Puntos clave
- Configúralo con la directiva de grupo: para cambiar la política de cifrado en todo el sistema, ve a Configuración del equipoPlantillas administrativasSistemaSistema de archivosNTFS y establece la directiva No permitir el cifrado en todos los volúmenes NTFS en Deshabilitada (para permitir el cifrado) o en Habilitada (para bloquearlo).
- Gestiónalo desde la línea de comandos: ejecuta fsutil behavior set disableencryption 0 en un Símbolo del sistema con privilegios elevados para activar EFS en todo el sistema, o usa fsutil behavior set disableencryption 1 para desactivarlo, y reinicia después el equipo.
- Contrólalo desde los Servicios de Windows: abre services.msc, busca el servicio Sistema de archivos de cifrado (EFS) y cambia el tipo de inicio a Manual o Automático para que pueda ejecutarse, o selecciona Deshabilitado para desactivarlo por completo.
- Cifra carpetas y archivos concretos: con EFS activo, haz clic derecho en un elemento del Explorador de archivos, selecciona Propiedades, haz clic en Avanzados dentro de los atributos y marca Cifrar contenido para proteger datos.
- Cifra con el comando cipher: ejecuta cipher /e “C:fullpathtofolder” en PowerShell o en el Símbolo del sistema para cifrar al instante un directorio concreto, y usa comillas en las rutas que contengan espacios.
⚠️ Nota importante sobre las ediciones de Windows
EFS necesita un sistema de archivos NTFS y solo es compatible con las ediciones Windows Pro, Enterprise y Education. Si usas Windows Home, las opciones que describimos a continuación aparecerán atenuadas o no estarán disponibles.
El sistema de archivos de cifrado (EFS) integrado en Windows es una de las herramientas de cifrado de archivos NTFS más útiles y accesibles. Como administrador, puedes activarlo o desactivarlo desde el Editor de directivas de grupo local (GPO), el Símbolo del sistema, PowerShell o Servicios. Si es la primera vez que vas a usar EFS, consulta nuestra guía para saber cómo y cuándo conviene recurrir al cifrado de archivos NTFS.
Qué es el cifrado de archivos NTFS (EFS)
NTFS (New Technology File System) es el sistema de archivos que se utiliza en discos duros y unidades de estado sólido (SSD). EFS, por su parte, es una utilidad integrada capaz de cifrar archivos y carpetas en unidades NTFS. Cuando está activado, EFS impide que usuarios o aplicaciones accedan a los archivos cifrados sin una clave.
A diferencia de BitLocker, que bloquea el acceso a una unidad o un volumen completo, EFS ofrece cifrado a nivel de archivo. Por eso suele aportar una capa adicional de seguridad en equipos compartidos por varios usuarios. Para entender mejor el funcionamiento de EFS, puedes ver este breve recorrido visual: «Guía de TI: ¿qué es el sistema de archivos de cifrado (EFS)?».
Cómo activar el cifrado de archivos NTFS en Windows
Hay varias formas de activar o desactivar EFS. Veamos los pasos de cada una.
Activar el cifrado NTFS con el Editor de directivas de grupo (GPO)
- Abre el Editor de directivas de grupo local. (Cómo hacerlo)
- Ve a Configuración del equipo\Plantillas administrativas\Sistema\Sistema de archivos\NTFS.
- En el panel derecho, haz doble clic en la directiva No permitir el cifrado en todos los volúmenes NTFS para modificarla.
- Selecciona Deshabilitada o déjala como No configurada (valor predeterminado) para permitir el cifrado de archivos NTFS.
- Haz clic en Aplicar y luego en Aceptar.
Activar el cifrado NTFS con el Símbolo del sistema o PowerShell
- Abre el Símbolo del sistema o PowerShell con privilegios de administrador.
- Escribe
fsutil behavior set disableencryption 0. Pulsa Intro. - Reinicia el equipo para aplicar los cambios.
Activar el cifrado NTFS desde Servicios
- Pulsa Windows+R y escribe services.msc. Pulsa Intro.
- Busca Sistema de archivos de cifrado (EFS) y haz doble clic para abrir sus Propiedades.
- Abre el menú desplegable Tipo de inicio y selecciona Manual (el valor predeterminado de Windows) o Automático.
- Haz clic en Aplicar y después en Aceptar para guardar los cambios.
Nota técnica: de forma predeterminada, Windows usa un inicio por desencadenador («Trigger Start») para EFS. Si lo dejas en Manual, el sistema operativo arranca el servicio al instante en el momento en que accedes a un archivo cifrado, lo que ahorra recursos en segundo plano cuando no se está utilizando.
Cómo desactivar el cifrado de archivos NTFS en Windows
También podemos desactivar EFS mediante GPO, el Símbolo del sistema, PowerShell o Servicios.
Desactivar el cifrado NTFS con el Editor de directivas de grupo (GPO)
- Abre el Editor de directivas de grupo local.
- Ve a Configuración del equipo\Plantillas administrativas\Sistema\Sistema de archivos\NTFS.
- En el panel derecho, haz doble clic en la directiva No permitir el cifrado en todos los volúmenes NTFS para modificarla.
- Selecciona Habilitada para impedir el cifrado de archivos NTFS.
- Haz clic en Aplicar y luego en Aceptar.
Desactivar el cifrado NTFS con el Símbolo del sistema o PowerShell
- Abre el Símbolo del sistema o PowerShell con privilegios de administrador.
- Escribe
fsutil behavior set disableencryption 1. Pulsa Intro. - Reinicia el equipo para aplicar los cambios.
Desactivar el cifrado NTFS desde Servicios
- Pulsa Windows+R y escribe «services.msc». Pulsa Intro.
- Busca Sistema de archivos de cifrado (EFS) y haz doble clic para abrir sus Propiedades.
- Abre el menú desplegable Tipo de inicio y selecciona Deshabilitado.
- Haz clic en Aplicar y después en Aceptar para guardar los cambios.
Cómo cifrar archivos o carpetas concretos en Windows
Una vez activado el cifrado de archivos NTFS, ya puedes cifrar manualmente un archivo o una carpeta con estos métodos:
Cifrar un archivo o una carpeta desde el Explorador de archivos
- Haz clic derecho en el archivo o la carpeta que quieras modificar.
- Selecciona Propiedades.
- En Atributos, haz clic en Avanzados.
- Marca la casilla Cifrar contenido para proteger datos y haz clic en Aceptar para confirmar.
- Selecciona Aplicar.
El sistema también te pedirá que decidas si quieres extender el cifrado a los archivos y carpetas relacionados. Sigue las indicaciones para continuar. Los archivos o carpetas cifrados mostrarán un icono de candado. Para desbloquearlos, repite los mismos pasos.
Cifrar un archivo o una carpeta desde el Símbolo del sistema o PowerShell
- Usa la búsqueda de Windows y escribe cmd o PowerShell. Ejecútalo como administrador.
- Utiliza el comando cipher para cifrar un archivo o una carpeta escribiendo: cipher /e
"C:\full\path\to\folder". (Asegúrate de incluir las comillas alrededor de la ruta si algún nombre de carpeta contiene espacios).
Si se usa sin parámetros, el comando cipher muestra el estado de cifrado del directorio actual. Aquí tienes la lista completa de parámetros de cipher.
Gestionar los archivos cifrados
El cifrado EFS de Windows es una herramienta muy potente para administradores de TI y responsables de contenidos. Sin embargo, la protección de datos a este nivel queda incompleta sin un buen sistema de copia de seguridad. Así puedes hacer una copia de seguridad y exportar los certificados de seguridad para su recuperación:
- Pulsa Windows + R, escribe certmgr.msc y pulsa Intro.
- Expande Personal > Certificados.
- Haz clic derecho en el certificado EFS y selecciona Todas las tareas > Exportar.
- En el Asistente para exportación de certificados, selecciona Sí, exportar la clave privada.
- Elige Intercambio de información personal (.PFX) e incluye todos los certificados de la ruta de certificación.
Para acceder a archivos cifrados en otro equipo con formato NTFS, tendrás que importar el certificado EFS y la clave privada. Ve al Administrador de certificados para importar el certificado.
Implicaciones de seguridad y buenas prácticas
EFS ofrece un cifrado fiable, sobre todo en las versiones más recientes de Windows. Aun así, sigue siendo fundamental que los administradores apliquen una directiva de grupo sólida y mantengan un sistema de copia de seguridad fiable. Dicho esto, estas son algunas consideraciones de seguridad y prácticas recomendadas para gestionar el cifrado de archivos NTFS.
Controla el acceso a las claves privadas
Un usuario no autorizado podría usar la clave para descifrar los datos. Por eso es imprescindible guardar la clave privada en un lugar seguro. También conviene limitar su acceso a los administradores de TI o al personal de seguridad. Además, es habitual que las organizaciones renueven sus claves con regularidad, para mantener la integridad de la política general de seguridad de los datos.
Cuidado con los restablecimientos de contraseña forzados: si un administrador fuerza el restablecimiento de la contraseña de una cuenta de usuario local con herramientas de gestión, ese usuario perderá de inmediato el acceso a todos sus archivos cifrados con EFS. Durante un restablecimiento forzado, Windows destruye el vínculo con la clave maestra para proteger la integridad de los datos. Antes de depender en gran medida de EFS, asegúrate siempre de tener configurado un agente de recuperación de datos de dominio (DRA) en tu red.
Mantén copias de seguridad de los certificados de recuperación
Es esencial mantener una copia de seguridad segura de las claves privadas y de los certificados de recuperación. Lo ideal es asignar al menos dos agentes de seguridad para evitar una pérdida total de datos, sobre todo si se pierde una de las claves o uno de los certificados. Si trabajas en un entorno gestionado, estas acciones se pueden automatizar y supervisar de forma remota.
Ten cuidado al transferir archivos
Los archivos cifrados con EFS pierden el cifrado al moverlos a un almacenamiento que no sea NTFS, ya que EFS no está diseñado para proteger los datos durante la transferencia. Cuando transfieras archivos, valora usar almacenamiento en el cloud u otro dispositivo o ubicación con formato NTFS. Asegúrate también de que el dispositivo receptor cumpla una política sólida de contraseñas y de seguridad de los datos.
Además de BitLocker y EFS de Windows, puedes recurrir a un software de gestión de claves de cifrado de terceros. Así reforzarás tus copias de seguridad, mejorarás la monitorización y facilitarás el cumplimiento normativo de tu organización.
Protege los archivos sensibles o elimina el cifrado cuando lo necesites. Mira Cómo activar o desactivar el cifrado de archivos NTFS en Windows.
Monitoriza el cifrado de disco en todos tus dispositivos
EFS protege archivos concretos, pero la mayoría de las organizaciones también necesitan visibilidad del cifrado de disco completo en todos sus dispositivos. NinjaOne Endpoint Management monitoriza BitLocker en Windows y FileVault en macOS, y ayuda a los equipos de TI a gestionar las claves de recuperación asociadas desde una sola consola. Consulta las preguntas frecuentes sobre gestión de endpoints de NinjaOne para descubrir cómo NinjaOne facilita la visibilidad del cifrado y el cumplimiento en todo tu parque de dispositivos.
Consulta las preguntas frecuentes sobre gestión de endpoints de NinjaOne para descubrir cómo NinjaOne ayuda a los equipos de TI a automatizar las políticas de cifrado y a garantizar el cumplimiento en todos los dispositivos.
