Cómo configurar el acceso de escritura a unidades extraíbles no protegidas por BitLocker en Windows

Aunque se monten como dispositivos de solo lectura, los permisos de las unidades que no están protegidas por BitLocker se pueden modificar. Esto puede mejorar la accesibilidad, reforzar la seguridad o simplificar los flujos de trabajo. Te explicamos cómo configurar el acceso de escritura a unidades extraíbles no protegidas por BitLocker y te damos recomendaciones para gestionarlas y protegerlas.

Cómo configurar el acceso de escritura en unidades sin BitLocker

Estos son los distintos métodos para configurar el acceso a una unidad sin cifrar.

Con el Editor de directivas de grupo

Sigue estos pasos para cambiar el acceso de escritura a una unidad extraíble no protegida por BitLocker desde el Editor de directivas de grupo:

1. Abre el Editor de directivas de grupo local pulsando Win + R, escribiendo «gpedit.msc» y haciendo clic en Aceptar.
2. En el panel izquierdo, ve a la carpeta Unidades de datos extraíbles siguiendo esta ruta:

Configuración del equipo → Plantillas administrativas → Componentes de Windows → Cifrado de unidad BitLocker → Unidades de datos extraíbles

3. En el panel derecho, haz doble clic en Denegar acceso de escritura a unidades extraíbles no protegidas por BitLocker.
4. Para habilitar el acceso de escritura, selecciona No configurada (la opción predeterminada) o Deshabilitada y haz clic en Aceptar. Para deshabilitarlo, selecciona Habilitada y haz clic en Aceptar.

Si quieres aplicar esta directiva a usuarios o grupos concretos, crea una consola de administración de Microsoft (MMC) personalizada que los incluya. Desde esa MMC podrás configurar su acceso de escritura a unidades extraíbles siguiendo los pasos anteriores.

Con el Editor del Registro (regedit)

Estos son los pasos para permitir o bloquear el acceso de escritura a unidades USB y otras unidades extraíbles en Windows mediante el Editor del Registro:

1. Abre el Editor del Registro pulsando Win + R, escribiendo «regedit» y pulsando Intro.
2. Ve a una carpeta concreta siguiendo esta ruta:

HKEY_LOCAL_MACHINE → SOFTWARE → Policies → Microsoft → Windows → RemovableStorageDevices → {53f5630d-b6bf-11d0-94f2-00a0c91efb8b}

3. Crea un nuevo valor DWORD de 32 bits y llámalo Deny_Write.
4. Asigna uno de estos valores antes de hacer clic en Aceptar:

• • 0: habilitar el acceso de escritura
  • 1: deshabilitar el acceso de escritura

5. Cierra el Editor del Registro y reinicia el ordenador.

Aunque solo ocupe cuatro bytes, cada valor DWORD del Registro de Windows es importante para que el SO funcione correctamente. Por eso es esencial asignar los nombres y las funciones correctas (verdadero (1) o falso (0)) a tus valores DWORD.

Con la Directiva de seguridad local

Puedes usar la Directiva de seguridad local para habilitar o deshabilitar el acceso de escritura por USB en unidades extraíbles no protegidas por BitLocker.

1. Abre la consola Directiva de seguridad local pulsando la tecla Windows + R, escribiendo «secpol.msc» y pulsando Intro.
2. Ve a la carpeta Acceso de almacenamiento extraíble por esta ruta:

Configuración del equipo → Plantillas administrativas → Sistema → Acceso de almacenamiento extraíble

3. En la columna Directiva, haz doble clic en Discos extraíbles: denegar acceso de escritura para editarla.
4. En la columna Configuración de seguridad, haz clic derecho y selecciona Habilitada para denegar el acceso de escritura o Deshabilitada para permitirlo.
5. Cierra la consola y reinicia el ordenador.

Si quieres ver los pasos de configuración y verificación, puedes ver este breve vídeo: «Cómo configurar el acceso de escritura a unidades extraíbles no protegidas por BitLocker en Windows».

Cómo probar y verificar la configuración del acceso de escritura a unidades extraíbles

Cómo comprobar que la directiva se ha aplicado correctamente

Después de configurar los ajustes de seguridad de las unidades extraíbles en Windows, puedes confirmar si se han aplicado bien.

1. Conecta tu unidad extraíble (por ejemplo, una memoria USB o una tarjeta SD) al ordenador.
2. Abre el Explorador de archivos. Haz clic derecho en la unidad y elige Propiedades.
3. Haz clic en la pestaña Seguridad. En Nombres de grupos o usuarios, elige el usuario o grupo al que se aplica esta configuración o directiva.
4. En la ventana de permisos de abajo, y según el tipo de acceso que hayas establecido, debería (o no debería) aparecer una marca de verificación en la columna Permitir junto a «Escritura».

También puedes usar la ventana Nombres de grupos o usuarios para seleccionar distintos usuarios o grupos y contrastar su configuración de seguridad; por ejemplo, para confirmar si un grupo tiene acceso de escritura a las unidades extraíbles y otro no.

Soluciones habituales si la configuración no surte efecto

Si el estado de «solo lectura» de una unidad no ha cambiado después de configurar el acceso de escritura a unidades extraíbles, prueba una de estas acciones:

• Comprueba si hay un interruptor físico: las memorias USB y las tarjetas SD suelen incluir un interruptor deslizante para bloquear o desbloquear el acceso de escritura. Si tu unidad lo tiene, asegúrate de que esté en la posición correcta.
• Comprueba el espacio de la unidad: cuando se queda sin espacio libre, la unidad pasa automáticamente al modo «solo lectura». Si es el caso, transfiere los archivos y haz una copia de seguridad antes de configurar el acceso de escritura.
• Busca virus: los virus o el malware presentes en la unidad extraíble pueden deshabilitar el acceso de escritura (e incluso el de lectura). Por seguridad, analiza la unidad con el antivirus del ordenador y elimina o soluciona cuanto antes cualquier amenaza detectada.

Seguridad y cumplimiento al configurar el acceso de escritura a unidades extraíbles

Para mitigar los riesgos de seguridad que supone habilitar el acceso de escritura en una unidad extraíble sin BitLocker, ten en cuenta las siguientes consideraciones y medidas de seguridad y cumplimiento.

Cómo mitigar las amenazas de seguridad (malware, transferencias de datos no autorizadas, etc.)

• Aprovecha al máximo el antivirus de tu dispositivo. Activa la protección en tiempo real, configura un firewall y analiza con regularidad tu dispositivo y tus unidades en busca de posible malware.
• Mantén tus dispositivos siempre actualizados. Esto se aplica no solo al software del ordenador, sino también a los controladores de tu almacenamiento extraíble.
• Desconfía de los archivos desconocidos o sospechosos de tu unidad. Evita abrirlos directamente. En su lugar, analiza la unidad y sigue las recomendaciones de tu herramienta antivirus.

BitLocker y las directivas de unidades extraíbles

¿Qué es BitLocker?

BitLocker es una función de seguridad integrada en Windows que protege tu unidad frente a accesos no autorizados mediante el cifrado de datos. Sin la clave o la contraseña correctas para descifrar la unidad, los datos que contiene aparecen codificados y resultan inaccesibles para terceros. BitLocker resulta especialmente útil cuando se pierde, se roba o se retira del servicio una unidad.

Así protege BitLocker las unidades extraíbles

El cifrado de unidad BitLocker también se aplica al almacenamiento extraíble a través de la función BitLocker To Go. Es compatible con memorias USB, tarjetas SD, discos duros externos y otras unidades formateadas con NTFS, FAT16, FAT32 o exFAT. Igual que con las unidades fijas, BitLocker cifra los datos del dispositivo extraíble y te pide que crees una contraseña o guardes una clave de recuperación generada para poder volver a acceder a los datos.

Riesgos de permitir el acceso de escritura en unidades sin protección

Aunque configurar el acceso de escritura en una unidad sin cifrar reduce los pasos necesarios para modificar sus datos, también la expone a numerosos riesgos de seguridad, entre ellos:

• Robo de datos: los datos sensibles, como registros personales y financieros, pueden ser robados o incluso modificados por usuarios no autorizados sin que te des cuenta.
• Eliminación accidental: un uso descuidado del acceso de escritura puede llevarte a borrar archivos o carpetas importantes por error, con pocas opciones de recuperarlos.
• Propagación de malware: con acceso de escritura sin restricciones, tu unidad puede acabar alojando malware introducido por terceros malintencionados, ya sea de forma física o digital.

Directivas de grupo y ajustes del Registro para gestionar el almacenamiento extraíble

Cuando varios usuarios finales de una organización guardan datos de trabajo sensibles en unidades USB, configurar correctamente el acceso de lectura y escritura a esas unidades es fundamental para la ciberseguridad de la organización. Los profesionales de TI pueden gestionar este acceso mediante directivas de grupo y ajustes del Registro, para lo cual necesitan privilegios de administrador.

Buenas prácticas para gestionar las directivas de almacenamiento extraíble

En organizaciones y entornos empresariales donde se manejan con frecuencia dispositivos de almacenamiento externo con datos sensibles, estas son las buenas prácticas para gestionar los permisos de unidades extraíbles en Windows:

• Asegúrate de que cada directiva se aplica a los usuarios y grupos correctos. Conceder acceso de escritura a unidades sin cifrar a usuarios no autorizados puede provocar la pérdida o el uso indebido de datos de trabajo importantes.
• Establece el acceso de «solo lectura» como predeterminado y desactiva la reproducción automática. En la medida de lo posible, el acceso de escritura a unidades extraíbles debería reservarse a quienes tengan privilegios de administrador. Además, desactivar la reproducción automática impide que los programas maliciosos se ejecuten solos al conectar una unidad al ordenador.
• Fomenta un almacenamiento seguro de las unidades extraíbles. Recuerda a los usuarios finales que guarden sus memorias USB, tarjetas SD y discos duros externos en lugares frescos y protegidos, como cajas fuertes o cajones con llave.

Implicaciones de cumplimiento (RGPD, HIPAA, recomendaciones del NIST, etc.)

El cumplimiento de determinadas normativas y organismos sobre el tratamiento correcto de los datos es obligatorio, tanto si has habilitado como si has deshabilitado el acceso de escritura a unidades extraíbles sin BitLocker. Estas normativas incluyen:

• RGPD: según el artículo 5(e) del Reglamento General de Protección de Datos (RGPD), relativo a la limitación del plazo de conservación, los datos personales que se traten con fines de archivo, investigación o estadística no deben conservarse de forma indefinida, sino solo mientras sean útiles. El objetivo es proteger la privacidad y la seguridad de sus titulares.
• HIPAA: la sección 164.310 de la Norma de Seguridad de la Health Insurance Portability and Accountability Act (HIPAA) subraya que las entidades que manejan información sanitaria protegida en formato electrónico (ePHI) deben establecer medidas para proteger el transporte, el uso y la gestión de los dispositivos y soportes que la contienen. Entre esas medidas están una copia de seguridad y un almacenamiento adecuados de los datos.
• NIST: la publicación especial 800-88 del National Institute of Standards and Technology (NIST) recoge directrices detalladas para el «saneamiento» de distintos tipos de soportes electrónicos, incluida la «protección [de los datos] frente a […] técnicas de recuperación […] mediante los comandos estándar de lectura y escritura del dispositivo de almacenamiento».

Otras medidas de seguridad para unidades extraíbles sin cifrar

Para proteger las unidades extraíbles, utiliza los programas y las herramientas adecuados para bloquearlas y cifrarlas. Estas son algunas acciones que puedes llevar a cabo para mantener tus unidades extraíbles (o las de otros usuarios finales) a salvo de actores maliciosos.

Aplicar el cifrado BitLocker a todas las unidades extraíbles

Quizá el método más fiable sea usar la función de cifrado nativa de Windows, en concreto BitLocker To Go, para el almacenamiento extraíble. Los usuarios pueden leer y escribir en unidades protegidas por BitLocker utilizando las contraseñas y claves de recuperación necesarias para descifrarlas. Si BitLocker no te convence, puedes recurrir a herramientas de cifrado de terceros para mantener tus unidades extraíbles bajo llave.

Implantar políticas de prevención de pérdida de datos (DLP)

Cuando se aplican, las políticas DLP identifican y protegen los datos sensibles (desde información personal hasta registros financieros) en múltiples endpoints, aportando una capa adicional de seguridad. Estas políticas se pueden personalizar según los objetivos y recursos de tu organización, así como según el tipo de datos que quieras proteger frente a terceros no autorizados y atacantes.

Auditar el acceso al almacenamiento extraíble con el Visor de eventos de Windows

Por último, puedes usar el Visor de eventos de Windows para documentar manualmente los accesos a unidades extraíbles siguiendo estos pasos:

1. Abre el Visor de eventos de Windows haciendo clic en el botón Inicio, escribiendo «visor de eventos» y seleccionando Visor de eventos.
2. En el panel izquierdo, dentro de la carpeta Registros de Windows, haz clic en Seguridad.
3. Usa los siguientes ID de evento para hacer un seguimiento de los intentos de lectura y escritura correctos o fallidos en unidades extraíbles:

• • Evento 4663: correcto
  • Evento 4656: fallido

A partir de estos registros, puedes crear o ajustar las directivas de acceso de escritura al almacenamiento extraíble en los endpoints según convenga.

Cuándo permitir o restringir el acceso de escritura a unidades extraíbles sin protección

Decidir quién puede tener acceso de escritura a las unidades extraíbles dependerá de la estructura, los objetivos y el flujo de trabajo de cada organización (que puede agilizarse al conceder ese acceso, incluso en almacenamiento sin protección). Recuerda siempre que esta decisión conlleva riesgos importantes, como una mayor exposición de los datos sensibles al robo y al uso indebido.

A menos que permitir el acceso de escritura a unidades sin protección sea absolutamente necesario, te recomendamos encarecidamente proteger todo el almacenamiento extraíble con BitLocker u otra herramienta de cifrado de terceros y actualizar de forma constante las directivas de almacenamiento para los usuarios y grupos correspondientes.