Preparar equipos nuevos para su entrega a los empleados (proceso conocido como aprovisionamiento o provisioning) va mucho más allá de simplemente sacarlos de la caja y encenderlos. Para garantizar que cada dispositivo cumpla con los estándares de seguridad de la empresa desde el primer segundo, es necesario seguir un procedimiento estructurado que asegure el cifrado, el control de acceso y las políticas de restricción.

A continuación, se detalla el plan paso a paso para realizar un despliegue seguro en equipos nuevos.

Paso 1: Configuración inicial y registro en el directorio (Onboarding)

Antes de entregar el equipo al usuario final, este debe quedar vinculado a la infraestructura de gestión y control centralizado de la organización.

Conexión a un directorio centralizado: Registra el equipo en el servicio de directorio de la empresa (como Microsoft Entra ID / Azure AD, Active Directory tradicional o soluciones MDM como Intune / Jamf). Esto permite aplicar políticas de grupo y control remoto.
Evitar cuentas locales genéricas: Nunca configures el equipo con una cuenta de usuario local estándar o anónima. El primer inicio de sesión debe realizarse utilizando las credenciales corporativas únicas del empleado.

Paso 2: Activación obligatoria del cifrado de disco (Data Encryption)

El cifrado protege la información sensible ante pérdidas o robos físicos del equipo (especialmente crítico en ordenadores portátiles).

Habilitación de tecnologías nativas: Activa BitLocker (en entornos Windows) o FileVault (en macOS).
Resguardo centralizado de claves de recuperación: Asegúrate de que la clave de recuperación de 48 dígitos se guarde automáticamente en el directorio centralizado de la empresa (por ejemplo, en la cuenta de administración de Entra ID) y no en manos del usuario final, evitando bloqueos permanentes si el equipo sufre un fallo de hardware.

Paso 3: Creación y segmentación de cuentas de usuario

El principio de «privilegio mínimo» debe aplicarse desde la primera configuración para evitar que modificaciones maliciosas o accidentales comprometan el sistema.

Cuenta de Usuario Estándar (No Administrador): La cuenta con la que operará el día a día el empleado no debe tener permisos de administrador. Esto impide que instale software no autorizado, desactive el antivirus o altere las configuraciones de seguridad del sistema.
Cuenta de Administrador IT separada: Crea una cuenta de administrador independiente y protegida con contraseña robusta y MFA, que solo se utilizará cuando sea estrictamente necesario instalar software corporativo o realizar actualizaciones de mantenimiento.

Paso 4: Despliegue de agentes de seguridad y políticas de endpoint

El equipo no debe conectarse a internet ni manejarse sin capas de defensa activas.

Instalación de EDR / Antivirus corporativo: Instala y actualiza el software de protección contra amenazas (EDR/XDR) gestionado de manera centralizada para monitorear comportamientos sospechosos y bloquear ransomware.
Políticas de firewall y restricciones USB: Configura el firewall del sistema operativo para bloquear conexiones entrantes no deseadas y, si las políticas de seguridad de la empresa lo exigen, bloquea el uso de puertos USB para almacenamiento masivo no autorizado mediante directivas de grupo.

Paso 5: Auditoría final y entrega al usuario

Verificación de cumplimiento (Compliance): Ejecuta un último chequeo desde la consola de administración para confirmar que el cifrado está activo, las actualizaciones están al día y el antivirus reporta estado saludable.
Documentación del activo: Registra el número de serie, el modelo, el usuario asignado y la fecha de entrega en el inventario tecnológico de la empresa.

Resumen del ciclo de aprovisionamiento seguro

Fase del Despliegue	Acción de Seguridad Principal	Objetivo del Paso
1. Identidad	Vinculación a Directorio / MDM	Centralizar el control y las políticas del equipo.
2. Protección	Activación de BitLocker / FileVault	Evitar la fuga de datos en caso de robo o extravío.
3. Privilegios	Creación de cuenta de usuario estándar	Impedir modificaciones no autorizadas en el sistema.
4. Defensa	Instalación de EDR y Firewall	Blindar el equipo contra ataques de red y malware.