No puede prohibir traer: cómo implementar el concepto BYOD y no dañar la seguridad de la información

Cada año, más y más empresas de una forma u otra introducen el concepto BYOD. Según un estudio de Global Market Insights, para 2022, el mercado BYOD superará los $ 366 mil millones , y Cisco informa que el 95% de las organizaciones de una forma u otra permiten el uso de dispositivos personales en el lugar de trabajo , y este enfoque ahorra $ 350 por año por empleado Al mismo tiempo, BYOD crea muchas dificultades para el servicio de TI y muchos riesgos diversos para la empresa.

Muchos perciben la capacidad de realizar tareas de trabajo utilizando sus propios dispositivos como un elemento de libertad, un enfoque progresivo de las relaciones empresa-empleado y, en general, un ejemplo típico de una estrategia de ganar-ganar. En general, no hay razón para dudar: el empleado está feliz de usar el equipo que ha elegido para resolver problemas, y la compañía recibe a un empleado que siempre está en contacto y hace el trabajo incluso después de las horas. Según Frost & Sullivan, BYOD agrega hasta 58 minutos por día a los empleados y aumenta la productividad en un 34% .

A pesar de todas las ventajas, BYOD genera problemas: problemas de incompatibilidad e instalación oportuna de actualizaciones de seguridad, robo y falla de dispositivos personales. Y esto es solo una pequeña parte del dolor de cabeza que tiene que soportar en nombre de la conveniencia. Hablaremos sobre cómo resolver estos problemas, manteniendo un equilibrio entre seguridad y eficiencia, en esta publicación.

BYOD

Significa Traiga su propio dispositivo, o "traiga su dispositivo". En 2004, el proveedor de VoIP BroadVoice propuso conectar el equipo del cliente a su red y designó un método como BYOD. En 2009, Intel "actualizó" el concepto de BYOD, ampliando de alguna manera su significado. Con una mano ligera, Intel comenzó a significar el uso por parte de los empleados de las empresas de dispositivos personales para resolver problemas comerciales.

Como no existe una definición estricta de BYOD, las diferentes organizaciones pueden entender este concepto de diferentes maneras. Por ejemplo, algunas compañías permiten que los empleados usen dispositivos personales para resolver problemas de trabajo, pero el empleado incurre en todos los costos de comunicación y reparación. Otras compañías compensan estos costos o conectan a los empleados a un contrato corporativo.

Como en el caso de BYOD, la empresa no elige los dispositivos que usan los empleados, el problema de compatibilidad se eleva a su máximo potencial. CYOD, otro concepto similar de BYOD, permite eliminarlo, al mismo tiempo que resuelve problemas financieros y legales.

CYOD

La abreviatura CYOD significa Elige tu propio dispositivo: "elige tu dispositivo". Bajo este concepto, un empleado puede elegir de la lista de dispositivos típicos lo que le permitirá resolver mejor sus tareas. Dependiendo de las políticas corporativas, CYOD puede permitir o prohibir el uso de dispositivos corporativos para uso personal.

COPE

Este término significa propiedad de la empresa, habilitado personalmente y significa que los dispositivos seleccionados por el empleado son adquiridos por la empresa, pero depende de ellos configurarlos y mantenerlos. Como norma, COPE también implica la posibilidad de utilizar el dispositivo para fines personales.

ROSA

POCE: propiedad personal, habilitada por la empresa, "comprada por un empleado autorizado por la empresa". Esencialmente, este es solo otro nombre para BYOD.

Beneficios de BYOD

Para empleados

• un dispositivo para tareas personales y laborales (si esto no contradice la política corporativa),
• la capacidad de usar los últimos modelos de dispositivos,
• movilidad
• horario flexible
• trabajo a distancia.

Para la empresa

• reducción de costos: la empresa no tiene que comprar dispositivos para los empleados,
• aumento de la motivación de los empleados,
• Disponibilidad de empleados fuera de horario
• mayor eficiencia en la resolución de problemas urgentes,
• necesidad reducida de espacio de oficina.

Riesgos y amenazas BYOD

Los riesgos asociados con BYOD son una consecuencia natural de los beneficios del concepto. Cuanta más libertad tengan los empleados que usan dispositivos personales para interactuar con la red de la empresa, mayor será el daño potencial que pueden causar.

Dispositivo perdido o robado

Si un empleado pierde la computadora portátil en la que realizó el trabajo para la empresa, esto creará muchos problemas. Con el tiempo, los documentos corporativos, incluidos los confidenciales, así como los documentos que contienen datos personales se acumulan inevitablemente en el dispositivo. Es probable que la filtración de dicha información conduzca a multas, los competidores o los atacantes pueden usarlos para chantajear o simplemente venderlos en el mercado negro a cibercriminales que organizan ataques dirigidos o de phishing.
Pero además de los documentos, el dispositivo almacena las credenciales para acceder a la red corporativa y / o las claves de cifrado registradas en el registro para no interferir con los tokens. Con esta información, un atacante puede penetrar en la red, robar todo lo que pueda alcanzar e instalar malware.

Otro problema es que un empleado privado de su herramienta de trabajo no puede hacer lo que le pagan. Y este problema debe resolverse lo más rápido posible. Si es probable que una gran corporación pueda recoger equipos de la reserva, no se puede contar con ese lujo en una startup.

Vulnerabilidades y malware

Obviamente, los empleados que trabajan de acuerdo con el esquema BYOD utilizarán sus dispositivos para resolver no solo el trabajo, sino también las tareas personales. Después de completar el trabajo, verán videos en línea, buscarán ensayos para niños y jugarán juegos descargados de rastreadores de torrents. Y con una probabilidad distinta de cero, sus hijos harán lo mismo.

El resultado de tal frivolidad, por regla general, no es demasiado inspirador: el malware aparece en el dispositivo: spyware, ransomware y puertas traseras. Cuando se conecta a una red corporativa, todo el conjunto de malware buscará nuevas víctimas. Y es posible que lo encuentre. Pero incluso sin esto, los inicios de sesión robados, las contraseñas y los detalles de las tarjetas bancarias corporativas no traerán ningún beneficio.

Incluso si el empleado se comporta de manera responsable, no visita sitios sospechosos y no descarga software pirateado, el problema de los correos electrónicos de phishing persiste, así como también mantener actualizado el sistema operativo y los programas. Utilizando vulnerabilidades conocidas, el malware puede infiltrarse en el dispositivo por sí solo o con una participación mínima del usuario que hizo clic en el enlace de la carta, muy similar a la carta habitual de la contraparte.

La movilidad como problema

La naturaleza viajera del uso de equipos dentro de BYOD significa no solo un mayor riesgo de perder su dispositivo favorito, sino también riesgos asociados con la confidencialidad. Los fanáticos de trabajar en cafeterías y otros lugares públicos no tienen en cuenta el hecho de que:

• están en el campo de visión de extraños y cámaras de CCTV, lo que significa que las contraseñas que ingresan y los documentos con los que trabajan son hechos públicos por extraños;
• el uso de redes wifi públicas en aeropuertos y hoteles conlleva el riesgo de que la información transmitida sea interceptada o que un script malicioso penetre en el dispositivo;
• El uso activo de Internet móvil en roaming puede generar pérdidas financieras.

¿Cómo protegerte?

Los riesgos que plantea BYOD no se pueden eliminar por completo. Pero al combinar medidas organizativas y técnicas, el daño puede minimizarse o incluso eliminarse por completo. Las principales formas de garantizar la seguridad BYOD son la virtualización, la gestión de dispositivos móviles, aplicaciones y datos, así como los sistemas inteligentes de protección de endpoints.

Virtualización

La belleza de esta tecnología es que el dispositivo del usuario se usa exclusivamente para obtener acceso a la estación de trabajo virtual. Todos los documentos y programas también se encuentran allí y no se copian en el dispositivo. El servicio de los lugares de trabajo virtuales lo llevan a cabo los especialistas de TI de la empresa, por lo que todo lo que se requiere de un empleado es mantener en secreto los detalles para acceder a la red corporativa. Esto no ayudará si el spyware penetra en el dispositivo, pero elimina la fuga de datos durante el robo.

MDM, MCM, MAM y otros sistemas de gestión de dispositivos móviles

Los sistemas de administración de dispositivos móviles le permiten administrar de manera centralizada todo el zoológico BYOD, estableciendo restricciones en los documentos, en los recursos a los que tiene acceso el usuario y en las operaciones que puede realizar cuando está conectado a una red corporativa.

Por ejemplo, la herramienta Microsoft Intune admite dispositivos basados ​​en Windows, macOS, iOS, Android y permite a los administradores:

• eliminar automáticamente los datos corporativos si el dispositivo no se conecta al servicio dentro de un tiempo específico;
• establecer una prohibición sobre el almacenamiento de información corporativa en cualquier lugar que no sea "OneDrive for Business";
• Solicite un PIN o huella digital para acceder a las aplicaciones de Office
• Evite la copia de datos corporativos de Office a aplicaciones personales.

Apple (Apple MDM), Citrix - XenMobile, Cisco - Meraki, Trend Micro - Enterprise Mobile Security y varios fabricantes de terceros ofrecen soluciones similares para administrar dispositivos móviles.

Protección BYOD

Incluso los controles más avanzados no ayudarán si el dispositivo ingresa al dispositivo, por lo tanto, en el caso de BYOD, vale la pena usar soluciones de seguridad de clase XDR (X Detection and Response, donde X corresponde a varios entornos corporativos). Dichos sistemas pueden detectar y ayudar a detener amenazas desconocidas, proporcionando monitoreo de todos los sistemas de información en la empresa. El enfoque del XDR de Trend Micro incluye el subsistema EDR (Trend Micro Apex One), que forma la protección multinivel de dispositivos finales, así como la familia de productos de red Deep Discovery que pueden identificar amenazas en nodos sin agentes de seguridad.

Cual es el resultado

El uso incontrolado de BYOD puede crear grandes problemas para las empresas. Para sentir todas las ventajas de usar dispositivos personales para resolver problemas comerciales, es necesario tener en cuenta los riesgos y proteger el perímetro de la red y los dispositivos de los usuarios. El desarrollo y la implementación en la práctica diaria de una política de seguridad que los usuarios puedan centrarse durante su trabajo proporcionará un nivel adicional de protección.