Cifrado de datos
Kaspersky Endpoint Security le permite cifrar archivos y carpetas que están almacenados en unidades locales o extraíbles, o unidades extraíbles y discos duros en su totalidad. El cifrado de datos minimiza el riesgo de fugas de información que pueden ocurrir como consecuencia del robo o la pérdida de un equipo portátil, un disco extraíble o un disco duro, o cuando acceden a los datos usuarios o aplicaciones no autorizados. Kaspersky Endpoint Security utiliza el algoritmo de cifrado AES (del inglés "Advanced Encryption Standard").
Si caducó la licencia, la aplicación no cifra nuevos datos, y los datos cifrados anteriores permanecen cifrados y disponibles para su uso. En este caso, el cifrado de datos nuevos requiere que la aplicación se active con una licencia nueva que permita el uso de cifrado.
No se garantiza que los archivos que cifre se mantengan cifrados si su licencia caduca, si infringe el Contrato de licencia de usuario final, si desinstala Kaspersky Endpoint Security o si elimina la clave de licencia o los componentes de cifrado. Esto se debe a que algunas aplicaciones, como Microsoft Office Word, crean una copia temporal de los archivos durante la modificación. Cuando se guarda el archivo original, la copia temporal reemplaza el archivo original. Por lo tanto, en un equipo que no tiene funcionalidad de cifrado o en el que esta es inaccesible, el archivo permanece no cifrado.
Kaspersky Endpoint Security ofrece los siguientes aspectos de protección de datos:
- Cifrado de archivos en discos de equipos locales. Puede compilar listas de archivos por extensión o grupo de extensiones y listas de carpetas almacenadas en discos locales del equipo, además de crear reglas para cifrar archivos que son creados por aplicaciones específicas. Luego de que se aplique una directiva, Kaspersky Endpoint Security cifrará y descifrará los siguientes archivos:
- archivos agregados individualmente a listas para cifrado y descifrado;
- archivos almacenados en carpetas agregadas a listas para cifrado y descifrado;
- Archivos creados por aplicaciones por separado.
- Cifrado de unidades extraíbles. Se puede especificar una regla de cifrado predeterminada según la cual la aplicación realiza la misma acción en todos los discos extraíbles, o especificar reglas de cifrado para discos extraíbles individuales.
La regla de cifrado predeterminada tiene menos prioridad que las reglas de cifrado creadas para discos extraíbles individuales. Las reglas de cifrado creadas para discos extraíbles del modelo de dispositivo especificado tienen menos prioridad que las reglas de cifrado creadas para discos extraíbles con el identificador del dispositivo especificado.
Para seleccionar una regla de cifrado para archivos de un disco extraíble, Kaspersky Endpoint Security comprueba si el modelo y el identificador del dispositivo son conocidos. Luego, la aplicación realiza una de las siguientes operaciones:
- Si se conoce el modelo del dispositivo, la aplicación usa la regla de cifrado (si la hubiera) creada para discos extraíbles del modelo de dispositivo específico.
- Si solo se conoce el identificador del dispositivo, la aplicación usa la regla de cifrado (si la hubiera) creada para discos extraíbles con el identificador de dispositivo específico.
- Si se conocen el modelo y el identificador del dispositivo, la aplicación usa la regla de cifrado (si la hubiera) creada para discos extraíbles con el identificador de dispositivo específico. Si no hay ninguna de esas reglas, pero sí una regla de cifrado creada para discos extraíbles con el modelo del dispositivo específico, la aplicación aplica esta regla. Si no se especifica ninguna regla de cifrado para el identificador del dispositivo ni para el modelo del dispositivo específico, la aplicación aplica la regla de cifrado predeterminada.
- Si no se conoce ni el modelo ni el id. del dispositivo, la aplicación utiliza la regla de cifrado predeterminada.
La aplicación permite preparar un disco extraíble para utilizar datos cifrados almacenados en el disco en modo portátil. Después de habilitar el modo portátil, se puede acceder a los archivos cifrados en los discos extraíbles conectados a un equipo sin funcionalidad de cifrado.
- Administración de reglas de acceso de aplicaciones a archivos cifrados. Para cualquier aplicación, puede crear una regla de acceso a archivos cifrados que bloquee el acceso a archivos cifrados o que permita el acceso a archivos cifrados solo como texto cifrado, que es una secuencia de caracteres obtenidos cuando se aplica el cifrado.
- Creación de paquetes cifrados. Puede crear archivos de almacenamiento cifrados y proteger el acceso a ellos con una contraseña. Solo se puede acceder al contenido de los archivos de almacenamiento cifrados si se ingresan las contraseñas con las que protegió el acceso a esos archivos de almacenamiento. Estos archivos de almacenamiento se pueden transmitir de manera segura a través de redes o por medio de unidades extraíbles.
- Cifrado de disco completo. Puede seleccionar una tecnología de cifrado: Cifrado de disco de Kaspersky o Cifrado de unidad BitLocker (en adelante también llamado simplemente "BitLocker").
BitLocker es una tecnología que forma parte del sistema operativo Windows. Si un equipo tiene un Módulo de plataforma segura (TPM), BitLocker lo usa para almacenar claves de recuperación que proporcionan acceso a un disco duro cifrado. Cuando se inicia el equipo, BitLocker solicita las claves de recuperación del disco duro al Módulo de plataforma segura y desbloquea la unidad. Puede configurar el uso de una contraseña y/o de un código PIN para acceder a claves de recuperación.
Puede especificar la regla predeterminada de cifrado de disco completo y crear una lista de los discos duros que se excluirán del cifrado. Kaspersky Endpoint Security lleva a cabo el cifrado de disco completo sector por sector una vez aplicada la directiva de Kaspersky Security Center. La aplicación cifra simultáneamente todas las particiones lógicas de los discos duros.
Una vez cifrados los discos duros del sistema, la próxima vez que se inicie el equipo, el usuario deberá superar la autenticación por medio del Agente de autenticación para poder acceder a los discos duros y cargar el sistema operativo. El usuario puede autenticarse de dos maneras: puede escribir la contraseña de un token o de una tarjeta inteligente que conecte al equipo, o puede introducir el nombre de usuario y la contraseña de la cuenta del Agente de autenticación que el administrador de la red de área local haya creado con la tarea de Administrar cuentas del Agente de autenticación. Estas cuentas se basan en las cuentas de Microsoft Windows con las que el usuario inicia sesión en el sistema operativo. Existe también la posibilidad de usar la tecnología de inicio de sesión único (SSO), que permite iniciar sesión en el sistema operativo automáticamente con el nombre de usuario y la contraseña de la cuenta del Agente de autenticación.
Si realiza una copia de seguridad de un equipo y, posteriormente, cifra los datos del equipo, después de lo cual restaura la copia de seguridad del equipo y vuelve a cifrar los datos del equipo, Kaspersky Endpoint Security crea duplicados de las cuentas del Agente de autenticación. Para eliminar las cuentas duplicadas, emplee la utilidad klmover con la clave
dupfix. La utilidad klmover se incluye en la compilación de Kaspersky Security Center. Puede leer más sobre su funcionamiento en la ayuda de Kaspersky Security Center.Para acceder a un disco duro cifrado, es necesario utilizar un equipo en el que se haya instalado Kaspersky Endpoint Security con la característica de cifrado de disco completo. Esta precaución minimiza el riesgo de fugas de datos desde un disco duro cifrado cuando se intenta acceder al disco desde fuera de la red de área local de la empresa.
Para cifrar discos duros y discos extraíbles, puede usar la función Solo cifrar el espacio de disco usado. Se recomienda usar esta función solo para dispositivos nuevos que no se han usado anteriormente. Si está aplicando el cifrado a un dispositivo que ya está en uso, le recomendamos que cifre todo el dispositivo. De esta manera, se asegurará de que toda la información —incluida la información eliminada, que podría contener datos recuperables— esté protegida.
Antes de que comience el cifrado, Kaspersky Endpoint Security obtiene el mapa de sectores del sistema de archivos. La primera tanda de cifrado incluye los sectores que están ocupados por archivos al momento de iniciarse el cifrado. La segunda tanda de cifrado incluye los sectores que se escribieron después de iniciado el cifrado. Una vez finalizado el cifrado, todos los sectores que contienen datos estarán cifrados.
Una vez finalizado el cifrado, si un usuario elimina un archivo, los sectores que almacenaban el archivo eliminado se vuelven disponibles para almacenar información nueva a nivel del sistema de archivos, pero permanecen cifrados. Esto quiere decir que, después de un tiempo, todos los sectores de un dispositivo nuevo terminan por cifrarse, según se van guardando archivos en él, si este se cifra regularmente con la función Solo cifrar el espacio de disco usado.
El Servidor de administración de Kaspersky Security Center que controló el equipo cuando se realizó el cifrado brinda los datos necesarios para descifrar los archivos. Si el equipo que contiene los objetos cifrados estuvo, por algún motivo, controlado por un Servidor de administración diferente, existen distintos métodos para obtener acceso a la información cifrada:
- Cuando los Servidores de administración pertenecen a la misma jerarquía:
- No es necesario realizar ninguna acción. El usuario seguirá teniendo acceso a los objetos cifrados. Las claves de cifrado se distribuyen a todos los Servidores de administración.
- Cuando los Servidores de administración son independientes:
- Solicítele al administrador de la LAN que le brinde acceso a los objetos cifrados.
- Restaure de datos de dispositivos cifrados con la Utilidad de restauración.
- Restaure la configuración del Servidor de administración de Kaspersky Security Center que controló al equipo durante el cifrado desde una copia de seguridad y utilice esta configuración en el Servidor de administración que ahora controla al equipo con objetos cifrados.
Si no puede acceder a la información que se ha cifrado, siga las instrucciones especiales para el caso (Procedimiento para recuperar el acceso a archivos cifrados, Trabajar con dispositivos cifrados cuando no tenemos acceso a ellos).