Inventariamos
1. Deja por escrito qué sale y quién lo recibe
El viernes, Marta se lleva el portátil de la gestoría para preparar nóminas el lunes desde casa. También recoge un cargador y un monitor del armario. Si solo queda un mensaje en el grupo de trabajo, dentro de seis meses nadie recordará qué pantalla recibió ni si el adaptador era suyo. En una oficina de 5 a 40 puestos, basta con que administración registre cada entrega antes de que el material salga por la puerta.
Prepara un documento con nombre de la persona, fecha, identificador del portátil, número de serie, accesorios y estado. Usa un código estable, como PORT-LABORAL-03, y enlaza el documento firmado a su ficha del inventario. Guarda una copia accesible para ambas partes. Si hay una marca en la carcasa, descríbela y adjunta una fotografía para evitar discusiones en la devolución.
Incluye las condiciones de uso: solo trabajo autorizado, sin préstamos a familiares, aviso inmediato de pérdida y canal para pedir ayuda. Indica cuándo debe volver el equipo y quién organiza la recogida. Este recibí acredita la entrega del material; las condiciones laborales del teletrabajo se documentan por separado con quien gestione vuestra relación laboral.
Revisar la entrega de PORT-LABORAL-03
- Persona, fecha y número de serie contrastados con el equipo.
- Cargador USB-C, monitor y adaptador anotados por separado.
- Estado exterior y funcionamiento revisados juntos.
- Acceso desde fuera de la oficina probado y soporte anotado.
- Recibí firmado, copia entregada y ficha actualizada.
Esta lista se despliega para repasarla; no guarda datos ni sustituye la firma. Si todavía no tenéis fichas, empieza por la guía de inventario de equipos informáticos. No necesitas recoger el domicilio particular para saber quién tiene cada portátil.
2. Cifra el disco y separa la cuenta de administración
La contraseña de inicio de sesión no basta para proteger un disco extraído del portátil. Antes de entregarlo, comprueba el cifrado y quién custodia el código de recuperación. En Windows 11 Pro, busca Administrar BitLocker desde Inicio y revisa la unidad del sistema. En equipos compatibles también puedes encontrar Configuración > Privacidad y seguridad > Cifrado del dispositivo. La disponibilidad depende de la edición y del hardware.
En macOS, abre Ajustes del Sistema > Privacidad y seguridad > FileVault. Verifica que esté activado y que la empresa tenga un procedimiento para recuperar el acceso. Guarda la información de recuperación en un repositorio corporativo protegido, con acceso limitado, separado del portátil. Una fotografía dentro de la propia mochila no sirve si desaparece todo junto.
La persona debe trabajar con una cuenta estándar. En Windows 11, un administrador puede revisar Configuración > Cuentas > Otros usuarios > Cambiar tipo de cuenta para una cuenta local. Si el equipo está gestionado por la empresa, soporte debe revisar también los permisos asignados mediante sus políticas. En Mac, comprueba el tipo de usuario en Ajustes del Sistema > Usuarios y grupos.
Mantén una cuenta administrativa separada bajo control de soporte y prueba que funciona antes de retirar privilegios. Así, instalar un programa de escáner exige una intervención prevista. Activa el bloqueo automático tras unos minutos sin uso y enseña a bloquear al levantarse: Windows + L en Windows, Control + Comando + Q en Mac. El cifrado protege el disco en reposo, pero no impide leer una sesión que alguien ha dejado abierta.
3. Prueba el acceso remoto y acuerda qué redes usar
Haz una prueba con una conexión ajena a la oficina, por ejemplo compartiendo datos desde un móvil autorizado. Abre el programa de gestión, un expediente de prueba y el correo. Si todo está en servicios web corporativos, quizá no necesites VPN. Para llegar a carpetas o aplicaciones del servidor local, soporte debe preparar una VPN o un acceso remoto controlado, con autenticación multifactor cuando el servicio lo permita.
No publiques Escritorio remoto directamente en internet abriendo el puerto del router. Tampoco compartáis una única cuenta entre las seis personas del despacho: cada una necesita su acceso para retirarlo individualmente cuando cambie de puesto. Si trabajáis mediante un escritorio remoto, comprueba las restricciones de descarga, portapapeles e impresión según los documentos que se manejen.
En casa, usa una wifi con WPA2 o WPA3, contraseña propia y router actualizado. Cambia la contraseña administrativa de fábrica y evita compartir el portátil de empresa con otros miembros de la familia. Si falla la conexión, comunica el error y la hora; desactivar el cortafuegos para probar puede crear otro problema.
En un hotel o una cafetería, prioriza los datos móviles. Si debes usar una red pública autorizada, verifica su nombre con el establecimiento, evita conexiones automáticas y utiliza el acceso seguro definido por soporte. En Windows 11 puedes revisar Configuración > Red e Internet > Wi-Fi > Administrar redes conocidas y olvidar la red al terminar. Una VPN no evita una página de suplantación ni protege de miradas sobre la pantalla.
4. Mantén el portátil al día aunque no vuelva en semanas
El equipo que solo recibe mantenimiento al conectarse a la oficina puede quedarse atrás durante una baja, un viaje o una temporada de teletrabajo. Asegúrate de que recibe actualizaciones y comunica su estado a través de internet. Anota quién revisa los avisos y cómo se contacta con la persona si lleva días sin conectarse.
En Windows 11, revisa Configuración > Windows Update; en Mac, Ajustes del Sistema > General > Actualización de software. Programa los reinicios fuera de reuniones y cierres contables, pero pon una fecha para completarlos. Dejar el portátil encendido, conectado al cargador y con internet durante la ventana acordada evita actualizaciones interrumpidas.
Revisa también navegador, aplicaciones y protección del equipo. En una flota gestionada, soporte debe comprobar el último contacto y el estado real de instalación, no conformarse con haber enviado la orden. Intune requiere una licencia y una inscripción compatibles; tener correo de Microsoft 365 no significa que el portátil ya esté administrado.
Los documentos de trabajo deben acabar en las ubicaciones corporativas previstas, como bibliotecas de SharePoint, y tener una política de copias. Comprueba que una modificación hecha desde casa aparece donde espera el resto del equipo. Sincronizar archivos no sustituye por sí solo una copia de seguridad, especialmente si también se sincronizan borrados o errores.
5. Si falta el portátil, avisa antes de intentar recuperarlo
Deja un teléfono de aviso que se pueda consultar sin abrir el ordenador. Quien pierda PORT-LABORAL-03 debe comunicar cuándo lo vio por última vez, si estaba apagado o desbloqueado y qué información llevaba. Administración registra la incidencia y soporte comprueba cifrado, última conexión y sesiones. Si hay indicios de robo, conserva número de serie y datos para la denuncia; nadie debe acudir por su cuenta a una ubicación del mapa.
Localizar, bloquear y borrar son acciones distintas. En Intune, soporte abre Dispositivos > Todos los dispositivos, selecciona el equipo y revisa las acciones compatibles. La localización requiere configuración previa y condiciones específicas. Windows no admite la acción estándar de bloqueo remoto de Intune; no prometas ese botón para todos los portátiles. Puedes consultar las plataformas compatibles con el bloqueo remoto.
En un Mac con Buscar configurado previamente, la app Buscar permite seleccionar el dispositivo para localizarlo, marcarlo como perdido o solicitar su borrado, según las opciones disponibles. Para bloquear o borrar necesita estar encendido y conectado a internet. Revisa antes de entregarlo quién controla la cuenta asociada, para no depender de credenciales personales al devolverlo. Apple explica el procedimiento en qué hacer si pierdes el Mac.
El borrado remoto con Intune también depende de que el dispositivo pueda recibir la orden. Una solicitud pendiente no acredita un borrado completado. Soporte debe confirmar el equipo y la autorización antes de enviarla, porque puede eliminar información irrecuperable. Mientras tanto, revoca sesiones y accesos comprometidos; cambiar la contraseña no borra los archivos locales. Si había datos personales, traslada la incidencia al responsable de protección de datos para valorar las actuaciones necesarias.
6. Cierra la devolución con el mismo cuidado que la entrega
Antes del último día, acuerda la recogida y compara el material con el recibí original. Enciende el portátil, revisa pantalla, teclado y cargador, y anota los accesorios pendientes. Firma la recepción con fecha y estado. Cambia su ubicación en el inventario y déjalo como pendiente de preparación, para que no se entregue a otra persona por error.
Coordina con soporte la retirada de accesos en el momento acordado: VPN, aplicaciones, sesiones y pertenencia a grupos. Conserva los documentos de trabajo en su ubicación corporativa antes de borrar nada y resuelve la asociación con Buscar cuando corresponda. Después, prepara una instalación limpia y comprueba cifrado, actualizaciones y cuentas para la siguiente entrega. La guía de altas y bajas de empleados ayuda a enlazar estas tareas con administración.
7. Qué piden la ISO 27001 y el ENS sobre los portátiles de teletrabajo
En ISO/IEC 27001:2022, el control de los equipos que salen de la oficina se reparte entre varias medidas del Anexo A: 6.7 trabajo en remoto y 8.1 dispositivos finales de usuario exigen fijar condiciones para trabajar fuera del centro y proteger la información en los portátiles mediante cifrado, bloqueo de sesión, separación de permisos, 8.5 autenticación segura, 8.7 protección contra malware y 8.8 gestión de vulnerabilidades técnicas. Todo ese recorrido se apoya en 5.9 inventario de información y otros activos asociados, 5.10 uso aceptable y 5.11 devolución de activos, para que cada ordenador tenga un responsable identificado desde la entrega hasta su recogida.
El Esquema Nacional de Seguridad (Real Decreto 311/2022, BOE-A-2022-7191), aplicable al sector público y a las empresas privadas que le prestan servicios o soluciones, contempla esta situación en la medida mp.eq.3 protección de dispositivos portátiles, que exige registrar los equipos que salen al exterior, limitar los datos almacenados en ellos y protegerlos frente a robo o extravío. Esta medida se coordina con op.exp.1 inventario de activos, op.exp.4 mantenimiento y actualizaciones de seguridad y op.acc.6 mecanismo de autenticación (usuarios de la organización). Además, cuando el portátil trata datos personales, el RGPD (art. 32 seguridad del tratamiento, art. 33 notificación de brechas en 72 h a la AEPD) y la LOPDGDD (Ley Orgánica 3/2018) hacen necesario demostrar que el disco estaba cifrado si se pierde el equipo para valorar el alcance del incidente y si corresponde notificar la brecha.
| Norma | Control | Qué evidencia guardar |
|---|---|---|
| ISO/IEC 27001:2022 | A.6.7 · A.8.1 | Normas de trabajo en remoto, estado de cifrado (BitLocker o FileVault), bloqueo automático y usuario estándar sin permisos de administrador local. |
| ISO/IEC 27001:2022 | A.5.9 · A.5.10 · A.5.11 | Ficha de inventario con responsable asignado, recibí firmado con condiciones de uso aceptable y acta de devolución al cesar o cambiar de puesto. |
| ENS (RD 311/2022) | mp.eq.3 | Registro de portátiles autorizados a salir de la oficina, cifrado activo, custodia separada de códigos de recuperación y procedimiento ante pérdida o robo. |
| ENS (RD 311/2022) | op.exp.1 · op.exp.4 · op.acc.6 | Inventario actualizado, estado de parches instalados en equipos remotos y verificación del mecanismo de autenticación para los accesos externos. |
| RGPD / LOPDGDD | Art. 32 · Art. 33 RGPD | Evidencia previa de cifrado del disco y registro de la incidencia con fecha, última conexión y valoración de brecha dentro del plazo de 72 horas. |
En una auditoría de certificación (emitida por una entidad acreditada por ENAC en España, o mediante autoevaluación cuando corresponda en categoría BÁSICA del ENS), el auditor no se conforma con que digas que los portátiles van cifrados: pedirá muestrear fichas de equipos como PORT-LABORAL-03, revisar los recibís de entrega y devolución firmados, comprobar el estado real de BitLocker o FileVault y ver el registro de actualizaciones e incidencias. En Inventariamos no certificamos ni auditamos; ayudamos a preparar y mantener esas evidencias técnicas (inventario, copias, accesos e incidencias) según el alcance acordado.
Fuentes oficiales
Cómo lo hacemos en Inventariamos
En Inventariamos vinculamos cada portátil con su persona responsable y revisamos contigo la entrega, el acceso desde casa y la devolución. Nuestro servicio de soporte remoto atiende de lunes a viernes, de 8:00 a 22:00, desde Salamanca. Cuéntanos cuántos equipos salen de tu oficina y qué aplicaciones necesitáis usar fuera para preparar su configuración y mantenimiento.