EE.UU. 19 diciembre, 2018. La forma en que trabajamos está cambiando. Los empleados quieren, o incluso esperan, la libertad y la capacidad de trabajar desde cualquier lugar, en cualquier momento y en cualquier dispositivo. El hecho de que se desdibujen las líneas entre el hogar y el trabajo significa que los trabajadores a menudo utilizarán sus propios dispositivos, ya sea una computadora portátil, una tablet o un teléfono inteligente, para llevar a cabo sus actividades comerciales.
Los empleados a menudo también traen dispositivos personales al lugar de trabajo, y aunque a primera vista esto no parezca un gran problema, puede crear un sinfín de dolores de cabeza para el departamento de TI y la organización en general.
A continuación analizamos algunos de los retos a los que se enfrentan las empresas y cómo pueden mantener su gestión segura y en conformidad, al tiempo que ofrecen a los miembros del equipo la flexibilidad necesaria para utilizar sus dispositivos personales en el lugar de trabajo.
Los mejores consejos para hacer que BYOD sea seguro
Alex Ryals, vicepresidente de soluciones de seguridad del distribuidor de tecnología Tech Data, ofrece los siguientes consejos para proteger los dispositivos de los empleados:
- Cifrado de discos duros portátiles con una tecnología como Microsoft Bitlocker. Esto garantiza que si el dispositivo es robado, los datos estarán seguros siempre y cuando el ladrón no tenga la clave de encriptación.
- El dispositivo debe estar configurado para usar contraseñas complejas que expiran después de tres a seis meses para asegurar que el empleado cambie su contraseña regularmente.
- Programas antivirus y antimalware actuales, a menudo proporcionados por la empresa, deben instalarse y ejecutarse.
- Un cliente VPN aprobado debe ser instalado y utilizado por el empleado siempre que no esté en la red corporativa.
- Habilite las actualizaciones automáticas del sistema operativo en el portátil para garantizar que el dispositivo se actualiza con regularidad.
- Una práctica recomendada, incluso para dispositivos personales, es requerir la instalación de una aplicación de administración de escritorio, como Microsoft System Center Configuration Manager, para catalogar las aplicaciones instaladas y limitar el acceso a la red a dispositivos que tengan instaladas aplicaciones vulnerables conocidas.
- Definir una política para limitar el uso de aplicaciones y servicios cloud aceptables para el almacenamiento de información corporativa.
¿Por qué BYOD es tan popular?
BYOD (Bring Your Own Device) significa traer su propio dispositivo y es un término acuñado para describir la tendencia de los empleados a usar sus propias computadores portátiles, teléfonos y otros dispositivos en el trabajo. El movimiento cobró fuerza cuando la gente empezó a descubrir que la tecnología de consumo que utilizaban en su vida personal era la preferida, más fácil de navegar o más eficiente que la TI, a veces anticuada, que se esperaba que utilizaran en el trabajo.
Esta ‘consumerización de la TI’ anima a quienes utilizan los últimos smartphones, dispositivos o aplicaciones de productividad en sus vidas personales a esperar el mismo nivel de funcionalidad en el lugar de trabajo, y si eso no es una opción, simplemente utilizarán su propio dispositivo.
Otro factor es la creciente movilidad de la mano de obra. Un estudio de Gallup de 2017 muestra que el 43% de los estadounidenses pasan al menos un tiempo trabajando a distancia, lo que significa que los empleados de hoy en día esperan poder hacer su trabajo desde cualquier lugar y en cualquier momento. Es común revisar el correo electrónico del trabajo desde el sofá de la casa o trabajar en una presentación en una cafetería, en el bus a casa desde el trabajo o incluso mientras se viaja a una reunión de negocios a 30.000 pies en el aire.
Además, en los últimos años se ha producido un aumento constante del número de trabajadores autónomos, que se espera que utilicen sus propios dispositivos y programas informáticos, incluso cuando son contratados para trabajar in situ en una organización.
Entonces, ¿cuál es el problema?
Los beneficios de BYOD son numerosos. Los empleados tienden a mostrar una mayor productividad cuando utilizan dispositivos que les son familiares y disfrutan de una experiencia personalizada que aumenta su satisfacción. También puede ahorrarle dinero al empleador, especialmente una reducción en el costo de adquisición de dispositivos, planes de datos de los empleados y gestión de TI. Además, los ciclos de actualización del hardware podrían prolongarse a medida que los usuarios finales asumen una mayor responsabilidad en el suministro de dispositivos y el pago de servicios, por ejemplo.
Pero si bien la avalancha de dispositivos personales en las empresas puede parecer una progresión natural en nuestro mundo de TI bajo demanda dirigido por los consumidores, puede causar una gran cantidad de problemas de seguridad y de otro tipo para los empleadores.
“Incluso con los beneficios, como el aumento de la productividad y la satisfacción de los empleados, existen problemas de seguridad que pueden plantear riesgos significativos a las empresas mal preparadas para hacerles frente”, dice Michael Cantor, director de tecnología de Park Place Technologies, que proporciona servicios de mantenimiento de hardware y soporte de TI de terceros. “La falta de supervisión, la exposición al malware, los requisitos de cumplimiento, las fugas de datos y el robo de dispositivos hacen que la seguridad de BYOD sea un gran desastre”.
Por ejemplo, los empleados cuando descargan aplicaciones solo piensan en la productividad de sus dispositivos y, a menudo, no consideran las vulnerabilidades de seguridad que podrían estar introduciendo en la red de la empresa.
A principios de este año, la empresa de seguridad y gestión de redes A10 Networks publicó su Informe de Inteligencia de Aplicaciones, que señalaba que casi un tercio (30%) de los empleados admiten haber utilizado a sabiendas aplicaciones no autorizadas en el trabajo, a pesar de que Google eliminara 700.000 aplicaciones potencialmente dañinas de su Play Store en 2017. De los que usan aplicaciones no aprobadas, el 51% afirma que “todo el mundo lo hace”, mientras que el 36% dice que cree que su departamento de TI no tiene derecho a decirles qué aplicaciones no pueden usar.
“A través de un comportamiento descuidado y a veces negligente con los activos y aplicaciones corporativas, los empleados están abriendo de par en par las puertas de la ciberseguridad, dejando a sus empresas vulnerables”, señala el informe.
Mientras tanto, el 33% afirma que el departamento de TI de su empresa no les da acceso a las aplicaciones que necesitan para realizar su trabajo. ¿Por qué no utilizar un grupo de WhatsApp para comunicarse con sus colegas? ¿Por qué no almacenar documentos confidenciales en Dropbox para facilitar el acceso?
La respuesta es que, además de los obvios riesgos de seguridad, los administradores de TI no pueden garantizar la privacidad corporativa o de los usuarios. Los equipos individuales que utilizan tecnología de la competencia o en silos dificultan la colaboración. Además de eso, están los costos asociados con el pago de licencias de software separadas. Donde A10 cuenta con una ventaja, ya que en su modelo de negocio no se pagan licencias.
Implementando una política BYOD
Debido a la avalancha de aplicaciones y dispositivos personales que se introducen en las redes corporativas, los equipos de TI se han visto obligados a implementar estrategias BYOD para ayudar a supervisar y gestionar el uso de dispositivos personales en esta fuerza de trabajo cada vez más distribuida.
“Dado que el mayor riesgo de seguridad para cualquier organización son los empleados y su falta de disciplina cuando se trata de las mejores prácticas de seguridad, BYOD puede ser una pendiente resbaladiza si no se implementa con un conjunto estricto de políticas y controles de seguridad”, dice Alex Ryals, vicepresidente de soluciones de seguridad del distribuidor de tecnología Tech Data.
Pero, ¿por dónde empezar? Ryals dice que es fundamental que una organización inspeccione todos los dispositivos antes de permitir que entren en la red corporativa.
“Una manera fácil de asegurar que un dispositivo cumple con las normas es colocar algunos servicios corporativos detrás de un cortafuegos estrictamente controlado al que sólo se puede acceder a través de un cliente VPN en la red corporativa”, aconseja. “Esto obliga al empleado a llevar su dispositivo a TI para tener el certificado de seguridad para el cliente VPN instalado en el PC portátil personal del empleado y también le permite a TI la oportunidad de inspeccionar el dispositivo para comprobar si cumple con las políticas de seguridad corporativas”.
Cantor de Park Place Technologies también sostiene que hay medidas que se pueden tomar para asegurar que los programas BYOD se ejecuten de forma segura.
“Para empezar, se debe realizar una evaluación de riesgos completa que considere cómo se relacionan los dispositivos con los datos personales y de la empresa y actualizarlos regularmente. También se debe desarrollar una política clara sobre cómo se deben utilizar los dispositivos personales, implementando herramientas como la gestión de dispositivos móviles para ayudar a que se cumpla”, afirma. “Con herramientas específicas para dispositivos como los identificadores de direcciones MAC (control de acceso a medios) y las soluciones de gestión de acceso a identidades, los departamentos de TI pueden supervisar los dispositivos que acceden a los recursos de la empresa y proteger sus datos de actividades sospechosas y accesos no autorizados”.
Tan importante como la tecnología que se utiliza para soportar BYOD, añade Cantor, son las personas que se encuentran detrás de las pantallas.
“El personal de TI debe ser visto por los empleados como un recurso clave cuando ofrecen asistencia en la gestión de sus dispositivos y la configuración de sus aplicaciones. Tener una relación positiva permitirá a TI capacitar a los empleados para adoptar medidas de seguridad cuando sea necesario”, señala.
El problema de los dispositivos que son propiedad de los empleados y son utilizados en el lugar de trabajo no se va a terminar. De hecho, el departamento de TI tendrá un trabajo aún más difícil de gestionar que los dispositivos personales con la esperada explosión de la IoT (Internet de Things), incluidos los dispositivos inteligentes portátiles, que afectarán a la red.
Sin embargo, dice Ryals, “el riesgo de exposición corporativa a través de dispositivos BYOD es grande, pero al definir políticas de uso claramente aceptables para los empleados que utilizan sus propios dispositivos, el riesgo puede ser mitigado a un nivel aceptable. Sin embargo, el empleado tiene que estar dispuesto a renunciar a un poco de su libertad y conveniencia por el privilegio”.
