Win 11 Pro - Directiva Seguridad Local Laptop para uso de USB

Xavier 0 Puntos de reputación
2025-10-23T20:41:29.02+00:00

Hola

Tengo que preparar una laptop para un usuario de la red. El equipo en cuestión dispondrá de dos usuarios, un administrador y otro usuario local.

Hasta la fecha las configuraciones de los laptops de los usuarios locales no administradores, cuando estan en modo usuario no pueden hacer uso de usb, si que pueden conectar teclado o raton, pero nada más. Si eres usuario administador si que puedes hacer uso de los archivos del usb.

Los equipos laptops por norma se pueden conectar al SSID principal de la empresa. En este caso, este equipo solo se podrá conectar al SSID de las visitas. La segunda SSID sin acceso a los servidores de la red.

El reto que se me presenta ahora es que este equipo, además de ser usado como usuario local y no conectarse a la SSID principal sino al SSID secundario-visitas, debe poder hacer uso de los usb, lectura de archivos texto, hojas de calculo, fotos, etc,. pero no debe poder ejectuar archivos ejecutables tipo bat, exe, com, etc..

Pregunta: como puedo activar una directiva de este tipo?

Alguien tiene una solución.

Gracias

Xavier

Windows para empresas | Cliente de Windows para profesionales de TI | Dispositivos e implementación | Instalación de actualizaciones, características o roles de Windows
0 comentarios

1 respuesta

Ordenar por: Lo más útil
Lo más útil Más reciente Menos reciente
  1. Domic Vo 34,970 Puntos de reputación Asesor independiente
    2025-10-23T21:22:16.9266667+00:00

    Estimado Xavier,

    Este es un escenario de seguridad común y nos complace guiarlo a través de la implementación de una política que satisfaga sus necesidades.

    Esta es la configuración de directiva recomendada

    Para lograrlo, se recomienda usar la directiva de grupo (GPO) o el control de dispositivos de Microsoft Defender para punto de conexión (MDE) para restringir el acceso a archivos ejecutables desde el almacenamiento extraíble y permitir el acceso de lectura a archivos no ejecutables.

    Opción 1: Uso de la directiva de grupo (GPO)

    1. Abra el Editor de políticas de grupo (gpedit.msc)
    2. Vaya a: Configuración de Mã Computer >
    3. Plantillas administrativas >
    4. Sistema >
    5. Acceso de almacenamiento extraíble
    6. Configure los siguientes ajustes: Discos extraíbles: Denegar acceso de ejecución → habilitado Discos extraíbles: Denegar acceso de escritura → No configurado Discos extraíbles: Denegar acceso de lectura → No configurado

    Esta configuración permite a los usuarios leer archivos, pero bloquea la ejecución de cualquier contenido ejecutable desde dispositivos USB.

    Opción 2: Uso del control de dispositivos de Microsoft Defender para punto de conexión (MDE)

    Si su organización usa Microsoft Defender para punto de conexión, puede configurar el control de acceso al almacenamiento extraíble a través de Intune o Endpoint Manager:

    Crear una directiva que bloquee la ejecución de medios extraíbles

    Permitir el acceso de solo lectura para tipos de archivos específicos

    Aplicar la directiva a grupos de usuarios que no son administradores

    Más detalles: Microsoft Learn: control de dispositivos con MDE

    Consideración del acceso a la red

    Configurar el perfil de Wi-Fi para conectarse exclusivamente a la red de invitados

    Eliminar o bloquear credenciales para el SSID principal

    Uso de directivas de aislamiento de red si se administran a través de Intune o directiva de grupo

    Hágame saber cómo va, y si esta respuesta ayuda, no dude en presionar "Aceptar respuesta" para que otros también puedan beneficiarse T&B, Domic.

    ¿Le resultó útil esta respuesta?

    0 comentarios

Su respuesta

Las respuestas pueden ser marcadas como Respuestas aceptadas por el autor de la pregunta, lo que indica a los usuarios que la respuesta resolvió su problema.