Qué se considera almacenamiento portátil
La categoría se define por la portabilidad y la posibilidad de extraer el medio, no por una tecnología concreta. Por eso, las políticas construidas en torno a un solo tipo de dispositivo envejecen mal.
El almacenamiento portátil es la parte de los medios extraíbles que las personas llevan de un equipo a otro, y la mayoría se conecta por USB.
| Tipo | Por qué importa |
|---|---|
| Memorias USB | Baratas, de bolsillo y legibles en casi cualquier equipo. Frecuentes en incidentes. |
| Discos duros externos y SSD | Capacidad de terabytes en una carcasa pequeña, alimentada por USB. |
| Tarjetas de memoria | Medios SD y microSD de cámaras. Pequeñas y fáciles de ocultar. |
| Teléfonos y cámaras | Vía MTP o PTP exponen su almacenamiento como volúmenes extraíbles. |
| Discos ópticos | Siguen usándose para archivo y entrega de registros en sectores regulados. |
| Unidades inalámbricas de bolsillo | Intercambian archivos por Wi-Fi o Bluetooth, sin cable ni dispositivo visible. |
Por qué conlleva un riesgo desproporcionado
Una sola unidad económica puede contener un conjunto completo de registros regulados, así que una transferencia puede significar una pérdida total. El mismo tamaño reducido que hace cómodo el medio lo hace fácil de perder. La pérdida de medios sin cifrar es una causa frecuente de incidentes reportables.
La transferencia nunca atraviesa una puerta de enlace, así que no queda un registro de red para detectarla o investigarla después. Por eso los medios portátiles son una vía discreta para la exfiltración de datos. El canal también funciona sin conexión y en entornos aislados. Los dispositivos sacan datos y traen código, y los archivos de medios personales o desconocidos eluden las defensas perimetrales. Para el sistema operativo, la unidad de un empleado, la de un contratista y la de un visitante son idénticas.
Contexto regulatorio e incidentes
Según el RGPD, perder un dispositivo portátil con datos personales es una violación que debe evaluarse y, si implica riesgo para las personas, notificarse a la autoridad de control en un plazo de 72 horas. Las guías de HIPAA tratan los medios sin cifrar perdidos o robados como reportables por defecto. PCI DSS exige controles sobre los medios que contienen datos de titulares de tarjetas, incluidas la restricción de acceso y el cifrado.
Los entornos de alta seguridad suelen prohibir por completo el almacenamiento personal y solo admiten medios emitidos, inventariados y cifrados, si los hay. La misma lógica llega a las oficinas comunes a través de la baja de empleados: copiar datos a una unidad es un acto final habitual de quien se va. Por eso, la política de medios y el proceso de baja se diseñan juntos, como parte de cualquier programa frente a amenazas internas.
Cómo se controla el almacenamiento portátil
El control se organiza por capas, desde medidas físicas hasta reglas según el contenido. Las capas de software funcionan en el DLP de endpoints:
- 1
Medidas físicas
Bloqueos de puertos y puertos USB restringidos en áreas seguras, además de la prohibición de medios personales en toda la instalación.
- 2
Reglas por puerto, clase y dispositivo
El software del endpoint permite, bloquea o fuerza acceso de solo lectura según la clase de dispositivo. Solo admite dispositivos aprobados, identificados por fabricante, modelo y número de serie.
- 3
Cifrado obligatorio
La escritura solo se permite en medios que se cifrarán. Una unidad perdida es una pérdida de hardware, no una exposición de datos.
- 4
Reglas según el contenido
Cada escritura se evalúa por lo que contiene el archivo, no solo por el dispositivo. El canal sigue abierto para el trabajo legítimo mientras se detiene el contenido regulado.
- 5
Registro y copias sombra
Cada operación sobre archivos queda registrada, y puede conservarse una copia de lo escrito: un registro que la red nunca habría tenido.
Una política que funcione
Una política de almacenamiento portátil establece qué categorías de dispositivos están permitidas, para quién y bajo qué condiciones: registro, cifrado y aprobación. También define cómo se conceden las excepciones y cuándo vencen, qué ocurre cuando alguien deja la organización y qué alternativas existen. Cuando los empleados necesitan mover archivos grandes, una ruta gestionada y aprobada evita que la política se eluda. Cuando las reglas las aplica el software, el control de USB y unidades externas las ejecuta por clase de dispositivo.
La restricción excesiva tiene un modo de fallo conocido. Cuando la ruta aprobada es lenta, los usuarios mueven datos por cuentas personales en la nube y cambian un canal controlable por uno no supervisado. Las implantaciones eficaces empiezan en modo de monitoreo, aprenden lo que el negocio hace realmente con los medios portátiles y endurecen las reglas hacia las categorías y el contenido que importan.
Bloquear todos los dispositivos el primer día es la forma más rápida de que el control de dispositivos se desactive.
Cómo se ve en Anexet
En la consola de Anexet DLP, la auditoría de dispositivos y almacenamiento se activa por perfil de agente, y una regla de bloqueo puede apuntar directamente al almacenamiento externo.
1 / 2
Por dónde empezar
Empiece por listar qué datos causarían más daño si salieran de la empresa y, después, verifique qué dispositivos y canales usa el personal para moverlos. Una política construida sobre esas respuestas sobrevive al trabajo diario, mientras que una escrita para todos los dispositivos a la vez tiende a ser eludida.
Lectura recomendada: Cómo prevenir el acceso no autorizado a tu computadora; Sistemas DLP — qué son y cómo funcionan.
Una unidad perdida es un mal día. Una copia que nadie registró es una violación que nadie conoce.
Anexet TeamCómo lo resuelve Anexet
El almacenamiento portátil es gobernado por Anexet en el endpoint, donde ocurre la escritura, combinando reglas de dispositivo con inspección de contenido para que las restricciones sean precisas y no generales:
La arquitectura on-premise mantiene las políticas de dispositivos, el contenido capturado y los registros dentro de la propia infraestructura de la organización.
Control de USB y puertos
auditoría del uso de dispositivos en puertos USB, COM y LPT, con filtrado por lista blanca o lista negra según atributos del dispositivo, número de serie, fabricante, ID de proveedor y de producto, en categorías que van desde unidades ópticas hasta dispositivos portátiles Windows.
Acceso graduado
a los dispositivos de almacenamiento se les puede dar acceso total, restringirlos a solo lectura, o negarles el acceso por completo, con el control de escritura acotado además por proceso y extensión de archivo.
Aplicación consciente del contenido
cada escritura a una unidad externa puede evaluarse por su contenido, tesauros de seguridad (35 diccionarios predefinidos), bancos de hashes, bibliotecas de huellas digitales y etiquetas de sensibilidad, de modo que las transferencias rutinarias continúen mientras se detiene el contenido regulado.
Copias sombra y rastro de auditoría
las operaciones de archivo se registran con nombre de archivo, tamaño y proceso, y se conserva una copia sombra de los archivos transferidos para investigación, un registro completo y atribuible de quién movió qué, cuándo y en qué dispositivo.
Anexet DLP
Saber más