para las organizaciones que gestionan una combinación de dispositivos Windows corporativos y personales, conviene revisar por separado las consideraciones sobre la gestión de dispositivos BYOD en lo que respecta al alcance de las políticas y la separación de datos.

Configuración de la línea de base de seguridad para terminales Windows

Un dispositivo Windows recién inscrito no es un dispositivo Windows seguro. Es necesario aplicar una configuración básica antes de que los usuarios empiecen a trabajar. La configuración básica de seguridad de Microsoft (publicada para cada versión de Windows) y los criterios de referencia CIS para Windows ofrecen un punto de partida, pero la mayoría de las organizaciones necesitan añadir controles adicionales.

Configuraciones clave que deben aplicarse mediante una política de MDM:

• Cifrado BitLocker: exige el cifrado en todas las unidades fijas. Almacena las claves de recuperación en Microsoft Entra ID o en tu plataforma MDM.
• Antivirus de Windows Defender: Asegúrate de que la protección en tiempo real esté activada y de que las firmas estén actualizadas. Impide que los usuarios lo desactiven.
• Firewall de Windows: Aplique los perfiles de dominio, privado y público. Registre los paquetes descartados para su ingesta en el SIEM.
• Credential Guard: Proteja las credenciales de dominio derivadas mediante seguridad basada en virtualización.
• Reglas de reducción de la superficie de ataque (ASR): Impide que las macros de Office creen procesos secundarios, evita el robo de credenciales desde LSASS y restringe la ejecución de scripts desde ubicaciones sospechosas.
• Política de actualizaciones de software: Establezca un horario de actividad, configure plazos de actualización e impida que los usuarios aplacen indefinidamente la instalación de parches.

Para un enfoque integral que permita reforzar la seguridad de los terminales más allá de la configuración predeterminada, la guía de refuerzo de la seguridad de los terminales incluye controles adicionales relevantes para entornos Windows y multiplataforma.

Gestión de parches y exposición a vulnerabilidades

Los sistemas Windows sin parches se encuentran sistemáticamente entre los principales vectores de ataque. Microsoft publica parches el segundo martes de cada mes («Patch Tuesday»), con lanzamientos fuera de ciclo para vulnerabilidades críticas de día cero. Su solución MDM debe imponer plazos de actualización y ofrecerle visibilidad sobre qué dispositivos están atrasados.

La gestión de parches en Windows va más allá del propio sistema operativo. La aplicación de parches a aplicaciones de terceros, las actualizaciones de controladores y las actualizaciones de firmware requieren un tratamiento específico en cada caso. Muchas organizaciones descubren que, aunque cumplen a la perfección con los parches del sistema operativo, entre el 40 % y el 60 % de las vulnerabilidades de sus aplicaciones quedan sin resolver porque su herramienta de MDM solo cubría Windows Update.

Para los equipos que se enfrentan a una gran acumulación de CVE, un enfoque estructurado para la priorización y la corrección de los CVE ayuda a centrar los esfuerzos en las vulnerabilidades con mayor probabilidad de ser explotadas, en lugar de perseguir cada CVE publicado.

Microsoft Intune frente a herramientas MDM de terceros

Microsoft Intune es la opción predeterminada para la mayoría de las organizaciones centradas en Windows, y con razón. Se integra de forma nativa con Microsoft Entra ID, Microsoft Defender for Endpoint y el resto de la pila de Microsoft 365. Las políticas de acceso condicional de Entra ID pueden impedir por completo que un dispositivo no conforme acceda a las aplicaciones de Microsoft 365, lo que constituye un potente mecanismo de cumplimiento.

Puntos débiles de Intune:

• Gestión multiplataforma: los equipos que gestionan macOS, iOS, Android y Windows desde una única consola suelen considerar que la compatibilidad de Intune con sistemas distintos de Windows es menos eficaz que la que ofrece con Windows.
• Complejidad de las políticas: el catálogo de configuración de Intune ha crecido considerablemente, pero navegar por él y garantizar que los ajustes se apliquen en el orden correcto no siempre resulta sencillo.
• Informes: los informes de cumplimiento listos para usar funcionan, pero crear vistas personalizadas suele requerir la exportación a Log Analytics o Power BI.

Las plataformas de gestión de dispositivos móviles (MDM) y de gestión unificada de terminales de terceros suelen integrar las capacidades de gestión de Windows de Intune mediante la cogestión o utilizan directamente el canal OMA-DM, al tiempo que ofrecen una experiencia más unificada en todas las plataformas de sistemas operativos.

Marcos de cumplimiento y gestión de dispositivos Windows

Para las organizaciones sujetas a SOC 2, ISO 27001, HIPAA u otros marcos normativos, la configuración de los dispositivos Windows está directamente vinculada a las pruebas de auditoría. Los auditores quieren ver:

• Pruebas de que se aplica el cifrado en todos los terminales
• Pruebas de que los parches del sistema operativo y de las aplicaciones se aplican dentro de los SLA definidos
• Registros que muestren el estado de cumplimiento de las políticas a lo largo del tiempo
• Documentación de su configuración de MDM y de los controles que esta impone

Los ajustes de gestión de dispositivos se corresponden con controles específicos de cada marco normativo. El requisito SOC 2 CC6.1 (controles de acceso lógico y físico) exige demostrar que el acceso a los dispositivos está restringido y cifrado. Los requisitos de medidas de seguridad técnicas de la HIPAA en materia de controles de acceso y controles de auditoría cuentan con puntos de aplicación a nivel de dispositivo.

La recopilación manual de pruebas para estos requisitos lleva mucho tiempo. Aquí es donde la integración de los datos de gestión de dispositivos con una plataforma de cumplimiento normativo permite ahorrar un tiempo considerable durante las auditorías.

Cómo aborda Iru la gestión de dispositivos Windows

Iru Endpoint admite la gestión de dispositivos Windows junto con macOS, iOS y Android, lo que proporciona a los equipos de TI una única plataforma para la gestión multiplataforma de su parque de dispositivos, en lugar de tener que mantener conjuntos de herramientas independientes para cada sistema operativo.

En el caso concreto de Windows, Iru utiliza el protocolo OMA-DM para aplicar las configuraciones de referencia, gestionar aplicaciones y mostrar el estado de cumplimiento sin necesidad de que los dispositivos estén unidos a un dominio ni se gestionen exclusivamente a través de la pila de Microsoft. Esto es importante para las organizaciones con flotas mixtas en las que el departamento de TI necesita una aplicación coherente de las políticas y la generación de informes, independientemente del sistema operativo subyacente.

La capa de automatización del cumplimiento normativo de Iru conecta los datos sobre el estado de los dispositivos directamente con los controles del marco normativo. Cuando un dispositivo Windows deja de cumplir con los parches o cambia el estado de BitLocker, esa señal se transmite a Iru Compliance y actualiza automáticamente las pruebas de control pertinentes. Esto se traduce en menos tiempo dedicado a exportar informes manualmente antes de una auditoría SOC 2 y en una mayor confianza en que su estado de cumplimiento refleja lo que realmente ocurre en los terminales.

Para los equipos de gestión de dispositivos y de seguridad que necesitan demostrar la eficacia de los controles de forma continua, en lugar de en un momento concreto, esa conexión en tiempo real entre el estado de los terminales y las pruebas de cumplimiento supone la diferencia práctica a la hora de estar preparados para una auditoría.

Elegir el enfoque adecuado para su parque de dispositivos Windows

La gestión de dispositivos Windows no es una decisión sobre un producto que se toma una sola vez. Se trata de una capacidad operativa continua que debe adaptarse al número de dispositivos, a tus obligaciones de cumplimiento normativo y a tu entorno de amenazas. Las organizaciones que la tratan como un proyecto de implementación puntual suelen acabar con desviaciones en la configuración, una deuda de parches cada vez mayor y brechas de cumplimiento que salen a la luz en el peor momento posible.

Las herramientas adecuadas dependen de si gestionas exclusivamente Windows o si gestionas un entorno con sistemas operativos mixtos, de tu grado de integración con el ecosistema de Microsoft 365 y de si necesitas que el estado de los dispositivos se incorpore directamente a los flujos de trabajo de cumplimiento normativo.

Si estás evaluando tu configuración actual o creando un sistema de gestión de Windows desde cero, reserva una demostración para ver cómo Iru Endpoint gestiona la aplicación de políticas de Windows, la gestión de aplicaciones y la generación de informes de cumplimiento normativo junto con tus otras plataformas.