System Guard Secure Launch es una función de seguridad integrada en Windows que protege el sistema validando el firmware y el hipervisor durante el proceso de arranque. Dicho esto, no se puede activar sin más: hace falta conocer a fondo otras funciones y ajustes de Windows. Esta guía repasa los requisitos clave y los métodos principales para activar o desactivar System Guard Secure Launch en sistemas compatibles.
¿Prefieres un resumen visual? Mira nuestra guía sencilla: Cómo activar o desactivar System Guard Secure Launch para proteger el firmware en Windows.
Requisitos previos y métodos para gestionar los ajustes de System Guard Secure Launch
Antes de hacer cualquier cambio, revisa estos requisitos de sistema y de acceso:
✔️ Se necesita firmware UEFI compatible con Secure Boot.
✔️ El TPM 2.0 debe estar activo y habilitado.
✔️ Hyper-V y la seguridad basada en virtualización (VBS) deben ser compatibles y estar habilitados.
✔️ Necesitas privilegios de administrador.
Método 1: activar o desactivar mediante directiva de grupo
Este método está disponible tanto en Windows 10 (1903+) como en Windows 11. En Windows 10, el ajuste puede no aparecer si no se han actualizado las plantillas ADMX.
Las herramientas de gestión de directivas de grupo están disponibles en las ediciones Pro, Enterprise y Education de Windows. Este método con GPO es el recomendado para despliegues masivos.
- Pulsa Win + R, escribe gpedit.msc y pulsa OK para abrir el Editor de directivas de grupo local.
- Ve a Configuración del equipo → Plantillas administrativas → Sistema → Device Guard.
- Haz doble clic en Activar inicio seguro.
- Selecciona Habilitada para aplicar Secure Launch en el arranque o Deshabilitada para desactivarlo. También puedes dejarlo en No configurada, con lo que se seguirá el valor predeterminado del sistema o el ajuste del registro.
- Haz clic en Aplicar y luego en OK para confirmar y salir.
- Reinicia el sistema para que el cambio surta efecto.
ℹ️ Nota: puedes ejecutar el comando gpupdate /force para aplicar los cambios de inmediato. Echa un vistazo a esta demostración en vídeo de GPUpdate. Si no, los nuevos ajustes se aplicarán en el siguiente intervalo.
Cuando está habilitado, Secure Launch valida el firmware y los componentes críticos de arranque frente a mediciones basadas en hardware.
Método 2: configurar Secure Launch con el Editor del Registro
Este método admite despliegues mediante scripts y es el recomendado para sistemas sin acceso a GPO. Funciona tanto en Windows 10 como en Windows 11, aunque Windows 11 ofrece mejor información en la interfaz para verificarlo.
- Pulsa Win + R, escribe regedit y pulsa OK para abrir el Editor del Registro.
- Navega o copia y pega esta ruta en la barra de direcciones del Registro: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard
- Modifica o crea el valor EnableSecureLaunch. (Para crearlo) En el panel derecho, haz clic derecho → Nuevo → Valor DWORD (32 bits). Omite este paso si el valor ya existe.
- Haz doble clic en el valor y establece la Información del valor en 1 para activarlo o en 0 para desactivarlo.
- Haz clic en OK para confirmar.
⚠️Advertencia: los cambios involuntarios en el Registro de Windows pueden afectar al rendimiento y la estabilidad del sistema. Aprende a hacer una copia de seguridad del Registro y a crear un punto de restauración antes de configurar la base de datos.
Script de PowerShell para configurar Secure Launch
También puedes usar este script de PowerShell para modificar los valores del registro.
Activar Secure Launch:
- Abre PowerShell desde la Búsqueda y selecciona Ejecutar como administrador.
- Usa el siguiente comando para activar Secure Launch:
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\DeviceGuard" `
-Name "EnableSecureLaunch" -Value 1
Desactivar Secure Launch:
- Abre PowerShell desde la Búsqueda y selecciona Ejecutar como administrador.
- Usa el siguiente comando para activar Secure Launch:
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\DeviceGuard" `
-Name "EnableSecureLaunch" -Value 0
Después de aplicar los cambios, reinicia el dispositivo. También puedes usar el Registro de Windows para comprobar que los valores se han actualizado correctamente.
Nota: funciona igual en Windows 10 y en Windows 11. En Windows 10, verifícalo con PowerShell o con el Registro.
Secure Launch: otras consideraciones y consejos
Ten en cuenta estos puntos importantes antes de activar o desactivar la función Secure Launch:
- Secure Boot debe estar habilitado en la UEFI para que Secure Launch funcione.
- BitLocker: activar Secure Launch puede provocar que en el siguiente arranque se solicite la clave de recuperación. Suspende BitLocker antes de hacer cambios.
- Compatibilidad: requiere Intel vPro (Coffee Lake o posterior) o AMD Zen 2 o posterior, TPM 2.0, Secure Boot y extensiones de virtualización. Los dispositivos antiguos pueden no arrancar con Secure Launch activado.
- Hyper-V y VBS: asegúrate de que ambos estén habilitados en el firmware y en los ajustes de seguridad de Windows.
Además, los problemas con Secure Launch suelen requerir una resolución compleja. Conviene probarlo primero en un grupo piloto, verificar la compatibilidad de los controladores y medir los tiempos de arranque y el rendimiento del sistema.
¿Cuándo conviene activar System Guard Secure Launch?
System Guard Secure Launch añade una capa de protección sólida durante el proceso de arranque del sistema. Por eso puede ser fundamental en las estrategias de despliegue de entornos empresariales y en los endpoints clave del negocio.
Los administradores pueden gestionar esta función fácilmente con directivas de grupo, el Registro o PowerShell para cumplir con los requisitos de cumplimiento de la seguridad y reforzar los protocolos de protección de datos. Eso sí, ten presente que esta activación no es adecuada para dispositivos antiguos. Además, el equipo de TI debe comprobar periódicamente si el programa está cumpliendo sus objetivos, sobre todo porque de vez en cuando pueden surgir problemas de compatibilidad.
