BYOD (Bring Your Own Device)

BYOD, de bring your own device, es la práctica de dejar que los empleados usen sus propios móviles, tabletas y portátiles para trabajar y para llegar a los recursos corporativos.

Es popular porque resulta cómodo para la persona y barato para la empresa. Es difícil porque la organización pasa a depender de la seguridad de unos dispositivos que no posee, que no puede estandarizar y que no siempre puede inspeccionar.

Toda la disciplina se reduce a una tensión: proteger los datos de la empresa en un dispositivo cuyo dueño tiene derecho a usarlo como le dé la gana.

Por qué es difícil

Cada dispositivo es distinto. Distintos sistemas operativos, distintas versiones, distintos grados de hardening. Una política que se puede aplicar de manera uniforme sobre un parque gestionado se convierte aquí en un conjunto de excepciones.

La pérdida y el robo son sucesos corrientes. Los dispositivos personales viajan a todas partes. Un móvil olvidado en un taxi no es un incidente en un parque corporativo, donde se puede borrar en remoto; en uno no gestionado puede ser una divulgación de datos.

Redes en las que no se confía. El mismo dispositivo se conecta a la red de la oficina, a una red doméstica compartida con todo lo demás que hay en la casa y a la wifi pública de una estación.

Los datos personales y los corporativos viven en el mismo sitio. Separarlos es el control central, y es también el que plantea las preguntas más difíciles: qué puede ver el empleador, qué puede borrar y qué pasa el día en que la persona se va.

Para qué sirve

Flexibilidad. La gente trabaja desde donde está, con un hardware que ya conoce, que es la razón por la que la práctica se extendió.

Coste. La organización no está comprando y renovando un dispositivo para cada puesto.

Hardware más nuevo. Los móviles personales se suelen renovar más rápido que los corporativos, así que el parque no se queda anclado en un modelo elegido hace cuatro años.

Los controles que de verdad sostienen esto

Una política escrita que diga qué está permitido. Qué datos pueden llegar a un dispositivo personal, qué tiene que tener el dispositivo (bloqueo de pantalla, cifrado, una versión del sistema operativo con soporte) y qué hará la empresa si se pierde.

Gestionar la parte de trabajo, no el dispositivo entero. La gestión de dispositivos móviles, o su variante más ligera a nivel de aplicación, permite contener y borrar los datos corporativos sin tocar las fotos del dueño. Esa distinción es lo que hace que la política le resulte aceptable a quien la firma.

El acceso se decide por petición, no por red. Que un dispositivo llegue a los datos debería depender de su estado en ese momento: nivel de parcheo, si tiene jailbreak, si el usuario pasó un segundo factor. Eso es el acceso condicional, y es lo que sustituye a la suposición de que estar dentro de la oficina significa ser de confianza.

Un sitio donde aterrizar que no sea todo. Que los dispositivos personales lleguen a una red interna plana es el fallo que convierte un móvil comprometido en un punto de apoyo. Mira la segmentación de red.

Contarle a la gente por qué. Las reglas solo aguantan si la persona entiende qué está protegiendo, porque en su propio dispositivo siempre puede saltárselas.

Un ejemplo

Una empresa deja que su plantilla lea el correo corporativo y abra documentos en sus propios móviles.

Un empleado se conecta a una wifi abierta en un sitio público. Alguien en esa misma red está capturando el tráfico.

Que eso le cueste algo a la empresa depende por completo de decisiones tomadas antes: si la conexión con el servicio de correo está bien protegida, si el documento se podía abrir siquiera en un dispositivo en ese estado, y si la sesión se podía usar después desde otro sitio.

Ese es el resumen honesto de la seguridad en BYOD. El incidente ocurre en un dispositivo que no controlas, así que las únicas defensas que cuentan son las que ya estaban puestas antes de que ocurriera.

Dónde aparece esto en una auditoría

El hallazgo habitual no es un móvil mal configurado. Es que nadie sabe cuántos dispositivos personales tienen datos de la empresa, ni cuáles. En cuanto la respuesta a eso es una lista y no una estimación, casi todo lo demás es tratable; hasta entonces, cada control se está aplicando sobre una población de tamaño desconocido, que es el mismo problema que describe el shadow IT en otro rincón del parque.