{"id":898195,"date":"2026-10-14T15:22:56","date_gmt":"2026-10-14T15:22:56","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/estaciones-de-trabajo-acceso-privilegiado\/"},"modified":"2026-10-14T15:22:57","modified_gmt":"2026-10-14T15:22:57","slug":"estaciones-de-trabajo-acceso-privilegiado","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/es\/blog\/estaciones-de-trabajo-acceso-privilegiado\/","title":{"rendered":"C\u00f3mo implementar estaciones de trabajo con acceso privilegiado (PAW) para t\u00e9cnicos"},"content":{"rendered":"<div class=\"in-context-cta\"><h2>Puntos clave<\/h2>\n<ul>\n<li>Segmenta roles y niveles: define los roles privilegiados con un modelo de niveles de seguridad (nivel 0 para identidad, nivel 1 para servidores y nivel 2 para usuarios finales) para establecer fronteras estrictas y evitar el movimiento lateral entre tareas administrativas.<\/li>\n<li>Refuerza el sistema con GPO: usa objetos de directiva de grupo para imponer una configuraci\u00f3n de seguridad coherente, como desactivar las cuentas de administrador local, bloquear el almacenamiento extra\u00edble y activar Credential Guard.<\/li>\n<li>Cifra y protege el hardware: imp\u00f3n BitLocker con cifrado XTS-AES 256 y utiliza hardware con TPM 2.0 y Arranque seguro para proteger la estaci\u00f3n de trabajo frente a ataques a nivel de firmware y accesos no autorizados al disco.<\/li>\n<li>A\u00edsla el tr\u00e1fico de red: configura firewalls basados en host para bloquear todo el tr\u00e1fico de salida a internet y crea reglas de permiso expl\u00edcitas para la infraestructura interna esencial, como los controladores de dominio y los servidores de gesti\u00f3n.<\/li>\n<li>Restringe aplicaciones con AppLocker: aplica reglas de AppLocker que solo permitan herramientas administrativas de confianza (por ejemplo, PowerShell o MMC) y denieguen de forma estricta software de alto riesgo como navegadores y clientes de correo.<\/li>\n<li>Asegura el acceso remoto: exige VPN y autenticaci\u00f3n multifactor (MFA) en todas las sesiones RDP y usa autenticaci\u00f3n basada en certificados en las PAW de nivel 0 para que solo puedan conectarse los dispositivos f\u00edsicos autorizados.<\/li>\n<\/ul>\n<\/div>\n<p>Las <strong>estaciones de trabajo con acceso privilegiado <\/strong>(PAW, por sus siglas en ingl\u00e9s) son equipos dedicados a tareas administrativas sensibles. Ofrecen un entorno seguro y aislado para las personas con privilegios elevados, y las protegen frente a amenazas y vectores de ataque.<\/p>\n<p>Separar los dispositivos de uso diario de las PAW reduce la superficie de ataque y mitiga el riesgo de movimiento lateral derivado del phishing, el malware o las <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/ciberataques-mas-comunes\/\">amenazas<\/a> basadas en el navegador.<\/p>\n<p>Si prefieres una explicaci\u00f3n visual del tema, consulta <a href=\"https:\/\/www.ninjaone.com\/videos\/it-ops\/how-to-implement-privileged-access-workstations-paws-for-technicians\/\">c\u00f3mo implementar estaciones de trabajo con acceso privilegiado (PAW) para t\u00e9cnicos<\/a>.<\/p>\n<div class=\"in-context-cta\"><p style=\"text-align: center;\">Protege las sesiones administrativas y reduce los vectores de ataque con NinjaOne Endpoint Management.<\/p>\n<p style=\"text-align: center;\">\u2192 <a href=\"https:\/\/www.ninjaone.com\/es\/supervision-gestion-de-endpoints\/free-trial\/\">Reg\u00edstrate para una prueba gratuita<\/a> o <a href=\"https:\/\/www.ninjaone.com\/es\/supervision-gestion-de-endpoints\/demo\/\">mira una demo<\/a>.<\/p>\n<\/div>\n<h2>C\u00f3mo implementar PAW paso a paso<\/h2>\n<p>Desplegar PAW requiere varios pasos y, en su mayor\u00eda, funciones de seguridad nativas de Windows, directivas de grupo y <a href=\"https:\/\/www.ninjaone.com\/es\/it-hub\/endpoint-management\/powershell\/\">PowerShell<\/a>. Los pasos siguientes te permiten crear endpoints administrativos reforzados y gobernados por pol\u00edticas.<\/p>\n<p>\ud83d\udccc <strong>Requisitos previos:<\/strong><\/p>\n<ul>\n<li>Windows 10\/11 edici\u00f3n Enterprise o Pro<\/li>\n<li>Acceso a la consola de administraci\u00f3n de directivas de grupo y a PowerShell<\/li>\n<li>Opcional: acceso a NinjaOne para la monitorizaci\u00f3n posterior al despliegue<\/li>\n<\/ul>\n<h3>Paso 1: define los casos de uso y la segmentaci\u00f3n de las PAW<\/h3>\n<p>Definir los casos de uso de las PAW ayuda a construir un modelo zero trust para el acceso administrativo. Este paso crea una frontera entre los dispositivos de uso diario y las estaciones de trabajo destinadas a operaciones privilegiadas.<\/p>\n<p>\ud83d\udccc <strong>Caso de uso<\/strong>: separa los dispositivos de uso diario de las estaciones de trabajo usadas para operaciones privilegiadas<\/p>\n<h4>(A) Identifica los roles privilegiados<\/h4>\n<p>Haz una lista de los usuarios del equipo que necesitan acceso elevado o privilegiado. Haz una lista de los usuarios del equipo que necesitan acceso elevado o privilegiado. Para evitar el robo de credenciales, conviene segmentar los roles con el modelo de seguridad por niveles:<\/p>\n<p><strong>Modelo de seguridad por niveles actualizado<\/strong><\/p>\n<ul>\n<li>Nivel 0 (el m\u00e1s alto)\n<ul>\n<li>Control directo de la identidad corporativa (Active Directory, controladores de dominio, Azure AD\/Entra ID). Estos usuarios necesitan las PAW f\u00edsicas m\u00e1s restringidas.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<ul>\n<li>Nivel 1\n<ul>\n<li>Servidores corporativos, administraci\u00f3n de bases de datos e infraestructura en el cloud. Estos usuarios acceden a datos sensibles, pero no a \u00ablas llaves del reino\u00bb.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<ul>\n<li>Nivel 2\n<ul>\n<li>Dispositivos de usuario final y soporte est\u00e1ndar. Estos administradores gestionan estaciones de trabajo y tareas de help desk.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<p><strong>Regla fundamental:<\/strong> el acceso solo fluye <strong>hacia abajo<\/strong>, nunca <strong>hacia arriba<\/strong>. Un administrador de nivel 0 usa una PAW de nivel 0 para gestionar los niveles 0, 1 y 2. Un administrador de nivel 2 no puede acceder a una PAW de nivel 0.<\/p>\n<h4>(B) Define la finalidad de cada PAW<\/h4>\n<p>Asigna las PAW seg\u00fan los niveles para aislar y proteger las operaciones privilegiadas.<\/p>\n<ul>\n<li>Nivel 0: gesti\u00f3n de identidades\n<ul>\n<li>Los administradores del nivel 0 se encargan de administrar Active Directory (AD), los controladores de dominio (DC) y otros componentes del sistema. Los usuarios de nivel 0 tienen los privilegios de acceso m\u00e1s altos y pueden crear o modificar cuentas de usuario, gestionar pol\u00edticas de seguridad y controlar la configuraci\u00f3n de red.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<ul>\n<li>Nivel 1: administraci\u00f3n de servidores<\/li>\n<\/ul>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li>Los administradores del nivel 1 se encargan de los servidores de infraestructura, el despliegue de aplicaciones y el mantenimiento. Tienen autoridad para gestionar servicios, pero no pueden acceder a las funciones de identidad del nivel 0.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<ul>\n<li>Nivel 2: soporte al usuario final\n<ul>\n<li>Los administradores del nivel 2 prestan soporte al usuario final y realizan el mantenimiento rutinario, incluidas instalaciones de software y resoluci\u00f3n de problemas. Estos privilegios son limitados para no afectar a los servidores ni al funcionamiento de toda la red.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<p>\ud83d\udca1<strong> Consejo<\/strong>: no debe haber movimiento lateral entre niveles. Es decir, los administradores de recursos de nivel 0 nunca deber\u00edan iniciar sesi\u00f3n en sistemas de nivel 1 o 2 desde la misma PAW.<\/p>\n<h4>(C) Limita el uso para reforzar la seguridad<\/h4>\n<p>Conviene reforzar las PAW para evitar que se vean comprometidas, a\u00f1adiendo restricciones de software y pol\u00edticas de uso:<\/p>\n<ul>\n<li>Sin navegaci\u00f3n por internet\n<ul>\n<li>Bloquea el tr\u00e1fico HTTP y HTTPS, o lim\u00edtalo a servicios internos de actualizaci\u00f3n aprobados, ya que el acceso a internet es un vector de ataque importante.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<ul>\n<li>Sin clientes de correo\n<ul>\n<li>El correo electr\u00f3nico es un vector de alto riesgo para el phishing y el malware. En su lugar, usa una estaci\u00f3n de trabajo aparte o una sesi\u00f3n de infraestructura de escritorios virtuales (VDI) para acceder al correo.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<ul>\n<li>Sin aplicaciones personales\n<ul>\n<li>Proh\u00edbe las aplicaciones no aprobadas: chats, software de productividad, reproductores multimedia, navegadores, etc.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<h3>Paso 2: aplica directivas de grupo para el refuerzo y las restricciones de aplicaciones<\/h3>\n<p>Los objetos de directiva de grupo (GPO) son un m\u00e9todo escalable y aplicable para implementar una configuraci\u00f3n de seguridad coherente en todas las PAW. Este paso garantiza que el comportamiento del sistema queda bloqueado, que las funciones de alto riesgo est\u00e1n desactivadas y que los mecanismos de control de acceso se aplican de forma uniforme.<\/p>\n<p>\ud83d\udccc <strong>Caso de uso<\/strong>: estandariza el refuerzo de las estaciones de trabajo mediante ajustes de GPO aplicables<\/p>\n<p>\ud83d\udccc <strong>Requisito previo<\/strong>: privilegios de administrador<\/p>\n<ol>\n<li>Pulsa <strong>Win + R<\/strong>, escribe <strong>gpedit.msc<\/strong> y pulsa <strong>Intro<\/strong>.<\/li>\n<li>Recorre las rutas siguientes y activa o desactiva la funci\u00f3n, seg\u00fan lo que necesites.\n<ul>\n<li>Para bloquear el acceso a almacenamiento extra\u00edble:\n<ul>\n<li><strong>Configuraci\u00f3n del equipo &gt; Plantillas administrativas &gt; Sistema &gt; Acceso de almacenamiento extra\u00edble<\/strong><\/li>\n<\/ul>\n<\/li>\n<li>Para desactivar la cuenta de administrador local:\n<ul>\n<li><strong>Configuraci\u00f3n del equipo &gt; Configuraci\u00f3n de Windows &gt; Configuraci\u00f3n de seguridad &gt; Directivas locales &gt; Opciones de seguridad<\/strong><\/li>\n<\/ul>\n<\/li>\n<li>Para activar Credential Guard y Device Guard:\n<ul>\n<li><strong>Configuraci\u00f3n del equipo &gt; Plantillas administrativas &gt; Sistema &gt; Device Guard<\/strong><\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<h3>Paso 3: activa BitLocker y el cifrado del dispositivo<\/h3>\n<p>En este paso se activa y se impone <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/gestion-cifrado-unidad-bitlocker-rmm\/\">BitLocker con est\u00e1ndares de cifrado robustos<\/a> alineados con las pol\u00edticas de seguridad de la organizaci\u00f3n.<\/p>\n<p>\ud83d\udccc <strong>Caso de uso<\/strong>: cifra las unidades de sistema de la PAW con cifrado robusto para impedir el acceso no autorizado a los datos del disco y a las credenciales<\/p>\n<p>\ud83d\udccc <strong>Requisito previo<\/strong>: privilegios de administrador<\/p>\n<p>Para activar BitLocker con PowerShell, sigue estos pasos:<\/p>\n<ol>\n<li>Pulsa <strong>Win<\/strong>, escribe <strong>PowerShell<\/strong> y haz clic en <strong>Ejecutar como administrador<\/strong>.<\/li>\n<li>Copia y pega el siguiente script en la consola y pulsa <strong>Intro<\/strong>:\n<ul>\n<li><strong><code>Enable-BitLocker -MountPoint \"C:\" -EncryptionMethod XtsAes256 -UsedSpaceOnly -TpmProtector -RecoveryPasswordProtector<\/code><\/strong><\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<h4>Comprobaci\u00f3n de la integridad del hardware<\/h4>\n<p>Para obtener la m\u00e1xima seguridad, usa hardware compatible con TPM 2.0 y Arranque seguro. Si es posible, elige dispositivos Secured-core PC. As\u00ed proteger\u00e1s la PAW frente a ataques a nivel de firmware (rootkits) que el antivirus convencional podr\u00eda no detectar.<\/p>\n<p>\ud83d\udca1 Nota: crea una copia de la clave de recuperaci\u00f3n por si la necesitas en el futuro. Para ello, sigue estos pasos:<\/p>\n<ol>\n<li>Pulsa Inicio, escribe BitLocker y selecciona Administrar BitLocker en la lista de resultados.<\/li>\n<li>Selecciona Hacer copia de seguridad de la clave de recuperaci\u00f3n junto a la unidad que quieras copiar.<\/li>\n<li>Elige d\u00f3nde quieres guardar la copia de la clave.<\/li>\n<li>Pulsa Finalizar.<\/li>\n<\/ol>\n<p>\u26a0\ufe0f <strong>Advertencia: <\/strong>una configuraci\u00f3n incorrecta del TPM puede provocar fallos de arranque o un cifrado irrecuperable (para m\u00e1s informaci\u00f3n, consulta: <a href=\"#things-to-look-out-for\"><em>aspectos a tener en cuenta<\/em><\/a>).<\/p>\n<h3>Paso 4: configura el aislamiento de red y del firewall<\/h3>\n<p>Controla de forma estricta las comunicaciones de red de la PAW para minimizar su superficie de ataque.<\/p>\n<p>\ud83d\udccc <strong>Caso de uso<\/strong>: impide que las PAW accedan a internet, pero permite la conectividad con los servidores internos de gesti\u00f3n y la infraestructura de actualizaciones<\/p>\n<p>\ud83d\udccc <strong>Requisito previo<\/strong>: privilegios de administrador<\/p>\n<ol>\n<li>Pulsa <strong>Win<\/strong>, escribe <strong>PowerShell<\/strong> y haz clic en <strong>Ejecutar como administrador<\/strong>.<\/li>\n<li>Copia y pega el siguiente script en la consola y pulsa <strong>Intro<\/strong>:\n<ul>\n<li><strong><code>New-NetFirewallRule -DisplayName \"Block Internet\" -Direction Outbound -RemoteAddress 0.0.0.0\/0 -Action Block<\/code><\/strong><\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p>Tras bloquear el tr\u00e1fico de salida, crea reglas de permiso espec\u00edficas para la infraestructura cr\u00edtica:<\/p>\n<ul>\n<li>Endpoints de actualizaci\u00f3n<\/li>\n<li>Servidores RMM o de gesti\u00f3n<\/li>\n<li>Sistemas de registro o monitorizaci\u00f3n<\/li>\n<li>Servidores DNS y resoluci\u00f3n de nombres interna<\/li>\n<\/ul>\n<p>Valora tambi\u00e9n colocar las PAW en su propia VLAN (red de \u00e1rea local virtual) dedicada. Permite el tr\u00e1fico \u00fanicamente hacia:<\/p>\n<ul>\n<li>Servicios administrativos internos<\/li>\n<li>Infraestructura de actualizaciones controlada<\/li>\n<\/ul>\n<p>Las VLAN ofrecen fronteras aplicables a nivel de red.<\/p>\n<h3>Paso 5: restringe el acceso a las aplicaciones<\/h3>\n<p>Este paso garantiza que solo puedan ejecutarse las herramientas administrativas de confianza, bloqueando aplicaciones innecesarias o potencialmente peligrosas que podr\u00edan servir como vectores de ataque.<\/p>\n<p>\ud83d\udccc <strong>Caso de uso<\/strong>: impide la ejecuci\u00f3n de software no esencial o de alto riesgo en las PAW<\/p>\n<p>\ud83d\udccc <strong>Requisito previo<\/strong>: privilegios de administrador<\/p>\n<h3>Consejo profesional: no te quedes fuera<\/h3>\n<p>Antes de cambiar AppLocker a <strong>\u00abAplicar reglas\u00bb<\/strong>, config\u00faralo en <strong>\u00abSolo auditor\u00eda\u00bb<\/strong> durante 3-5 d\u00edas.<\/p>\n<ul>\n<li><strong>Revisa el Visor de eventos:<\/strong> ve a Registros de aplicaciones y servicios &gt; Microsoft &gt; Windows &gt; AppLocker.<\/li>\n<li><strong>Identifica los bloqueos:<\/strong> busca entradas que se\u00f1alen herramientas administrativas cr\u00edticas (como plugins concretos de RMM, agentes de NinjaOne o diagn\u00f3sticos especializados) que se habr\u00edan bloqueado.<\/li>\n<li><strong>Ajusta las reglas:<\/strong> a\u00f1ade excepciones para estas herramientas antes de activar la restricci\u00f3n estricta, para no dejar inservible tu propio flujo de trabajo.<\/li>\n<\/ul>\n<p><strong>Para configurar AppLocker:<\/strong><\/p>\n<ol>\n<li>Pulsa <strong>Win + R<\/strong>, escribe <strong>gpmc.msc<\/strong> y pulsa <strong>Intro<\/strong>.<\/li>\n<li>Recorre la siguiente ruta:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong>Configuraci\u00f3n del equipo &gt; Configuraci\u00f3n de Windows &gt; Configuraci\u00f3n de seguridad &gt; Directivas de control de aplicaciones &gt; AppLocker<\/strong><\/p>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li>Permitir:\n<ul>\n<li>MMC<\/li>\n<li>PowerShell<\/li>\n<li>Consolas administrativas<\/li>\n<\/ul>\n<\/li>\n<li>Denegar:\n<ul>\n<li>Navegadores, clientes de correo, redes sociales y aplicaciones de mensajer\u00eda<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<h3>Paso 6: configura el acceso remoto y la obligatoriedad de MFA<\/h3>\n<p>Imponer MFA (autenticaci\u00f3n multifactor), acceso por VPN y una gesti\u00f3n controlada de las sesiones garantiza que las conexiones administrativas remotas sean seguras y queden limitadas a usuarios autorizados.<\/p>\n<p>\ud83d\udccc <strong>Caso de uso<\/strong>: habilita un acceso RDP seguro y gobernado por pol\u00edticas a los hosts privilegiados, imponiendo VPN, MFA, l\u00edmites de sesi\u00f3n y control de acceso basado en el endpoint<\/p>\n<p>\ud83d\udccc <strong>Requisito previo<\/strong>: privilegios de administrador<\/p>\n<h4>(A) Exigir VPN para el acceso RDP remoto (protocolo de escritorio remoto)<\/h4>\n<ul>\n<li>Exige que todo el acceso administrativo remoto pase por un t\u00fanel VPN seguro.<\/li>\n<li>Restringe el RDP en el per\u00edmetro de la red mediante firewalls.<\/li>\n<\/ul>\n<p>Esto a\u00f1ade una capa segura y garantiza que el cliente se encuentra en un segmento de red de confianza. Esta configuraci\u00f3n evita que los puertos RDP queden expuestos directamente a internet.<\/p>\n<p><strong>Nota:<\/strong> en las PAW de nivel 0, recurre a la <strong>autenticaci\u00f3n basada en certificados<\/strong> a trav\u00e9s de la VPN. As\u00ed te aseguras de que solo el <em>dispositivo PAW f\u00edsico concreto<\/em> pueda intentar conectarse a la red de gesti\u00f3n, lo que impide que cualquier dispositivo no autorizado llegue siquiera a ver la pantalla de inicio de sesi\u00f3n.<\/p>\n<h4>(B) Crear una regla de firewall de entrada para RDP<\/h4>\n<ol>\n<li>Pulsa <strong>Win<\/strong>, escribe <strong>cmd<\/strong> y haz clic en <strong>Ejecutar como administrador<\/strong>.<\/li>\n<li>Copia y pega el siguiente script en la consola y pulsa <strong>Intro<\/strong>:\n<ul>\n<li><strong><code>netsh advfirewall firewall add rule name=\"Allow Admin RDP\" dir=in action=allow protocol=TCP localport=3389<\/code><\/strong><\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<h2 id=\"things-to-look-out-for\">\u26a0\ufe0f Resoluci\u00f3n de problemas y aspectos a tener en cuenta<\/h2>\n<table style=\"width: 471px;\">\n<tbody>\n<tr>\n<td style=\"text-align: center; width: 154px;\"><strong>S\u00edntomas o riesgos<\/strong><\/td>\n<td style=\"text-align: center; width: 148px;\"><strong>Causas probables o posibles consecuencias<\/strong><\/td>\n<td style=\"text-align: center; width: 169px;\"><strong>Soluciones o pasos para revertir<\/strong><\/td>\n<\/tr>\n<tr>\n<td style=\"width: 154px;\">Las herramientas administrativas no se abren<\/td>\n<td style=\"width: 148px;\">Una pol\u00edtica de AppLocker mal configurada est\u00e1 bloqueando las aplicaciones necesarias por falta de reglas de permiso.<\/td>\n<td style=\"width: 169px;\">Abre los registros de eventos de AppLocker en <strong>Visor de eventos &gt; Registros de aplicaciones<\/strong> y <strong>servicios &gt; Microsoft &gt; Windows &gt; AppLocker<\/strong> y busca las reglas que bloquean la ejecuci\u00f3n.<\/td>\n<\/tr>\n<tr>\n<td style=\"width: 154px;\">Los ajustes de GPO \u00abdesaparecen\u00bb (desviaci\u00f3n de pol\u00edticas)<\/td>\n<td style=\"width: 148px;\">Hay anulaciones locales o GPO de dominio en conflicto que sobrescriben tus ajustes.<\/td>\n<td style=\"width: 169px;\">Ejecuta gpresult \/h report.html en CMD para identificar qu\u00e9 pol\u00edtica gana el conflicto.<\/td>\n<\/tr>\n<tr>\n<td style=\"width: 154px;\">Error de Credential Guard<\/td>\n<td style=\"width: 148px;\">La seguridad basada en virtualizaci\u00f3n (VBS) est\u00e1 desactivada en la BIOS.<\/td>\n<td style=\"width: 169px;\">Entra en la BIOS\/UEFI y comprueba que \u00abVirtualization Technology\u00bb y \u00abVT-d\u00bb est\u00e1n activados.<\/td>\n<\/tr>\n<tr>\n<td style=\"width: 154px;\">Red desconectada<\/td>\n<td style=\"width: 148px;\">Las reglas de salida del firewall son demasiado restrictivas. Se bloquea el tr\u00e1fico hacia los servidores internos de actualizaci\u00f3n, el DNS o los controladores de dominio.<\/td>\n<td style=\"width: 169px;\">Revisa el conjunto de reglas del firewall y crea reglas de permiso expl\u00edcitas para los rangos de IP de gesti\u00f3n interna, los servidores WSUS, el DNS y los sistemas de autenticaci\u00f3n.<\/td>\n<\/tr>\n<tr>\n<td style=\"width: 154px;\">La clave de BitLocker no se guarda<\/td>\n<td style=\"width: 148px;\">El TPM (m\u00f3dulo de plataforma segura) no est\u00e1 inicializado ni listo para el cifrado con BitLocker.<\/td>\n<td style=\"width: 169px;\">Abre TPM.msc para comprobar su estado. Si no est\u00e1 disponible, inicializa el TPM desde la BIOS\/UEFI o desde el SO.<\/td>\n<\/tr>\n<tr>\n<td style=\"width: 154px;\">El RDP se bloquea de forma inesperada<\/td>\n<td style=\"width: 148px;\">Los ajustes de GPO o del registro han desactivado el acceso remoto o lo han limitado solo a redes autorizadas.<\/td>\n<td style=\"width: 169px;\">Comprueba la configuraci\u00f3n de Escritorio remoto en <strong>Propiedades del sistema &gt; Configuraci\u00f3n remota<\/strong>.<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center; width: 154px;\"><strong>Riesgos<\/strong><\/td>\n<td style=\"text-align: center; width: 148px;\"><strong>Posibles consecuencias<\/strong><\/td>\n<td style=\"text-align: center; width: 169px;\"><strong>C\u00f3mo revertirlos<\/strong><\/td>\n<\/tr>\n<tr>\n<td style=\"width: 154px;\">Una configuraci\u00f3n incorrecta del TPM o unas GPO err\u00f3neas pueden provocar fallos de arranque o un cifrado irrecuperable<\/td>\n<td style=\"width: 148px;\">Puedes perder datos por no tener claves de recuperaci\u00f3n<\/td>\n<td style=\"width: 169px;\">Guarda copias de las claves de recuperaci\u00f3n en AD o en Azure AD.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Servicios de NinjaOne para escalar el despliegue de PAW<\/h2>\n<p>Con NinjaOne, los MSP pueden escalar el despliegue de <a href=\"https:\/\/learn.microsoft.com\/en-us\/security\/privileged-access-workstations\/privileged-access-devices\" target=\"_blank\" rel=\"noopener\">PAW<\/a>, mantener la estandarizaci\u00f3n y reducir el riesgo sin sacrificar productividad. Concretamente, NinjaOne mejora la estrategia de PAW al:<\/p>\n<ul>\n<li>Desplegar l\u00edneas base reforzadas mediante scripts de pol\u00edticas equivalentes a las GPO<\/li>\n<li>Ejecutar scripts de PowerShell de forma remota para validar el firewall, BitLocker o las restricciones de aplicaciones<\/li>\n<li>Monitorizar el estado y el nivel de parches de las estaciones de trabajo administrativas<\/li>\n<li>Etiquetar las PAW por separado en el inventario para informes, auditor\u00edas y cumplimiento<\/li>\n<li>Alertar sobre instalaciones de software no autorizadas o desviaciones de pol\u00edticas en los endpoints PAW<\/li>\n<\/ul>\n<div class=\"in-context-cta\"><p style=\"text-align: center;\">Mejora la seguridad de las sesiones administrativas con un mayor control sobre los accesos de los usuarios.<\/p>\n<p style=\"text-align: center;\">\u2192 <a href=\"https:\/\/www.ninjaone.com\/es\/supervision-gestion-de-endpoints\/\">Descubre NinjaOne Endpoint Management.<\/a><\/p>\n<\/div>\n<h2>Administraci\u00f3n remota segura gracias a las PAW<\/h2>\n<p>Las estaciones de trabajo con acceso privilegiado separan la actividad administrativa sensible de la inform\u00e1tica de uso general. Al aislar las credenciales y proteger los endpoints utilizados para la administraci\u00f3n de dominios o sistemas, los MSP y los equipos de TI reducen el riesgo de que una brecha escale o de que se produzca un compromiso de identidad.<\/p>\n<p><strong>Temas relacionados:<\/strong><\/p>\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/it-hub\/endpoint-security\/what-is-privileged-access-management-pam\/\">\u00bfQu\u00e9 es la gesti\u00f3n de acceso privilegiado (PAM)?<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it-hub\/endpoint-security\/what-is-identity-access-management-iam\/\">\u00bfQu\u00e9 es la gesti\u00f3n de identidades y accesos (IAM)?<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it-hub\/endpoint-management\/what-is-a-workstation\/\">\u00bfQu\u00e9 es una estaci\u00f3n de trabajo?<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/desactivar-red-windows-sandbox\/\">C\u00f3mo activar o desactivar la red en Windows Sandbox<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/supervision-gestion-de-endpoints\/control-de-acceso-basado-en-roles\/\">Simplifica la seguridad y los permisos con el control de acceso basado en roles<\/a><\/li>\n<\/ul>\n<div class=\"quick-start-guide\"><h2><svg width=\"45\" height=\"45\" viewBox=\"0 0 45 45\" fill=\"none\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\">\n<path d=\"M41.4822 0H3.51778C1.57496 0 0 1.57496 0 3.51778V41.4822C0 43.425 1.57496 45 3.51778 45H41.4822C43.425 45 45 43.425 45 41.4822V3.51778C45 1.57496 43.425 0 41.4822 0Z\" fill=\"#053856\"\/>\n<path d=\"M30.4399 13.9904C28.9161 12.4475 26.9127 11.6737 24.4346 11.6737C23.0721 11.6737 21.8188 11.911 20.6794 12.3858C19.5401 12.8605 18.5859 13.5346 17.8168 14.4129V11.2654L12.2766 13.867V32.562H18.0779V22.4739C18.0779 20.6224 18.5099 19.2267 19.3787 18.2867C20.2474 17.3515 21.4105 16.8815 22.8727 16.8815C24.1877 16.8815 25.1894 17.285 25.8825 18.0968C26.5756 18.9086 26.9222 20.1334 26.9222 21.7808V32.562H32.7234V21.2728C32.7234 18.2393 31.9591 15.5285 30.4399 13.9856V13.9904Z\" fill=\"#04FF88\"\/>\n<\/svg>Gu\u00eda de inicio r\u00e1pido<\/h2><p>NinjaOne ofrece varias funciones de seguridad que pueden ayudarte a implementar estaciones de trabajo con acceso privilegiado (PAW) para t\u00e9cnicos:<\/p>\n<ol>\n<li><b data-stringify-type=\"bold\">Control de acceso basado en roles<\/b>:\n<ul>\n<li>NinjaOne ofrece roles y permisos granulares para los t\u00e9cnicos<\/li>\n<li>Puedes crear roles personalizados con niveles de acceso espec\u00edficos<\/li>\n<li>A los t\u00e9cnicos se les pueden asignar roles con acceso limitado o controlado a dispositivos y sistemas<\/li>\n<\/ul>\n<\/li>\n<li><b data-stringify-type=\"bold\">Gesti\u00f3n de roles de dispositivo<\/b>:\n<ul>\n<li>Posibilidad de crear y asignar roles de dispositivo personalizados<\/li>\n<li>Configuraci\u00f3n de pol\u00edticas y controles de acceso espec\u00edficos para distintos tipos de dispositivo<\/li>\n<li>Permite la asignaci\u00f3n avanzada de roles de dispositivo en el momento del registro<\/li>\n<\/ul>\n<\/li>\n<li><b data-stringify-type=\"bold\">Controles de acceso remoto<\/b>:\n<ul>\n<li>Ajustes de acceso remoto configurables<\/li>\n<li>Permite restringir y controlar c\u00f3mo acceden los t\u00e9cnicos a los dispositivos<\/li>\n<li>Compatible con diversas herramientas de acceso remoto con permisos granulares<\/li>\n<\/ul>\n<\/li>\n<li><b data-stringify-type=\"bold\">Scripts de seguridad<\/b>:\n<ul>\n<li>Scripts para reforzar la seguridad, como:\n<ul>\n<li>Desactivar las herramientas de administrador local<\/li>\n<li>Establecer requisitos m\u00ednimos de contrase\u00f1a<\/li>\n<li>Activar\/desactivar el firewall de Windows<\/li>\n<li>Auditar cuentas de usuario<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p>Aunque NinjaOne ofrece herramientas s\u00f3lidas para apoyar la implementaci\u00f3n de PAW, tendr\u00e1s que combinar estas funciones con las pol\u00edticas de seguridad concretas de tu organizaci\u00f3n y con t\u00e9cnicas adicionales de refuerzo para desplegar por completo una estrategia de estaciones de trabajo con acceso privilegiado.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Las estaciones de trabajo con acceso privilegiado (PAW, por sus siglas en ingl\u00e9s) son equipos dedicados a tareas administrativas sensibles. Ofrecen un entorno seguro y aislado para las personas con privilegios elevados, y las protegen frente a amenazas y vectores de ataque. Separar los dispositivos de uso diario de las PAW reduce la superficie de [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":543340,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4357,3025],"tags":[],"class_list":["post-898195","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-operaciones-de-ti","category-it-ops"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/898195","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/comments?post=898195"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/898195\/revisions"}],"predecessor-version":[{"id":898196,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/898195\/revisions\/898196"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/media\/543340"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/media?parent=898195"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/categories?post=898195"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/tags?post=898195"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}