Portátil de empresa perdido o robado: primeros pasos
Un orden práctico para dueños y responsables de oficina: cortar accesos, decidir el borrado remoto, comprobar el cifrado, denunciarlo y volver a trabajar.
Llama un empleado: le han robado el portátil del trabajo del coche, se lo dejó en un avión o sencillamente no aparece. El equipo es lo de menos. Lo que importa es a qué puede seguir accediendo ese portátil, qué datos contiene y en cuánto tiempo puede volver a trabajar la persona. Esta es una secuencia práctica para el dueño o el responsable de oficina, más o menos en el orden en que deben ocurrir las cosas.
Los primeros minutos: reunir los hechos
Pregunte al empleado con calma, mientras lo recuerda bien:
- ¿Cuándo y dónde lo tuvo por última vez? ¿Seguro que se ha perdido, o podría estar en casa o en la oficina?
- ¿Estaba apagado, en reposo o abierto con la sesión iniciada?
- ¿Qué cuentas tenía abiertas: correo, Microsoft 365 o Google, banca, contabilidad, gestor de contraseñas, VPN?
- ¿Había contraseñas guardadas en el navegador o apuntadas en la mochila?
- ¿Qué tipo de datos contenía: archivos de clientes, datos médicos o financieros, información de empleados?
- ¿Se llevaron algo más, como un teléfono, una llave de seguridad o una tarjeta de identificación?
Busque en su inventario la marca, el modelo y el número de serie. Los necesitará para la denuncia y para la aseguradora.
La primera hora: cortar el acceso
- Intente localizarlo y bloquearlo. Si el portátil está inscrito en un sistema de gestión de dispositivos, o tiene activado Buscar (Mac) o Encontrar mi dispositivo (Windows), consulte su última ubicación y bloquéelo con un mensaje que muestre un teléfono de contacto. No intente recuperar usted un equipo robado; dé la ubicación a la policía.
- Cambie la contraseña del usuario y cierre todas sus sesiones. En Microsoft 365 o Google Workspace, restablezca la contraseña y revoque las sesiones activas, para que los inicios de sesión del portátil dejen de funcionar. Haga lo mismo en cualquier otro sistema de la empresa al que estuviera conectado.
- Quite el dispositivo de la cuenta, junto con cualquier método de MFA ligado a él, y revoque el certificado VPN o el acceso remoto que tuviera el equipo.
- Cambie las credenciales compartidas guardadas en el portátil: claves de wifi, contraseñas de administrador compartidas, contraseñas de sitios de la empresa guardadas en el navegador.
- Vigile la cuenta. Revise los inicios de sesión recientes y las reglas nuevas del buzón durante los días siguientes. Una regla de reenvío que nadie creó indica que alguien entró antes de que usted actuara.
Decidir si borrarlo
El borrado remoto elimina el contenido del portátil la próxima vez que se conecte a internet. Protege los datos, pero normalmente acaba con la posibilidad de localizarlo. Si el equipo está cifrado y bloqueado, suele haber margen para esperar uno o dos días a ver si informa de su ubicación. Si no estaba cifrado o tenía datos sensibles, bórrelo cuanto antes. En cualquier caso, anote cuándo y por qué tomó la decisión.
¿Estaba cifrado?
Es la pregunta que más pesa después. Si BitLocker (Windows) o FileVault (Mac) estaban activados y el portátil estaba apagado o bloqueado, los datos del disco son muy difíciles de leer sin la contraseña o la clave de recuperación. Si el disco no estaba cifrado, cualquiera que lo extraiga puede leerlo. Compruébelo en la consola de gestión o donde se guarden las claves de recuperación, en lugar de suponerlo. El cifrado suele ser determinante para saber si la pérdida se convierte en una brecha de datos que hay que notificar.
Denunciarlo y comunicarlo
- Policía: si es un robo, presente una denuncia y guarde el número. Las aseguradoras suelen pedirlo.
- Seguro: avise pronto a su aseguradora y, si tiene seguro cibernético, también a esa compañía. Algunas pólizas exigen aviso inmediato y ofrecen una línea de ayuda para incidentes.
- Obligaciones por brecha de datos: si el portátil contenía datos personales de clientes o empleados y podían no estar protegidos, pueden aplicarse las leyes estatales de notificación de brechas, y algunos sectores tienen normas propias. Los requisitos varían según el estado y la situación, así que consulte a su abogado o al equipo de incidentes de su aseguradora antes de concluir que no hay que hacer nada.
- Clientes: si había archivos confidenciales suyos en el equipo, sus contratos pueden obligarle a informarles.
Que el empleado vuelva a trabajar
Un portátil de reserva, preparado e inscrito de antemano, es la vía más rápida. Si el trabajo del empleado está en OneDrive, SharePoint, Google Drive o un servidor con copia de seguridad, puede estar en un equipo nuevo en cuestión de horas. Si los archivos solo estaban en el portátil perdido, recuperarlos depende de que existiera una copia de ese equipo. Merece la pena corregir esa carencia en el resto del personal.
Si aparece
Trate un portátil recuperado como no fiable hasta revisarlo: alguien pudo tenerlo durante días. Copie lo que necesite y luego bórrelo y reinstálelo antes de volver a usarlo. Si está dañado, por ejemplo por un golpe, nuestro equipo de reparación de portátiles puede evaluarlo.
Que la próxima vez sea menos grave
- Cifrado en todos los portátiles, con las claves de recuperación en poder de la empresa.
- Gestión de dispositivos para poder localizar, bloquear y borrar.
- El trabajo guardado en ubicaciones con copia de seguridad, no solo en el escritorio.
- Un inventario con números de serie y quién tiene cada equipo.
- Una versión de una página de estos pasos que los responsables sepan encontrar.
Nuestra guía anterior sobre qué hacer cuando falla el portátil de un empleado cubre la versión de este problema por avería, y nuestra página de prevención de pérdida de datos explica cómo ayudamos a las empresas a proteger su información. Si acaba de desaparecer un portátil de la empresa, llame al (213) 986-4855.