Procedimiento portátil perdido o robado para IT
Un procedimiento de portátil perdido o robado empieza por bloquear la cuenta y forzar el cierre de sesión en todas partes, y después activar un bloqueo o borrado remoto a través de la inscripción MDM del equipo, ambos dentro de los primeros minutos tras el aviso. Presentar una denuncia por robo, avisar a un responsable y actualizar el registro de activos importan, pero llegan después de asegurar la cuenta y los datos, no antes. El orden es lo esencial: un procedimiento que empieza por el papeleo en lugar del bloqueo remoto deja una ventana abierta sin motivo.
- Bloquee la cuenta y fuerce el cierre de todas las sesiones en minutos tras el aviso, antes de cualquier otra cosa.
- Active un bloqueo o borrado remoto por MDM si el equipo está inscrito; no espere primero a una denuncia.
- Presente una denuncia por robo, o un registro interno de incidentes por pérdida, y anote el número de referencia en el activo.
- Avise a seguridad o cumplimiento el mismo día si el equipo podía contener datos regulados o de clientes, no en la próxima auditoría.
- Cierre el caso marcando el activo como perdido o robado en el registro y retirando sus licencias de software para no pagar un puesto duplicado.
¿Qué es un procedimiento de portátil perdido o robado?
Un procedimiento de portátil perdido o robado es una secuencia de acciones escrita y ordenada que se activa en cuanto un empleado informa de un equipo desaparecido, para que la respuesta no dependa de qué persona de IT atienda la llamada ni de lo urgente que parezca ese día. Cubre tres cosas en un orden fijo: asegurar la cuenta y los datos, informar del incidente a las personas adecuadas, y actualizar el registro de activos para que el equipo deje de tratarse como material activo.
Sin un orden escrito, el instinto natural es preguntar primero, hay que denunciar, había algo sensible en él, de quién es la culpa, y bloquear la cuenta al final. Ese orden está invertido: cada minuto extra que la cuenta permanece abierta es un minuto en el que alguien más podría leer el correo o abrir una sesión VPN desde el equipo desaparecido.
¿Qué debe hacer IT en la primera hora tras el aviso?
La primera hora tiene tres fases, cada una con un plazo más corto de lo que parece necesario:
| Plazo | Acción | Quién lo hace |
|---|---|---|
| 0 a 5 minutos | Desactivar la cuenta o forzar un reinicio de contraseña y revocar sesiones y tokens activos | Soporte IT, durante la llamada con el empleado |
| 5 a 20 minutos | Activar un bloqueo remoto, o un borrado remoto si no hay una investigación policial en curso que exija dejarlo intacto | Soporte IT, vía MDM |
| 20 a 60 minutos | Avisar al responsable del empleado y, si pueden estar implicados datos regulados o de clientes, a seguridad o cumplimiento | Soporte IT o el responsable de guardia |
El bloqueo de la cuenta y el bloqueo remoto se hacen en paralelo con el empleado, no después de que cuelgue. Esperar un formulario de incidente completo antes de tocar la cuenta es la razón más común por la que se pierde esta ventana.
¿Cambia la respuesta entre un portátil perdido y uno robado?
La primera hora es idéntica en ambos casos: bloquear la cuenta, activar la acción remota, avisar a las personas adecuadas. Lo que cambia es lo que viene después. Un portátil robado necesita una denuncia, tanto porque algunas aseguradoras exigen el número de denuncia antes de pagar un siniestro como porque deja constancia legal del robo. Un portátil perdido suele quedar como un incidente interno: una entrada de registro interno con la fecha, la última ubicación conocida y la cuenta del empleado, sin denuncia salvo que después resulte que contenía datos que activan una obligación de notificación de brecha.
La distinción importa por otra razón: un portátil dado como perdido que reaparece debe volver a inscribirse y verificarse antes de volver a usarse, no simplemente devolverse. Un equipo que estuvo fuera del control de IT, aunque sea brevemente, no debería volver a servicio solo por confianza.
¿Cómo se bloquea o borra el equipo de forma remota?
El mecanismo depende de en qué estaba inscrito el equipo cuando se entregó, que es exactamente por qué la inscripción en la entrada importa más que cualquier paso tomado después de que el equipo ya haya desaparecido. Un portátil inscrito en una plataforma MDM, ya sea Apple Business Manager con Find My, Microsoft Intune, o una consola de Google endpoint management, normalmente puede bloquearse o borrarse a distancia la próxima vez que se conecte a internet, incluso si está apagado en el momento en que se emite la orden; la orden queda en cola y se ejecuta en la siguiente conexión. La guía de Apple sobre el bloqueo de activación es un ejemplo claro de cómo un bloqueo sobrevive a un intento de restablecimiento de fábrica en un equipo perdido, que es exactamente la propiedad que importa aquí.
Un equipo sin inscripción MDM y solo con cifrado de disco local, BitLocker o FileVault, no puede borrarse a distancia; el cifrado solo impide leer los datos, no llega a un equipo que ya está fuera de contacto. Ese hueco es el argumento más sólido para hacer obligatoria la inscripción MDM en la entrega en lugar de opcional, como se explica más abajo.
En InventorIA, un equipo sincronizado desde Microsoft Intune muestra la etiqueta «Gestionado por Intune» en su ficha, así que saber si un portátil concreto está inscrito no requiere una búsqueda aparte en la consola MDM.
¿Hay que presentar una denuncia por un portátil robado?
Sí, en caso de robo, y el número de denuncia debe registrarse en el historial de incidentes del activo, no solo guardarse en un hilo de correos. Dos razones hacen que la denuncia merezca la pena aunque la recuperación sea poco probable: la mayoría de las pólizas de seguro que cubren equipos robados exigen el número de denuncia antes de tramitar un siniestro, y una denuncia presentada marca la diferencia entre una sospecha interna y un incidente documentado si el equipo reaparece de una forma que importe legalmente.
Un portátil simplemente perdido, sin indicios de robo, no necesita denuncia por defecto. Presentarla igualmente rara vez cambia el resultado, y tratar toda pérdida como un robo infla el papeleo sin añadir protección donde el riesgo real son los datos, no el hardware.
¿Quién más debe saber que un portátil está perdido o robado?
Tres personas o equipos además de soporte IT tienen un interés real en el incidente, cada uno por una razón distinta:
- El responsable del empleado, para que la pérdida quede registrada para el equipo y una solicitud de préstamo o sustitución no sea una sorpresa.
- Seguridad o cumplimiento, el mismo día, si el equipo podía razonablemente contener datos regulados, registros de clientes, o credenciales con acceso permanente a sistemas de producción. Decidir si el incidente se convierte en una brecha notificable es decisión suya, no de IT, pero no pueden decidirlo sin ser informados con rapidez. La guía de respuesta a brechas de datos de la FTC explica con claridad por qué el plazo de notificación empieza al descubrirlo, no al confirmar un daño.
- Finanzas o compras, en cuanto se solicita un equipo de sustitución, para que el coste se impute a la partida presupuestaria correcta en vez de aparecer después como una compra sin explicar.
¿Cómo se cierra el caso en el registro de activos?
El incidente no se cierra cuando se bloquea la cuenta, se cierra cuando el registro coincide con la realidad. Eso significa cuatro actualizaciones el mismo día, no en la próxima auditoría: marcar el estado del equipo como perdido o robado en lugar de borrar la ficha, para que su historial siga siendo consultable; retirar o reasignar sus licencias de software, la misma comprobación cubierta en encontrar licencias SaaS sin usar, para que un portátil desaparecido no mantenga abierto indefinidamente un puesto pagado; registrar la fecha del incidente y el número de referencia en el activo; y abrir una solicitud de sustitución que siga la misma política de ciclo de vida que una renovación planificada, para que el equipo nuevo no sea una excepción fuera de política. Un registro que refleje esto el mismo día marca la diferencia entre una búsqueda de cinco minutos en la próxima auditoría y un nuevo censo de toda la flota; vea cómo es ese registro en la práctica con una cuenta gratuita de InventorIA.
¿Cómo se evita el próximo incidente?
Ninguna de estas medidas elimina el riesgo de que un portátil desaparezca, pero cada una acorta la ventana de respuesta o reduce lo que realmente queda expuesto cuando ocurre:
- Cifrado completo de disco activado y verificado en la entrega, no supuesto porque el sistema operativo lo soporte
- Inscripción MDM obligatoria para todo portátil antes de salir de IT, sin excepciones para directivos ni contratistas
- Un tiempo de bloqueo de pantalla inferior a cinco minutos, para que un portátil sin vigilancia un momento no sea una sesión abierta
- Una etiqueta de activo o un número de serie grabado, que aumenta de forma real las probabilidades de que un equipo perdido se devuelva en lugar de quedarse
- Una norma permanente contra dejar un portátil visible en un coche aparcado o en equipaje facturado en avión, dos formas habituales de que un portátil se pierda
Preguntas frecuentes
¿Cuál es el primer paso cuando un empleado informa de un portátil perdido o robado?
Bloquee la cuenta y revoque las sesiones activas de inmediato, mientras sigue al teléfono con el empleado. Todo lo demás, el borrado remoto, la denuncia, la actualización del registro, sigue en la misma hora, pero la cuenta va primero.
¿Debo presentar una denuncia por un portátil de empresa robado?
Sí. La mayoría de los seguros que cubren equipos robados exigen el número de denuncia antes de tramitar un siniestro, y crea una constancia documentada del robo. Un portátil simplemente perdido, sin indicios de robo, no la necesita por defecto.
¿Se puede borrar a distancia un portátil apagado?
Sí, si está inscrito en una plataforma MDM. La orden de borrado queda en cola y se ejecuta automáticamente la siguiente vez que el equipo se conecte a internet, incluso tras estar apagado un tiempo. Un equipo sin inscripción MDM no puede alcanzarse así.
¿Cuánto debería durar todo el procedimiento de portátil perdido o robado?
El bloqueo de la cuenta y el borrado remoto ocurren en los primeros veinte minutos. La notificación y la denuncia, cuando hace falta, ocurren el mismo día. Cerrar la actualización del registro de activos también debería ocurrir el mismo día, no en la próxima auditoría.
Siga el estado de un equipo sin perder su historial
Mantenga en una sola ficha el número de serie, el propietario asignado y el historial de ciclo de vida de cada portátil, para saber siempre qué se perdió y quién lo tenía.
Probar la demo →