BYOD y Ciberseguridad

BYOD y ciberseguridad: cómo proteger dispositivos personales

¿Tu teléfono personal también es parte de la superficie de ataque de tu empresa?

¿Qué pasa cuando un empleado usa su propio teléfono en la empresa? Ese dispositivo se puede convertir en una puerta de entrada a información, aplicaciones y sistemas corporativos sin los controles adecuados.

En muchas empresas, el teléfono móvil dejó de ser un dispositivo exclusivamente personal. Desde él se consulta el correo corporativo, se responden mensajes de clientes, se accede a Microsoft 365, Teams, CRM, ERP, plataformas financieras, aplicaciones de gestión, VPN y documentos almacenados en la nube.

Y muchas veces todo esto ocurre desde un equipo que no pertenece a la empresa, no está administrado por el área de TI y comparte espacio con aplicaciones, cuentas y datos personales.

Esta situación es mucho más común de lo que parece, planteando una pregunta que CIOs, gerentes de TI y propietarios de empresas deberían hacerse: ¿Qué control tiene realmente la empresa sobre un dispositivo personal que puede acceder a información corporativa?

El problema no siempre está en el empleado.

Cuando se habla de seguridad en dispositivos personales, es habitual pensar inmediatamente en el comportamiento del usuario.

Todas estas recomendaciones son importantes, pero existe un problema mayor: la seguridad no puede depender únicamente de que cada empleado tome siempre la decisión correcta.

Un usuario puede perder el teléfono.
Puede ser víctima de phishing.
Puede instalar una aplicación que solicite permisos excesivos.
Puede conectarse a una red Wi-Fi insegura.
Puede guardar accidentalmente un documento corporativo en una cuenta personal.
Incluso puede tener buenas intenciones y, aun así, cometer un error.

Por eso, una estrategia de seguridad empresarial debe asumir que los errores humanos ocurrirán y que los dispositivos pueden verse comprometidos.

¿Qué ocurre cuando lo personal y lo corporativo conviven en el mismo dispositivo?

Imaginemos un escenario bastante habitual: Un gerente utiliza su teléfono personal para:

Leer el correo corporativo.
Acceder a Teams.
Revisar documentos de SharePoint.
Consultar el CRM.
Aprobar operaciones.
Comunicarse con clientes por WhatsApp.
Acceder a aplicaciones financieras.
Utilizar servicios de almacenamiento en la nube.

Al mismo tiempo, ese teléfono contiene:

Fotografías personales.
Correo personal.
Aplicaciones de redes sociales.
Aplicaciones bancarias.
Servicios de almacenamiento personal.
Aplicaciones descargadas por el usuario.
Información de familiares.
Cuentas personales.

Tenemos entonces un único dispositivo con dos mundos completamente diferentes. El problema es que la información empresarial no necesariamente entiende dónde termina uno y comienza el otro.

Y ahí aparece el verdadero desafío del BYOD (Bring Your Own Device).

El riesgo aumenta cuando las aplicaciones corporativas salen del entorno empresarial

Instalar una aplicación corporativa en un teléfono personal puede parecer algo completamente normal.

Por ejemplo, instalar una aplicación de correo empresarial.

El problema comienza cuando la empresa no sabe exactamente: qué información puede almacenarse en ese dispositivo, qué aplicaciones pueden acceder a ella, dónde puede copiarse, cómo puede compartirse y qué ocurre cuando el empleado deja la organización.

Pensemos en un documento descargado desde el correo corporativo.

¿Se descarga en el almacenamiento protegido de la aplicación empresarial ó en la memoria del teléfono?
¿Se guarda automaticamente en una copia de seguridad personal de Google Drive o iCloud?
¿Puede abrirse desde otra aplicación?
¿Puede enviarse por WhatsApp?
¿O puede compartirse mediante una aplicación de terceros?

Estas preguntas son mucho más importantes que simplemente preguntarse si el empleado tiene instalado un antivirus y entonces aparece el caso más difícil: el ejecutivo que no quiere un teléfono corporativo.

Existe una situación especialmente delicada. La empresa establece una política: Los dispositivos utilizados para acceder a información corporativa deben ser administrados por la organización.

Pero llega un ejecutivo, director, gerente o incluso propietario de la empresa y responde: Yo voy a seguir utilizando mi teléfono personal. Y es aquí donde muchas organizaciones terminan haciendo una excepción.

Se instala el correo.
Se instala Teams.
Se habilita el acceso al CRM.
Se configura la VPN (En algunos casos).
Se agregan las aplicaciones necesarias.

Y el problema queda aparentemente resuelto. Pero desde el punto de vista de seguridad, la excepción no desapareció: simplemente se convirtió en una puerta de acceso permanente.

Entonces deberiamos preguntarnos: ¿Este dispositivo cumple las condiciones necesarias para acceder a información y sistemas corporativos?

BYOD no tiene por qué significar pérdida de control

Prohibir los teléfonos personales puede ser una opción para determinadas organizaciones, pero no siempre es la opción más práctica.

En muchas empresas, el uso de dispositivos personales forma parte de la realidad operativa, por eso existen diferentes estrategias.

Dispositivo corporativo administrado

La empresa proporciona el teléfono y mantiene control sobre:

Configuración.
Aplicaciones.
Actualizaciones.
Seguridad.
Accesos.
Políticas.
Información corporativa.

Es el modelo con mayor nivel de control.

BYOD controlado

El empleado utiliza su propio dispositivo, pero la organización implementa mecanismos para proteger el entorno empresarial.

Aquí entran tecnologías como:

MDM.
MAM.
Gestión de identidades.
MFA.
Acceso condicional.
Contenedores corporativos.
Cifrado.
Protección de aplicaciones.
Políticas de prevención de fuga de información.

El objetivo no es controlar la vida personal del empleado, más bien es controlar y proteger la información empresarial.

Acceso condicionado

Existe otra posibilidad: si el dispositivo no cumple determinados requisitos de seguridad, no obtiene acceso a determinados recursos.

Por ejemplo, una organización podría exigir:

Sistema operativo actualizado.
Bloqueo mediante PIN o biometría.
Cifrado.
MFA.
Dispositivo no comprometido.
Aplicación corporativa autorizada.
Nivel mínimo de seguridad.

Si no se cumplen las condiciones, el acceso puede ser limitado o bloqueado.

La seguridad debería seguir al dato, no solamente al dispositivo y este punto es especialmente importante.

Una empresa puede comprar los teléfonos más seguros del mercado y continuar teniendo problemas si permite que la información corporativa termine en lugares que no puede controlar. Por eso, la estrategia debe centrarse en proteger la información y el acceso, no solamente el teléfono.

Un enfoque moderno debería preguntarse:

¿Quién está accediendo?
¿Desde qué dispositivo?
¿Desde dónde se conecta?
¿A qué aplicación intenta acceder?
¿Qué nivel de riesgo presenta ese acceso?
¿Qué información necesita realmente?
Y, sobre todo: ¿Qué debería ocurrir si ese dispositivo deja de ser confiable?

¿Qué debería recomendar la empresa a sus empleados?

Si una organización permite BYOD, debería establecer unas reglas claras y fáciles de entender.

Mantener el dispositivo actualizado: Las actualizaciones del sistema operativo y de las aplicaciones corrigen vulnerabilidades que pueden ser utilizadas por atacantes.
Utilizar bloqueo seguro: PIN robusto, contraseña y biometría cuando estén disponibles.
Activar MFA: Una contraseña comprometida no debería ser suficiente para acceder a los sistemas corporativos.
No utilizar cuentas personales para almacenar información empresarial: Un documento corporativo no debería terminar en un almacenamiento personal simplemente porque resulta más cómodo.
Evitar aplicaciones no confiables: Especialmente aquellas provenientes de fuentes desconocidas o que soliciten permisos que no tienen relación con su función.
No compartir el dispositivo: Un teléfono que contiene acceso corporativo no debería convertirse en un dispositivo de uso indiscriminado para familiares o terceros.
Tener especial cuidado con las redes públicas: Aeropuertos, hoteles, cafeterías y redes abiertas pueden aumentar la exposición del dispositivo.
Reportar inmediatamente la pérdida o robo: El tiempo es crítico ya que la empresa debe poder revocar sesiones y accesos rápidamente.
No trasladar información corporativa a canales personales: Copiar información confidencial desde el correo corporativo hacia una cuenta personal, una aplicación de mensajería o un servicio de almacenamiento externo puede generar una fuga de información incluso sin intención maliciosa.

Pero hay algo todavía más importante: la empresa debe poder actuar

Supongamos que un ejecutivo pierde su teléfono durante un viaje.

En ese dispositivo existen:

Correos corporativos.
Sesiones abiertas.
Documentos.
Aplicaciones empresariales.
Información de clientes.
Acceso a sistemas internos.

¿Qué ocurre ahora?

¿Puede TI bloquear el acceso inmediatamente?
¿Puede revocar las sesiones?
¿Puede impedir que el dispositivo vuelva a autenticarse?
¿Puede proteger los datos corporativos sin afectar innecesariamente la información personal?
¿La empresa sabe qué aplicaciones tienen acceso a información corporativa?

Si la respuesta es no estamos seguros, probablemente el problema no sea solamente el teléfono. Es la arquitectura de acceso.

El error de crear excepciones sin evaluar el riesgo

Una política de seguridad puede ser excelente sobre el papel y completamente ineficaz en la práctica si existen demasiadas excepciones.

Y las excepciones más peligrosas no necesariamente son las de los usuarios con menos privilegios.

Un ejecutivo puede tener acceso a información mucho más sensible que un empleado operativo.

Por eso, el nivel jerárquico del usuario no debería determinar el nivel de confianza del dispositivo.

El CEO también puede perder el teléfono.
El gerente también puede caer en phishing.
El director también puede instalar una aplicación vulnerable.

La confianza debería depender de controles verificables, no del cargo que aparece en la firma del correo.

Zero Trust también aplica al teléfono del gerente

El concepto de Zero Trust parte de una premisa sencilla: No confiar automáticamente. Verificar continuamente, por ende, un dispositivo personal no debería considerarse confiable simplemente porque pertenece a un empleado y mucho menos porque pertenece a un ejecutivo.

La organización debe evaluar el contexto del acceso y aplicar controles proporcionales al riesgo. Esto permite pasar de una seguridad basada en: Este es el teléfono del gerente, démosle acceso, a una seguridad basada en: Este usuario, desde este dispositivo y bajo estas condiciones, puede acceder a estos recursos. Es una diferencia enorme.

¿Está su empresa preparada para el BYOD?

Si su organización permite que los empleados utilicen teléfonos personales para acceder a información corporativa, vale la pena responder estas preguntas:

¿Tenemos una política BYOD formal?
¿Sabemos qué aplicaciones corporativas están instaladas en dispositivos personales?
¿Podemos revocar el acceso inmediatamente?
¿Utilizamos MFA?
¿Tenemos políticas de acceso condicional?
¿La información corporativa está separada de la información personal?
¿Podemos controlar qué aplicaciones pueden acceder a datos empresariales?
¿Qué sucede cuando un empleado abandona la empresa?
¿Tenemos un procedimiento para teléfonos perdidos o robados?
¿Existen excepciones para determinados ejecutivos?
¿Esas excepciones tienen controles compensatorios?

Si varias respuestas son no, no sabemos o depende del usuario, existe una oportunidad importante para revisar la estrategia. Porque el teléfono personal ya está dentro del entorno empresarial en muchas organizaciones.

El correo está ahí.
Los clientes están ahí.
Los documentos están ahí.
Las aplicaciones están ahí.
Las credenciales están ahí.
Y si la empresa no establece controles, la superficie de ataque también está ahí.

La solución no consiste únicamente en entregar un teléfono corporativo ni en redactar una política que nadie pueda cumplir, se trata de diseñar una estrategia que combine personas, políticas y tecnología para que el acceso corporativo pueda mantenerse seguro incluso cuando el dispositivo sea personal.

Antes de preguntar quién tiene acceso, pregunte desde dónde está accediendo

Un programa de ciberseguridad maduro no debería confiar ciegamente en un dispositivo porque pertenece a un empleado, ni hacer excepciones porque el usuario ocupa una posición de alto nivel. Porque cuando un teléfono personal tiene acceso al negocio, deja de ser únicamente un asunto personal. Se convierte en parte de la superficie de ataque de la organización.

¿Su empresa sabe realmente qué ocurre con la información corporativa cuando sale de la oficina y llega al teléfono de un empleado?

Si la respuesta merece una revisión, este es un buen momento para evaluar su estrategia de acceso móvil, BYOD y protección de identidades.