¿Cuándo utilizar Truecrypt y cuándo no?
Si uno de tus portátiles se pierde, y A) tienes datos confidenciales en la máquina, o B) no puedes confirmar que NO hay datos confidenciales en el portátil, entonces necesitas algún tipo de esquema de encriptación. Por supuesto, tú (y tu organización) tenéis que decidir qué criterios queréis utilizar para considerar qué es confidencial y qué no lo es. Te recomiendo que no descuides este paso; no querrás pasar por todo este trabajo si no es necesario, ni querrás elevar el equivalente de tu organización a la receta de galletas de la oficina a un nivel de secreto que exija AES-256. Si ya has pasado por el proceso, entonces estás listo para ir.
Mi preocupación con Truecrypt es que mis usuarios tendrán 2 contraseñas necesarias para acceder a sus máquinas. Además, tengo que elegir entre tener 1 contraseña para mi organización, o documentar cuidadosamente la contraseña de cada máquina (pesadilla de gestión).
La elección entre utilizar una única contraseña para su flota de portátiles o utilizar contraseñas únicas por máquina depende de algunas cuestiones que debe tener en cuenta:
Si eliges una sola contraseña, ¿la cambiarás cada vez que alguien que la conozca deje el empleo? Si no es así, ¿con qué frecuencia la cambiará? Si eliges una contraseña única, aumentarás la seguridad pero también los gastos generales (sin embargo, no tendrás que rotar la contraseña de cada portátil cada vez que un empleado se vaya). ¿Cómo va a controlar el esquema de rotación de contraseñas?
Mi sugerencia es elegir un esquema de permutación que utilice un número que permanezca físicamente con el portátil, como parte del número de serie. Añade algo más que puedas recordar. El esquema de permutación debería ser relativamente difícil de adivinar, pero lo suficientemente fácil como para que puedas sentarte frente al portátil y no tengas que consultar la documentación. Esto debería reducir parte de la sobrecarga de gestión. Obviamente, si necesitas rotar la contraseña de un portátil, tienes que elegir un nuevo esquema de permutación con el que "generar" tu contraseña. Esto podría ser tan simple como incrementar un dígito... independientemente de documento, documento, documento.
En mi opinión, la elección entre una solución de encriptación gestionada y una libre se basa principalmente en el NÚMERO de máquinas que serán encriptadas y soportadas.
Totalmente de acuerdo aquí. 30 - 50 máquinas parece factible aquí con una solución no gestionada, PERO usted querrá pensar cuidadosamente antes de commit a ello. Pruebe un equipo de prueba para tener una idea de qué tipo de sobrecarga requerirá.
- Desde el punto de vista de la gestión, ¿cuál es el punto de inflexión de usuarios en el que una solución gestionada se amortizaría con respecto a Truecrypt?
Esto depende de si tienes más tiempo o más dinero. :D Como he dicho, hay formas de reducir los gastos generales de la solución no gestionada. La sobrecarga puede ser menor de lo que crees.
2. ¿Cuáles son algunas buenas soluciones de terceros? (Voy a considerar Bitlocker, pero el precio para actualizar las licencias de Windows 7 es una desventaja)
En mi opinión, sólo Bitlocker, pero sólo si ya tienes las licencias. TrueCrypt es un excelente producto en mi experiencia. La otra cosa que hay que mencionar sobre Bitlocker, es que todavía no se puede evitar el problema de la contraseña... Creo que la línea oficial de Microsoft es que NO recomiendan almacenar la contraseña en TPM ya que es vulnerable a un ataque de arranque en frío.
Desde TechNet : "El modo de autenticación sólo TPM es el más fácil de desplegar, gestionar y utilizar. También puede ser más apropiado para los ordenadores que están desatendidos o que deben reiniciarse mientras están desatendidos. Sin embargo, el modo sólo TPM ofrece la menor protección de datos. Si algunas partes de su organización tienen datos que se consideran altamente sensibles en ordenadores móviles, considere la posibilidad de implementar BitLocker con autenticación multifactor en esos ordenadores."
Además, la adición empresarial permite utilizar AD para almacenar "claves de recuperación" (presumiblemente copias de los archivos de claves necesarios para el cifrado. Se trata de una bonita versión integrada en Windows de la funcionalidad de disco de recuperación de TrueCrypt.
