Un laptop robado o perdido es molesto; un laptop con datos de empresa sin proteger puede salir caro. Además de soluciones de software como cortafuegos y antivirus, los laptops robustos ofrecen una serie de mecanismos de protección físicos y a nivel de firmware: cifrado SSD según OPAL 2.0, el candado Kensington, un BIOS protegido según las directrices del NIST, un módulo de chip TPM 2.0 y un escáner de huella dactilar. Este artículo presenta los cinco mecanismos, compara sus niveles de seguridad y muestra cuáles de ellos ofrecen los laptops Durabook actuales según la ficha técnica.
OPAL es un estándar para la gestión de unidades autocifradas. La versión actual para notebooks es OPAL 2.0: un cifrado asistido por software cuya carga de cálculo se traslada a la propia SSD, aliviando así la CPU. OPAL 2.0 es compatible con todos los sistemas operativos habituales y ofrece una política de seguridad gestionable de forma centralizada, incluida la recuperación de contraseñas y la gestión de usuarios. La desventaja frente a un cifrado totalmente basado en hardware: OPAL 2.0 no ofrece la misma protección integral, pero se puede gestionar de forma más flexible durante el funcionamiento.
El candado Kensington es un cable de seguridad con candado que permite anclar equipos móviles a un punto fijo. El mecanismo de seguridad se desarrolló ya en 1992, pero hasta hoy todos los candados comparables llevan esta denominación. Las versiones de alta calidad disponen de conectores colocados de forma específica, de modo que arrancarlos por la fuerza inutiliza el equipo en lugar de simplemente soltar el candado. La desventaja: el cable de acero se puede cortar con un alicate lateral, y sin un anclaje sólido en el puesto de trabajo, el candado ofrece apenas protección.
El National Institute of Standards and Technology (NIST) publica directrices de seguridad para implementaciones de BIOS. Un BIOS protegido conforme a ellas detecta cambios no autorizados en su propio código que podrían permitir la ejecución de software malicioso durante el proceso de arranque, y notifica los cambios críticos de configuración. Este mecanismo de protección actúa así antes del propio arranque del sistema operativo y cierra una brecha que las soluciones puramente de software no pueden cubrir.
Trusted Platform Module (TPM) designa un pequeño chip físico en la placa base que sirve como anclaje de seguridad adicional. El TPM 2.0 se encarga, entre otras cosas, del cifrado del disco, de la protección frente a la manipulación del firmware mediante rootkits de BIOS, de la autenticación biométrica y de la transmisión del estado del sistema al acceder a servicios en la nube. Una desventaja desde la perspectiva del usuario: las posibilidades de control sobre las claves almacenadas en el TPM son limitadas, lo que puede generar trabajo adicional en caso de avería o sustitución del equipo.
Un escáner de huella dactilar ofrece una gran comodidad de uso y una identificación fiable, sin que los usuarios tengan que recordar contraseñas. En la práctica, en la lectura se producen ocasionalmente errores de reconocimiento, y las huellas dactilares, en principio, se pueden reproducir. Para el uso cotidiano con una necesidad de protección moderada, la ganancia en comodidad frente a las contraseñas es, aun así, considerable; para entornos altamente sensibles, el escáner de huella dactilar debería combinarse con otro factor, por ejemplo un lector de tarjetas inteligentes.
Según la ficha técnica, los tres laptops Durabook actuales se diferencian claramente en su equipamiento de seguridad. El Durabook S14I combina de serie un lector de tarjetas inteligentes con un módulo TPM. En el Durabook S15 se puede añadir opcionalmente un escáner de huella dactilar y un lector de tarjetas inteligentes a través del configurador. El Durabook S15AB, más antiguo, ofrece TPM 2.0, un candado Kensington y, opcionalmente, un lector de tarjetas inteligentes como equipamiento.
Tanto el Durabook S15 como el Durabook S14I utilizan procesadores Intel® con compatibilidad vPro™. vPro™ en sí no es un mecanismo de cifrado o de protección de acceso, pero permite el mantenimiento y la configuración remotos y centralizados de una flota de equipos, lo que hace posible aplicar políticas de seguridad en toda la empresa sin tener que acudir a cada equipo individualmente. Eso es especialmente relevante en los laptops robustos de uso en campo, porque el acceso físico por parte del personal de TI a menudo solo es posible en raras ocasiones.
Además del cifrado de datos, en los laptops robustos también juega un papel la protección de acceso física: quien utilice un equipo con batería intercambiable en el campo debería asegurarse de que el cierre del compartimento de la batería no se pueda abrir sin herramientas. Igualmente relevantes son los puertos USB desactivables, con los que se puede impedir la transferencia de datos no autorizada mediante una memoria USB, siempre que el sistema operativo correspondiente o un software de gestión adicional lo admita. Para los equipos con conexión RS232 o RJ45 opcional se aplica el mismo principio: una conexión que no se necesita se puede desactivar por lo general mediante política, en lugar de dejarla abierta de forma permanente.
Ninguna de las funciones de seguridad descritas aquí sustituye una copia de seguridad de datos periódica. Los datos cifrados con TPM 2.0 están protegidos frente al acceso no autorizado, pero en caso de avería del chip TPM o de la propia SSD se pierden de forma igual de irrecuperable, sin una copia de seguridad, que los datos sin cifrar. Para el uso en campo se recomienda, por tanto, una copia de seguridad automatizada en un servidor central en cuanto un equipo vuelve a tener acceso a la red, en lugar de confiar exclusivamente en el cifrado local.
Además del simple escáner de huella dactilar, las versiones actuales de Windows admiten el inicio de sesión biométrico mediante Windows Hello, que vincula el reconocimiento de huella dactilar o facial con el módulo TPM. Con ello, la clave biométrica no se almacena en el propio sistema operativo, sino en el TPM, lo que aumenta adicionalmente la protección frente a las soluciones puramente de software. Para empresas con muchos empleados móviles, eso además reduce el esfuerzo de soporte que de otro modo generan las contraseñas olvidadas.
Para el uso con datos moderadamente sensibles suele bastar una combinación de cifrado OPAL 2.0 y protección por contraseña. Quien utilice equipos en el servicio externo o en obras, donde el robo es más probable, debería prever además un candado Kensington y TPM 2.0. Para entornos altamente sensibles con requisitos de cumplimiento estrictos, por ejemplo en el sector sanitario o en administraciones públicas, se recomienda la combinación completa de TPM 2.0, lector de tarjetas inteligentes y gestión centralizada mediante vPro™. La siguiente regla general ayuda a orientarse: cuanto mayor sea el número de equipos en la flota y mayor la necesidad de protección de los datos procesados, más merece la pena el esfuerzo adicional de la infraestructura de tarjetas inteligentes y la gestión centralizada frente a una simple solución de contraseña.
Los equipos de Robustbook se pueden configurar, según el modelo, con las funciones de seguridad descritas aquí. Ofrecemos, con el Durabook S14I, el Durabook S15 y el Durabook Z14I, laptops robustos para el uso en exteriores, todos con carcasa de aluminio y magnesio y certificación MIL-STD-810H. Para un asesoramiento sobre el equipamiento de seguridad adecuado para su sector y sus necesidades de cumplimiento, el equipo está disponible a través de la página de contacto.