PPSK para dispositivos de tiendas minoristas: una lista de verificación de implementación para cajas registradoras, escáneres y CCTV en Cisco Meraki y Juniper Mist

Las claves privadas precompartidas (PPSK) asignan a cada caja registradora, escáner, impresora y pantalla su propia clave de WiFi dentro de un solo SSID. Cada clave se vincula a una VLAN (LAN virtual), una política y un límite de ancho de banda, manteniendo las cajas separadas de la señalización digital y del sistema de CCTV. Vincule las claves a direcciones MAC y revoque la clave de un dispositivo perdido de forma individual. Cisco Meraki lo denomina Identity PSK; Juniper Mist lo llama Multi PSK.

¿Qué hace realmente PPSK por los dispositivos en las tiendas minoristas?

La mayoría de las tiendas construyen la red WiFi para sus dispositivos por accidente. Los escáneres se conectan al SSID del personal. Las pantallas de señalización se unen a cualquier red que el instalador haya detectado. Una cámara inalámbrica termina en la red de invitados. Todo comparte una única contraseña que no se ha cambiado desde que abrió la tienda.

PPSK soluciona esto sin requerir que el dispositivo haga nada nuevo. El dispositivo sigue viendo un solo SSID e ingresa una frase de contraseña WPA2-Personal. El cambio ocurre del lado de la red. Cada dispositivo recibe una frase de contraseña diferente. El punto de acceso vincula cada frase de contraseña con una identidad, ya sea de forma local o consultando a un servidor RADIUS. Luego aplica la VLAN, las reglas de firewall y el límite de ancho de banda asociados a esa identidad. RADIUS es el protocolo que utiliza un punto de acceso para preguntar a un servidor central quién es un dispositivo y a qué puede acceder.

Tres consecuencias fundamentales para una tienda:

• Separación por identidad. Una caja registradora y un reproductor de señalización en el mismo SSID terminan en VLAN distintas, con reglas de firewall diferentes.
• Aislamiento. Bajo IEEE 802.11i, cada dispositivo deriva sus claves de sesión a partir de su propia frase de contraseña. Cualquiera que tenga una frase de contraseña compartida y capture un handshake puede derivar las claves de sesión de otro dispositivo. Con PPSK, si se filtra la clave de una pantalla, no se puede descifrar el tráfico de la caja registradora.
• Revocación centralizada. Elimine una clave y un solo dispositivo perderá el acceso. Nada más cambia en la tienda.

Dónde se ubica PPSK entre sus tres redes

Purple Access opera tres redes en una sola plataforma, y la identidad define la VLAN en cada una. La red abierta atiende a los compradores a través de un Captive Portal, detallado en nuestra guía de Captive Portals. La red segura atiende al personal mediante 802.1X y EAP-TLS. 802.1X es el estándar para autenticar cada dispositivo antes de que se conecte. EAP-TLS es el método que utiliza un certificado en el dispositivo. El personal también puede iniciar sesión con Microsoft Entra ID, Okta o Google Workspace, como se muestra en Okta WiFi Authentication: Setup Steps, Options and Fixes.

Los certificados siguen siendo la opción predeterminada para las personas. La red xPSK cubre todo lo que no puede albergar uno: cajas registradoras, escáneres portátiles, impresoras de recibos, reproductores de señalización y CCTV inalámbrico. Utilizamos el mismo modelo para residentes en edificios de apartamentos, explicado en Multifamily WiFi: how isolation, xPSK and billing work. Para conocer el modelo de seguridad completo, consulte nuestra guía de seguridad WiFi.

PPSK en comparación con las alternativas

Método	Lo que contiene el dispositivo	Revocar un dispositivo	VLAN y política por dispositivo	Infraestructura adicional	Ideal para
PSK compartida	Una frase de contraseña compartida por todos los dispositivos	Cambiar la clave de cada dispositivo en el SSID	No, una VLAN por SSID	Ninguna	Nada que maneje pagos
PPSK (Meraki Identity PSK, Mist Multi PSK)	Su propia frase de contraseña, opcionalmente vinculada a su MAC	Eliminar una clave	Sí, por clave	Meraki: RADIUS para vinculación MAC. Mist: ninguna con Cloud PSK	Cajas registradoras, escáneres, impresoras, señalización, CCTV
IEEE 802.1X con EAP-TLS	Un certificado de cliente	Revocar un certificado	Sí, por identidad	Servidor RADIUS e infraestructura de clave pública (PKI)	Laptops y teléfonos del personal bajo MDM
Omisión de autenticación MAC	Nada: la dirección MAC es la identidad	Eliminar una dirección MAC	Sí, por dirección MAC	Servidor RADIUS	Dispositivos cableados que no admiten otra opción

MDM significa administración de dispositivos móviles, el sistema que envía la configuración a los teléfonos, escáneres y laptops propiedad de la empresa.

¿Qué necesita antes de implementar PPSK en sus tiendas?

La mayor parte del trabajo ocurre antes de crear una sola clave. Tenga esto listo primero:

• Un inventario de dispositivos por tienda. Registre la clase de dispositivo, marca, modelo, dirección MAC, si la MAC es fija, los modos de seguridad compatibles y las bandas de radio.
• Un plan de segmentación. Acuerde una VLAN por clase de dispositivo con quien sea responsable de los contratos de pagos, CCTV y señalización.
• Trunking de VLAN para cada punto de acceso. Cada puerto de enlace ascendente del AP debe transportar la VLAN de cada segmento, o los dispositivos se asociarán y no obtendrán una dirección IP.
• Reglas de firewall por segmento. Documente a qué puede acceder cada segmento antes de configurar cualquier cosa.
• Acceso a la consola. Necesita derechos de administrador a nivel de organización en el Dashboard de Meraki o en el portal de Juniper Mist.
• Una decisión sobre dónde se almacenan las claves. Las claves pueden estar en el propio SSID, en un servidor RADIUS o en un servicio de claves en la nube. La siguiente tabla conecta la infraestructura de su empresa con una opción.
• Control MDM de los escáneres Android. Lo necesitará para fijar la dirección MAC por red y enviar las claves de forma remota.
• Un responsable del registro de claves. Los dispositivos tienen altas, cambios y bajas al igual que el personal. Alguien debe registrar cada clave emitida y cada clave revocada.

Su infraestructura	Dónde deben almacenarse las claves	Vinculación MAC	Por qué
Solo Cisco Meraki, una clave por clase de dispositivo	Identity PSK sin RADIUS, claves almacenadas en el SSID	No disponible	Inicio más rápido, pero una clave filtrada funciona en cualquier dispositivo
Cisco Meraki, una clave por dispositivo	Identity PSK con RADIUS, apuntando a un servicio RADIUS en la nube	Sí, búsqueda por dirección MAC	Cada clave solo funciona para el dispositivo al que se le emitió
Solo Juniper Mist	Mist Cloud PSK	Sí, con claves de un solo uso	Nativo de la nube de Mist, con VLAN por clave, rol y expiración
Entorno mixto: Meraki más HPE Aruba, Ruckus, Mist o Ubiquiti UniFi	Purple Access xPSK como RADIUS en la nube	Sí	Un registro de clave para todos los proveedores, sin necesidad de reemplazar infraestructura

¿Cómo se configura PPSK en Cisco Meraki y Juniper Mist?

Paso 1: diseñar el mapa de clave a segmento

Diseñe los segmentos antes de tocar cualquier consola. Este mapa mantiene la seguridad del WiFi de las terminales de pago separada de todo lo que no necesita acceder a los pagos.

Clase de dispositivo	Segmento	Puede acceder a	Política de ancho de banda	Alcance de la clave
Terminales de pago y cajas registradoras	Pagos	Solo procesador de pagos y servidor de caja	Sin límite, máxima prioridad	Una por dispositivo, vinculada a MAC
Escáneres portátiles	Operaciones de tienda	Sistemas de inventario, pedidos y gestión de dispositivos portátiles	Límite por dispositivo	Una por dispositivo, vinculada a MAC
Impresoras de recibos y etiquetas	Operaciones de tienda	Servidores de caja e impresión	Límite bajo por dispositivo	Una por dispositivo, vinculada a MAC
Reproductores de señalización digital	Señalización	Sistema de gestión de contenidos y servidores de actualización	Límite por dispositivo	Una por dispositivo, vinculada a MAC
Cámaras de CCTV inalámbricas	CCTV	Solo grabador de video en red	Margen reservado a la velocidad de bits de la cámara	Una por dispositivo, vinculada a MAC

Mantenga un número reducido de segmentos. Cinco segmentos por tienda son suficientes para la mayoría de las propiedades, y cada VLAN adicional debe configurarse como trunk hacia cada AP.

Paso 2: Cisco Meraki e Identity PSK

Meraki aplica la política por clave mediante políticas de grupo, así que créelas primero. En el Meraki Dashboard, cree una política de grupo por segmento. Cada política establece la etiqueta VLAN, el límite de ancho de banda y las reglas de firewall de Capa 3 y Capa 7 para ese segmento.

A continuación, abra la configuración de control de acceso para el SSID de sus dispositivos. Meraki ofrece dos modos de Identity PSK:

• Identity PSK sin RADIUS. Introduce las claves directamente en el SSID y asigna cada clave a una política de grupo. No hay vinculación MAC disponible, por lo que cualquier dispositivo que conozca una clave obtiene la política de esa clave.
• Identity PSK con RADIUS. El punto de acceso envía la dirección MAC del dispositivo a su servidor RADIUS. El servidor devuelve la frase de contraseña y la política de grupo para esa dirección MAC. Una clave solo funciona para el dispositivo al que fue emitida.

Para las cajas registradoras y cualquier dispositivo en el segmento de pagos, utilice el modo RADIUS. Las páginas de documentación de Cisco "IPSK without RADIUS" e "IPSK with RADIUS Authentication" proporcionan los pasos exactos para cada modo.

Paso 3: Juniper Mist y Multi PSK

En el portal de Juniper Mist, configure la WLAN de sus dispositivos para utilizar varias frases de contraseña. Mist ofrece tres fuentes de claves: claves almacenadas localmente en la WLAN, Cloud PSKs guardadas a nivel de organización o claves devueltas por un servidor RADIUS.

Para una red de tiendas, Cloud PSK es la opción nativa. Cada Cloud PSK lleva su propia VLAN, rol y fecha de expiración. Configure los dispositivos de la tienda en modo de uso único, lo que vincula la clave a la primera dirección MAC que se conecte con ella. Luego, utilice el rol de cada clave en sus políticas WxLAN para controlar a qué puede acceder ese segmento. Aplique límites de ancho de banda para restringir el consumo en señalización digital y escáneres. La documentación de Multi PSK de Juniper cubre las configuraciones de WLAN y los campos de Cloud PSK en su totalidad.

Paso 4: Purple Access como un registro único de claves entre múltiples fabricantes

La mayoría de los entornos de retail operan con más de un fabricante de hardware tras adquisiciones y remodelaciones. Purple Access ejecuta la red xPSK como RADIUS en la nube, por lo que un solo registro de claves atiende a todas las tiendas. Los SSID de Meraki apuntan Identity PSK con RADIUS hacia Purple. Las WLAN de Mist utilizan RADIUS como la fuente de claves. Purple devuelve la clave por dispositivo, la VLAN y la política para cada dirección MAC.

El mismo modelo funciona en Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks y Fortinet. Mantenga sus puntos de acceso y switches actuales. El artículo de soporte de Purple para su fabricante enumera las configuraciones exactas de RADIUS.

Lista de verificación para el despliegue en tiendas

1. Elija una tienda piloto que contenga todas las clases de dispositivos que utiliza.
2. Exporte el inventario de dispositivos de esa tienda, con una dirección MAC verificada para cada uno.
3. Configure el trunking de cada VLAN de segmento hacia cada puerto de enlace ascendente (uplink) de los AP antes del día de la transición.
4. Cree las políticas de segmento: políticas de grupo en Meraki, roles y políticas WxLAN en Mist.
5. Cree una clave por dispositivo y regístrela en el registro de claves.
6. Envíe una configuración de MAC fija para el SSID del dispositivo a los escáneres Android mediante MDM.
7. Transmita el SSID de los dispositivos junto con el SSID del personal existente.
8. Migre los dispositivos clase por clase: señalización digital primero, luego impresoras y escáneres, y finalmente las cajas registradoras fuera del horario comercial.
9. Ejecute todas las pruebas de la siguiente sección antes de migrar la siguiente clase.
10. Cambie la contraseña compartida del personal anterior una última vez, para que ningún dispositivo pueda recurrir a ella.
11. Escriba el manual de procedimientos de revocación: dispositivo perdido, clave revocada, reemplazo emitido con una nueva clave.
12. Despliegue en oleadas de tiendas, reutilizando las políticas piloto, y conserve los resultados de las pruebas como evidencia.

¿Cómo verificar que PPSK funcione en cada tienda?

Ponga a prueba cada clase de dispositivo, no solo un dispositivo. Una prueba exitosa en un escáner no garantiza el correcto funcionamiento de una impresora en una VLAN diferente.

• Segmento correcto. Verifique la lista de clientes en el panel de Meraki o en client insights de Mist. Cada dispositivo debe mostrar la VLAN esperada y una dirección IP de la subred de ese segmento.
• Aislamiento. Desde un dispositivo de prueba en el segmento de señalización digital, intente acceder al servidor de la caja registradora y al grabador de video. Ambos intentos deben fallar.
• Vinculación de MAC. Ingrese la clave de un escáner en un teléfono de prueba. El teléfono debe ser rechazado.
• Revocación. Revoque una clave de prueba y confirme que el dispositivo no pueda volver a conectarse. Si la sesión existente persiste, desconecte al cliente desde la consola. Todos los demás dispositivos de la tienda deben permanecer conectados.
• Ancho de banda. Ejecute una prueba de rendimiento desde un reproductor de señalización digital y confirme que se respete el límite. Nuestra guía sobre Bandwidth Usage Measurement: Methods, KPIs and Setup cubre el método.
• Roaming. Camine con un escáner desde el almacén hasta el extremo opuesto de la tienda. La aplicación de escaneo debe permanecer conectada.

Conserve los registros. Su registro de claves, políticas de segmento, registros de revocación y resultados de pruebas de aislamiento proporcionan evidencia para PCI-DSS v4.0. El Requisito 1 cubre los controles de seguridad de red entre segmentos. El Requisito 2.3 cubre entornos inalámbricos, incluyendo el cambio de claves predeterminadas. Las comprobaciones de puntos de acceso no autorizados según el requisito 11.2.1 siguen siendo una tarea independiente.

¿Qué sale mal con PPSK y cómo solucionarlo?

Síntoma	Causa probable	Solución
El dispositivo se asocia pero no obtiene dirección IP	La VLAN del segmento no está configurada como trunk en el puerto del switch del AP	Etiquete cada VLAN de segmento en cada puerto de enlace ascendente de los AP
Escáner rechazado después de una actualización de SO	Aleatorización de MAC activada; Android 10 y posteriores la activan por red por defecto	Configure el perfil del SSID del dispositivo para usar la MAC real del dispositivo mediante MDM
Una clave funciona en dos dispositivos	La clave no está vinculada a una dirección MAC (Meraki sin RADIUS, uso múltiple en Mist)	Migre a Identity PSK con RADIUS o claves de uso único en Mist
Una impresora antigua no puede conectarse	El dispositivo solo admite 2.4 GHz y WPA2-Personal	Mantenga habilitados 2.4 GHz y WPA2-Personal en el SSID del dispositivo
El escáner pierde conexión entre pasillos	El roaming rápido 802.11r es incompatible con un cliente antiguo	Realice pruebas con la transición rápida desactivada en el SSID del dispositivo
Las cajas registradoras se ralentizan durante el envío de contenido a la señalización	La política de señalización no tiene un límite de ancho de banda	Aplique un límite por dispositivo al segmento de señalización
Dispositivo perdido sigue en línea tras eliminar la clave	La sesión existente persiste hasta la reautenticación	Desconecte al cliente en la consola después de revocar la clave

Dos problemas merecen más que una fila en la tabla.

El primero es la clave que se convierte en una segunda contraseña compartida. Un técnico escribe la clave de un escáner en un sticker y terminan usándola seis dispositivos. La vinculación de MAC evita esto. Sin vinculación, una clave por dispositivo es solo una clave por dispositivo por convención.

El segundo es WPA3. Muchas implementaciones de claves por dispositivo dependen de WPA2-Personal, y muchas cajas registradoras e impresoras no admiten nada más reciente. Revise la documentación de Cisco Meraki y Juniper Mist para confirmar el soporte de WPA3 en su firmware antes de diseñar su red en función de él.

Dos escenarios prácticos: una cadena de moda y un estadio

Retail: una cadena de moda de 150 tiendas con Cisco Meraki

Situación. Considere una cadena de 150 tiendas con seis cajas registradoras, ocho escáneres, dos impresoras y cuatro reproductores de señalización por tienda. Los 20 dispositivos comparten el SSID del personal y una sola contraseña. Eso equivale a 3,000 dispositivos con una misma clave en toda la propiedad. El requisito 2.3.2 de PCI-DSS exige cambiar las claves inalámbricas cuando alguien que las conoce abandona la empresa. Cada gerente de tienda conoce esta contraseña, por lo que la salida de cualquier gerente debería activar 3,000 cambios de clave. En la práctica, esto nunca sucede.

Lo que se hizo. La cadena agrega un SSID de dispositivo utilizando Identity PSK con RADIUS, con Purple Access resguardando el registro de claves. Cuatro políticas de grupo separan pagos, operaciones de tienda, señalización e impresoras. El MDM distribuye las claves a los escáneres, por lo que el personal de la tienda nunca ve una clave de dispositivo.

Resultado. Si roban un escáner, ahora solo se revoca una clave y ningún otro dispositivo se ve afectado, en lugar de los 20 que hay en esa tienda. La salida de un gerente ya no requiere una rotación de claves, porque los gerentes nunca tienen claves de dispositivos. El segmento de pagos se reduce de 20 dispositivos por tienda en una red plana a seis cajas registradoras. Las guías del PCI SSC señalan que la segmentación puede reducir los sistemas dentro del alcance de cumplimiento, sujeto a la validación de su evaluador.

Eventos: un estadio con Juniper Mist

Situación. Considere un estadio con 40 cajas registradoras de concesión permanentes y 120 pantallas de señalización. Un contratista de venta de boletos lleva 25 escáneres portátiles a cada evento. Al contratista siempre se le ha dado la contraseña del personal, la cual nunca se ha cambiado.

Lo que se hizo. El estadio migra a PSKs de Mist Cloud. Las cajas registradoras reciben claves de un solo uso en la VLAN de pagos. Las claves de señalización incluyen un rol con límite de ancho de banda. En cada evento, los 25 escáneres del contratista reciben claves de un solo uso en su propia VLAN, con una fecha de expiración configurada para el final del día del evento.

Resultado. Las 25 claves del contratista expiran automáticamente después de cada evento, sin necesidad de revocar nada manualmente. Los dispositivos del contratista nunca tienen una clave que les permita acceder al segmento de cajas registradoras. Los límites en la señalización garantizan que la carga de contenido no ralentice los pagos de las concesiones durante el medio tiempo.

¿Cuánto cuesta PPSK y qué beneficios se obtienen?

PPSK no requiere hardware nuevo. El costo se divide en cuatro áreas:

• Tiempo de diseño. Creación del inventario, definición de segmentos y redacción de reglas de firewall.
• Cambios en los switches. Configuración de trunking para las VLANs de cada segmento hacia todos los APs, lo que generalmente se realiza mediante una plantilla.
• Visitas a tiendas para dispositivos no administrados. Las impresoras y cámaras que no cuentan con MDM requieren un cambio local.
• Un servicio de claves para la vinculación de MAC. En Meraki, esto implica un servicio RADIUS como Purple Access. Verifique sus niveles de licencia de Meraki y Mist con su distribuidor.

El retorno de inversión se observa fácilmente con matemáticas simples. En la cadena de moda mencionada anteriormente, rotar una clave compartida implica configurar 3,000 dispositivos. Asumiendo cinco minutos por dispositivo, una sola rotación cuesta 250 horas de trabajo del personal de tienda y de TI. Con PPSK, el mismo proceso requiere únicamente el cambio de una clave. El beneficio más importante es la contención: la pérdida de un escáner solo expone el segmento de ese dispositivo en particular, no la red de pagos.

Purple opera en más de 80,000 ubicaciones activas y gestionó 440 millones de inicios de sesión en 2024 (datos propios de Purple). Purple cuenta con la certificación ISO 27001. El marketing de visitantes en la red abierta se gestiona en Engage. El filtrado de DNS para cualquier segmento se realiza con Shield, un complemento independiente. Para conocer más sobre nuestras redes abiertas y seguras, explore nuestras guías de Access.

Preguntas frecuentes

¿Necesitamos nuevos puntos de acceso para ejecutar PPSK en nuestras tiendas?

No. PPSK se ejecuta en los puntos de acceso que ya posee. Los puntos de acceso Cisco Meraki MR lo admiten como Identity PSK y los puntos de acceso Juniper Mist lo admiten como Multi PSK. Purple Access es independiente del hardware y se superpone a Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet como una capa en la nube. Usted cambia la configuración de SSID, los trunks de VLAN y las políticas, no el hardware.

¿PPSK satisfará a nuestro evaluador de PCI DSS?

PPSK le proporciona evidencia para PCI DSS, no una aprobación por sí sola. Las claves por dispositivo respaldan el requisito 2.3.2, el cual solicita cambiar las claves inalámbricas cuando alguien que las conoce se retira o cuando una clave se ve comprometida. Mover las cajas registradoras a su propia VLAN respalda el requisito 1 y puede reducir el alcance de los sistemas a evaluar. Su Evaluador de Seguridad Cualificado (QSA) decide qué es lo que cuenta, así que exporte su registro de claves, políticas y resultados de pruebas para él.

¿Los dispositivos de la tienda deben usar PPSK o certificados 802.1X?

Utilice certificados siempre que un dispositivo pueda inscribir y renovar uno, y PPSK para todo lo demás. IEEE 802.1X con EAP-TLS sigue siendo la opción predeterminada para las laptops y teléfonos del personal bajo administración MDM. La mayoría de las cajas registradoras, impresoras, reproductores de señalización digital y cámaras no pueden inscribir certificados a escala, y muchos solo admiten WPA2-Personal. PPSK otorga a esos dispositivos identidad por dispositivo, VLAN y revocación sin tener que modificar el dispositivo en sí.

¿Podemos migrar los dispositivos fuera de una contraseña compartida del personal sin visitar cada tienda?

Sí, para los dispositivos que gestiona a través de MDM. Envíe el nuevo SSID del dispositivo, su clave por dispositivo y una configuración de MAC fija como un solo perfil. Luego confirme que cada dispositivo quede ubicado en la VLAN correcta. Los dispositivos sin MDM, como muchas impresoras y cámaras, requieren un cambio local o la herramienta de configuración del proveedor. Planifique esos cambios durante las visitas existentes a las tiendas y mantenga activo el SSID anterior hasta que se migre el último dispositivo.

¿Qué sucede si un escáner aleatoriza su dirección MAC?

Una clave vinculada a MAC lo rechazará, por lo que debe desactivar la aleatorización para el SSID del dispositivo. Android 10 y versiones posteriores utilizan una MAC aleatoria por red de forma predeterminada, y la mayoría de los escáneres de uso rudo ejecutan Android. Configure el perfil de WiFi para usar la MAC del dispositivo a través de su MDM. La aleatorización protege la privacidad de las personas en redes públicas; no aporta nada para una caja registradora o un escáner administrado que se conecta a su propia red.

¿Purple Access también cubre el WiFi para clientes y el filtrado de contenido?

Sí, en redes independientes gestionadas desde una sola plataforma. Los clientes se conectan a la red abierta a través de un captive portal, con la aceptación de marketing y de opciones explícitas gestionadas en Engage. El personal se conecta a la red segura con certificados o mediante el inicio de sesión de Microsoft Entra ID, Okta o Google Workspace. El filtrado DNS corresponde a Shield, un complemento independiente. Los dispositivos permanecen en xPSK, por lo que una caja registradora nunca comparte la red con el teléfono de un cliente.

¿Cuánto esfuerzo requiere la implementación de PPSK en toda la red de tiendas?

Considere que la mayor parte del esfuerzo se realizará antes de generar la primera clave. Crear el inventario de dispositivos con sus direcciones MAC toma más tiempo que la configuración en la consola. Lo mismo ocurre al acordar las segmentaciones con los responsables de pagos y CCTV, así como al realizar el trunking de las VLAN hacia cada punto de acceso. Una vez que la tienda piloto supere todas las pruebas, las siguientes sucursales reutilizarán las mismas políticas y plantillas de claves. Los dispositivos gestionados mediante MDM se migran de forma remota, mientras que las impresoras y cámaras no gestionadas marcarán el ritmo de cada etapa.