Seguridad y continuidad operativa

Antes de reparar una computadora o actualizar su firmware, comprueba que tu empresa puede recuperar la clave de BitLocker desde otro dispositivo. Tenerla guardada solo en el equipo que podría bloquearse no resuelve la emergencia.

Una computadora de administración puede funcionar hoy y pedir una clave de recuperación después de un cambio de hardware. Eso no demuestra por sí solo una infección ni significa que el disco esté averiado: el mecanismo de protección puede detectar cambios en el entorno de arranque y exigir una comprobación adicional.

Esta guía trata un problema vigente de continuidad operativa, no una vulnerabilidad ni una actualización defectuosa recién anunciada. Contrastamos dos documentos oficiales de Microsoft con una guía independiente de How-To Geek de 2022. Consulta: 2 de noviembre de 2026. El procedimiento de control propuesto es una recomendación de Tiser; las opciones concretas dependen de la edición de Windows, el equipo y las políticas de la organización.

Clave de recuperación, identificador y respaldo: no son lo mismo

Microsoft Support llama “clave de recuperación” al número de 48 dígitos que solicita Windows. La documentación administrativa distingue ese número, denominado contraseña de recuperación, de un archivo de clave en un medio extraíble. En esta guía usamos el nombre habitual de la pantalla para el número de 48 dígitos.

No es la contraseña de tu correo, el PIN de Windows Hello ni la contraseña con la que normalmente inicias sesión. Además, un equipo puede tener varios volúmenes protegidos y registros históricos: una clave asociada al nombre de una computadora no debe darse por correcta sin revisar su identificador.

Por qué puede aparecer la pantalla después de un mantenimiento

Microsoft enumera entre los posibles desencadenantes ciertos cambios de BIOS o UEFI, la desactivación o limpieza del TPM, el reemplazo de la tarjeta madre y el traslado de una unidad protegida a otra computadora. No significa que cada actualización vaya a exigir recuperación ni que todos los equipos se comporten igual.

Si la solicitud es inesperada, registra qué ocurrió antes: mantenimiento, cambio de componente, traslado del disco o alteración de la configuración de arranque. El objetivo no es simplemente quitar la pantalla, sino entender la causa. Si sospechas manipulación no autorizada, preserva el contexto y escala la revisión antes de continuar con cambios.

Evita “probar” borrando el TPM, modificando opciones de arranque al azar o restableciendo Windows. Esas acciones pueden complicar la recuperación o eliminar archivos. Una actualización planificada debe incluir respaldo, una ruta de recuperación y una ventana de trabajo, no solo el instalador del fabricante.

Localiza la clave antes de entregar el equipo

Para una clave respaldada en una cuenta personal, Microsoft indica su portal oficial de claves de recuperación. En organizaciones, indica la consulta con cuenta de trabajo o escuela; puede ser necesario acudir al área de TI si no tienes permisos. Verifica que el inicio de sesión corresponde a Microsoft y no uses enlaces recibidos en mensajes sospechosos.

También puede existir una copia impresa o guardada en un USB, según lo elegido al configurar la protección. Un archivo de texto en un USB se consulta desde otro dispositivo; no debe confundirse con otros mecanismos de arranque mediante claves. Conserva esas copias en un lugar controlado y separado del equipo.

Diseña una custodia que funcione cuando el responsable no esté

Microsoft recomienda controlar quién puede obtener las contraseñas de recuperación y almacenarlas de forma segura, separadas de los dispositivos que protegen. Para equipos corporativos administrados, la documentación propone centralizar la información en Entra ID o Active Directory, según el tipo de unión.

En una pyme sin esa infraestructura, define con soporte un depósito seguro, responsables y una alternativa de acceso autorizada. No conviertas la cuenta personal de un exempleado en el único mecanismo de recuperación de un activo empresarial. Tampoco guardes una copia únicamente dentro del mismo disco cifrado o en un archivo sincronizado que nadie más pueda abrir.

El acceso debe ser restringido: quien obtiene una clave válida puede desbloquear el volumen correspondiente. Si un taller necesita acceder al sistema, acuerda el alcance y el canal de entrega; cuando sea viable, el responsable puede introducirla directamente. No la pegues en una etiqueta sobre la laptop ni la agregues a un correo distribuido a todo el equipo.

Después de usar o revelar una clave durante soporte, pide al administrador evaluar su rotación mediante las herramientas admitidas y comprobar que la nueva información quedó respaldada. No elimines registros a mano antes de confirmar la protección vigente y la posibilidad de recuperación.

Suspender temporalmente no equivale a descifrar

Microsoft explica que, en determinados cambios planificados de hardware o firmware, suspender temporalmente la protección puede evitar una recuperación inesperada. Los datos permanecen cifrados, pero la suspensión modifica las condiciones de protección durante el trabajo: no debe dejarse como solución permanente.

El administrador debe decidir si corresponde suspender, siguiendo la documentación del fabricante y la política del equipo; después debe verificar que la protección se reanudó. No confundas “Suspender protección” con “Desactivar BitLocker”, que implica descifrar la unidad. Tampoco presupongas el número de reinicios: el comportamiento depende del método y de la configuración utilizada.

La revisión de una clave no requiere provocar un bloqueo en la computadora de producción. Forzar recuperación para comprobarla sin preparación añade un riesgo innecesario. Si se necesita ensayar el desbloqueo completo, hazlo como una prueba técnica controlada, con respaldo y autorización operativa.

Si ya apareció la pantalla de recuperación

Una clave correcta no repara automáticamente un disco con daño físico ni reemplaza un plan de respaldo. Del mismo modo, un respaldo de documentos no reconstruye por sí solo todas las aplicaciones y configuraciones necesarias para volver a operar.

Prueba administrativa de diez minutos, sin bloquear Windows

Como ejemplo hipotético, la computadora de facturación irá a mantenimiento mañana. Hoy, un responsable autorizado consulta el inventario, localiza la clave desde otro equipo y confirma con TI la correspondencia del identificador. Otro responsable comprueba que puede acceder al procedimiento de emergencia y que existe un respaldo reciente recuperable.

La evidencia del ensayo puede registrar equipo, fecha, unidad, resultado y custodio, sin copiar el secreto. Si la consulta falla, la acción pendiente es resolver la custodia antes del mantenimiento. Así conviertes una suposición en una comprobación y reduces la dependencia de una sola persona.