Búsqueda de directivas de grupoDirectivas de grupo
Español

Bloquear la escritura en unidades USB con directivas de grupo

Puedes usar una directiva de grupo para impedir la escritura en unidades USB extraíbles. La directiva Discos extraíbles: denegar acceso de escritura en Habilitado deniega la escritura en la clase de almacenamiento de discos extraíbles; no bloquea la lectura ni todos los dispositivos USB. La configuración correspondiente de Storage Policy CSP tiene ámbito de dispositivo y admite Windows 10 1809 o posterior en Pro, Enterprise, Education e IoT Enterprise. Otra directiva de BitLocker puede denegar la escritura en unidades de datos extraíbles que no estén protegidas por BitLocker.

Qué comprobar después de aplicar la directiva

Esta directiva ayuda a reducir la copia no autorizada de datos de un equipo a almacenamiento USB extraíble, pero no impide todas las vías de exfiltración. Cuando se aplica, puede fallar el guardado, la modificación, la eliminación o la copia de archivos en un disco extraíble. La protección contra escritura también puede deberse a un interruptor físico o a una GPO de dominio. Si los cambios locales se revierten, comprueba la directiva de dominio y contacta con el administrador. Si se deniega el acceso al abrir la unidad, comprueba también las restricciones de lectura, otras opciones de seguridad y el estado del dispositivo.

Pasos

  1. Abre gpedit.msc y ve a Configuración del equipo › Plantillas administrativas › Sistema › Acceso de almacenamiento extraíble en Configuración del equipo.
  2. Abre Discos extraíbles: denegar acceso de escritura, selecciona Habilitado y aplica el cambio.
  3. Comprueba la directiva aplicada e intenta copiar un archivo a un disco extraíble. Una GPO de dominio puede prevalecer sobre la configuración local y requerir un cambio por parte del administrador.
  4. Para permitir la escritura según esta directiva, selecciona Deshabilitado o No configurado. Otras opciones de seguridad o el estado del dispositivo aún pueden restringir el acceso.

Alternativa en el Registro

También puedes establecer el valor de la directiva del equipo en el Registro. Es distinto de StorageDevicePolicies\WriteProtect. Consulta la página del valor de registro.

HKLM\SOFTWARE\Policies\Microsoft\Windows\RemovableStorageDevices\{53f5630d-b6bf-11d0-94f2-00a0c91efb8b}
Deny_Write (REG_DWORD)
1 = enabled
0 = disabled

En esta directiva, el DWORD Deny_Write con valor 1 deniega la escritura y con valor 0 la permite.

  1. Abre regedit con permisos de administrador. Haz una copia de seguridad de la clave de destino existente o, si no existe, de una clave superior existente. Anota si existe Deny_Write y, en tal caso, su tipo y valor actuales.

    En el Editor del Registro, selecciona la clave de destino existente o, si no existe, una clave superior existente. Elige Archivo > Exportar, indica una ubicación y un nombre de archivo y guarda la copia .reg.

  2. Crea las claves que falten y el valor DWORD Deny_Write si es necesario; establece sus datos en 1. Comprueba la directiva aplicada y prueba a copiar un archivo a un disco extraíble.

  3. Para deshacer el cambio, restaura el valor y el tipo anteriores si existía; de lo contrario, elimina solo el valor Deny_Write recién creado. Deja intactos los demás valores y claves.

Una directiva de dominio puede volver a aplicarse y sobrescribir los cambios manuales. Si una GPO controla la configuración, usa el editor de directivas o contacta con el administrador. Un 0 establecido manualmente no equivale al estado «No configurada» de la directiva de grupo.

Referencia: plantillas de directiva de Windows 11 versión 26H2 (comprobado el 2026-11-04).

Referencias