Trae Tu Propio Dispositivo (BYOD, por sus siglas en inglés) permite a los empleados usar teléfonos, tabletas o computadoras personales para el trabajo. Este artículo resume los beneficios, los riesgos de seguridad y las prácticas de política que las organizaciones deben considerar antes de permitir que los dispositivos personales accedan a los recursos corporativos.
El BYOD puede mejorar la flexibilidad y la comunicación, pero también suma dispositivos personales al perímetro de seguridad de la organización. Los equipos de TI deben definir los requisitos de acceso, proteger los datos de la empresa y explicar las responsabilidades de los empleados antes de conectar dispositivos a los sistemas corporativos.
Los dispositivos personales pueden incluir teléfonos inteligentes, computadoras o tabletas que ejecutan distintos sistemas operativos y aplicaciones. Para minimizar los riesgos, los administradores de red deben determinar qué dispositivos y recursos se permiten e implementar una política que informe y capacite a los empleados.
Beneficios del BYOD
Antes de sopesar los riesgos, vale la pena entender por qué el BYOD se ha vuelto tan común en primer lugar:
- Menores costos de hardware: la organización no necesita comprar, preparar y mantener un dispositivo para cada empleado.
- Mayor flexibilidad para los empleados: el personal puede trabajar con un dispositivo con el que ya se siente cómodo, en lugar de aprender a usar un segundo dispositivo de empresa desconocido.
- Incorporación más rápida: los empleados nuevos a menudo pueden empezar a ser productivos de inmediato, sin esperar a que TI prepare y entregue una laptop de la empresa.
- Mayor capacidad de respuesta: es más probable que los empleados que llevan su propio teléfono vean y respondan un mensaje urgente fuera del horario estándar, para bien o para mal.
Estos beneficios son reales, pero conllevan una contrapartida: cada dispositivo personal conectado a los recursos corporativos pasa a formar parte de la superficie de ataque de la organización, lo administre TI directamente o no.
Riesgos de Seguridad del BYOD
Los dispositivos personales introducen riesgos que los dispositivos de la empresa, administrados de forma centralizada, no tienen en la misma medida:
- Postura de seguridad inconsistente: los dispositivos personales pueden carecer de antivirus actualizado, cifrado de disco o de los últimos parches de seguridad del sistema operativo.
- Datos personales y corporativos mezclados: los archivos, correos y datos de aplicaciones de la empresa terminan almacenados junto a fotos, aplicaciones y cuentas personales en el mismo dispositivo.
- Dispositivos perdidos o robados: un teléfono o una laptop personal tiene tantas probabilidades de perderse o ser robado como uno de la empresa, pero TI suele tener mucha menos capacidad de borrarlo o bloquearlo de forma remota.
- Instalaciones de aplicaciones sin control: los empleados pueden instalar cualquier aplicación que elijan, incluidas las que solicitan permisos excesivos o provienen de fuentes no confiables.
- Exposición de la red: los dispositivos personales pueden conectarse a redes Wi-Fi públicas sin seguridad antes o después de conectarse a los sistemas corporativos, lo que crea un camino de ataque adicional.
Elementos de la Política
Los elementos importantes de una política de Trae Tu Propio Dispositivo deben incluir:
- Formaliza tu estrategia: documenta todos los tipos de dispositivos y sistemas operativos aprobados que TI dará soporte, en lugar de permitir una mezcla abierta.
- Exige software de seguridad: ordena el uso de antivirus y anti-spyware, junto con políticas claras de propiedad de los datos que los empleados deben aceptar antes de conectar un dispositivo personal.
- Sé consistente: define niveles claros de soporte de TI y mantén estándares de seguridad consistentes, aplicando las últimas actualizaciones en todos los dispositivos inscritos.
- Crea conciencia entre los empleados: trabaja con los empleados para explicar la política y las razones detrás de ella, y mantén a todos al día sobre las mejores prácticas conforme evolucionan las amenazas.
- Define un proceso de salida: especifica exactamente cómo se eliminan los datos y el acceso corporativos de un dispositivo personal cuando un empleado deja la empresa.
Controles Técnicos Comunes para el BYOD
Más allá de la política escrita, la mayoría de las organizaciones combinan el BYOD con controles técnicos que la hacen cumplir automáticamente:
- Administración de Dispositivos Móviles (MDM): software que permite a TI aplicar ajustes de seguridad, bloquear o borrar un dispositivo de forma remota y verificar el cumplimiento antes de conceder acceso a los recursos corporativos.
- Contenedorización: mantiene las aplicaciones y los datos corporativos en un “contenedor” aislado y cifrado dentro del dispositivo, separado de las aplicaciones y archivos personales, de modo que un borrado remoto solo afecte los datos de la empresa.
- Requisitos de VPN: exige que los dispositivos se conecten mediante una VPN segura al acceder a los sistemas internos, reduciendo la exposición en redes no confiables.
- Autenticación multifactor (MFA): agrega un segundo paso de verificación más allá de la contraseña, lo cual importa aún más en dispositivos personales que pueden compartirse o estar menos protegidos que una laptop de la empresa.
- Reglas de acceso condicional: bloquean automáticamente que los dispositivos que no cumplan los requisitos mínimos (como una versión desactualizada del sistema operativo) se conecten a los recursos corporativos.
Estos controles no reemplazan una política escrita de BYOD: la hacen cumplir, convirtiendo las reglas declaradas en requisitos técnicos que un dispositivo debe cumplir realmente antes de ser considerado confiable. La mayoría de las organizaciones empiezan con la MFA y un despliegue básico de MDM, ya que esos dos controles atienden los escenarios de mayor riesgo (credenciales robadas y dispositivos perdidos) con relativamente poca interrupción de la forma en que los empleados ya usan sus propios dispositivos.
En Resumen
A algunos empleados puede que no les guste la idea de que su empleador monitoree sus comunicaciones o sus dispositivos. Incluso el simple acto de revisar o responder correos de trabajo en un teléfono o una laptop personal estando en casa difumina la línea entre la vida profesional y la personal. Las empresas que se toman en serio la implementación del BYOD deben tener en cuenta que los usuarios son el eslabón más débil de la cadena de seguridad: una política es tan eficaz como la capacitación y los hábitos que la respaldan.
Sopesar los beneficios del BYOD frente a sus riesgos no es una decisión de una sola vez. A medida que los dispositivos personales, las amenazas y las necesidades de la empresa siguen evolucionando, la política que los protege debe revisarse con regularidad en lugar de establecerse una vez y olvidarse. Implementar una solución que resuelva, o al menos mitigue, los riesgos que se cubren arriba debe tratarse como un requisito, no como algo secundario, para cualquier empresa que permita a sus empleados llevar sus propios dispositivos al trabajo.