Redefiniendo el BYOD

Rik Ferguson, director de Investigación de Seguridad y Comunicaciones de Trend Micro EMEA.

Cada vez más compañías se dan cuenta de los beneficios que aporta permitir que los empleados puedan utilizar sus dispositivos personales en el lugar de trabajo y conectarse a la red corporativa. La familiaridad que ofrece contar con nuestro propio smartphone en el trabajo significa que podemos trabajar más rápido y, quizás, pensando con más cinismo desde el punto de vista del empresario, que somos más propensos a trabajar y a hacerlo durante más tiempo. Aunque esto no es una calle de sentido único, no es necesario llevar dos dispositivos, el empresario asume la mayor parte del coste del uso del smartphone personal y el usuario se limita a escoger el hardware que prefiere.

El fenómeno del BYOD no está exento de riesgos para la empresa, aunque no se deben subestimar los retos asociados a la gestión y protección de un patrimonio heterogéneo de dispositivos móviles. Muchos fabricantes, muchas versiones de sistemas operativos y un creciente volumen de aplicaciones pueden llegar a poner nervioso a cualquiera y a acentuar, con toda seguridad, los quebraderos de cabeza.

Ante una situación así, no es de extrañar que se hayan propuesto definiciones alternativas para el término BYOD (Bring-Your-Own-Device) como “Bring Your Own Disaster” (“Trae tu propio desastre”) o “Bring Your Own Danger” (“Trae tu Propio Peligro) por ejemplo. Aprovechando la coyuntura, desde estas líneas voy a realizar otra propuesta que, espero, sea un poco más útil de cara al negocio…

Bring Your Own Data

Muchos de los quebraderos de cabeza que genera el BYOD a las empresas se pueden reducir a unos pocos problemas, los cuales podrían calificarse de discretos. Por citar algunos: la multiplicidad de dispositivos y sistemas operativos, lo inapropiado de una plataforma particular para un determinado role o los aspectos legales a la hora de realizar modificaciones en el equipo de alguien, por ejemplo, cuando estamos ante la tesitura de cómo “borrar” legalmente información de un dispositivo que no es de nuestra propiedad.

Para hacer frente a estos retos se demandan enfoques alternativos. Una de estas estrategias ha sido bautizada con el nombre de «BYOD Inverso», donde un dispositivo propiedad de la empresa se entrega al empleado tanto para su uso personal como profesional. Esta estrategia tiene más recorrido y ofrece el comienzo de una estrategia viable a largo plazo para la empresa.

Básicamente, “BYOD Inverso” no es otra cosa que el regreso a aquellos tiempos en los que el usuario llevaba un dispositivo de la empresa y esos días, ciertamente, no van a volver. El consumidor de hoy demanda personalización, oferta, capacidad de elección, o como diría Henry Ford: “cualquier color…, siempre y cuando sea negro”. Descripciones más amplias podrían incluir ideas como la restricción de esos dispositivos a distintas infraestructuras que “no sean de confianza” y tratarlos siempre como algo externo. ¡Bien!, el tiempo pasado llamó a la puerta, pero esto no quiere decir que cualquier tiempo pasado fuera mejor. La integración de dispositivos y datos se produce fuera de cualquier hardware aplicable a los límites de la red y es poco realista imaginar que manteniendo los smartphones fuera de la red empresarial, los riesgos van a aminora.

Y aquí es donde Bring Your Own Data entra en juego

Las empresas tienen que asumir que la consumerización de las tecnologías es una realidad y que sus empleados ya viven en un mundo donde la elección se considera algo normal. Por su parte, los empleados tienen que reconocer que el acceso a datos confidenciales en el lugar de trabajo conlleva ciertas obligaciones. Una estrategia Bring Your Own Data supone que las compañías pueden ofrecer dispositivos hardware de un grupo de “empresas autorizadas”, que están aprobados para su gestión y adecuados a la función del empleado.

Las empresas ya no están en posición de tener que decir sí a todo para todos, ni están obligadas a soportar todas las opciones de cada sistema operativo de cada fabricante. Aquellos que están en la posición de acceder a la información más sensible deben ser capaces de poder elegir qué dispositivo Blackberry o iOS quieren utilizar, mientras que aquellos con acceso a información menos crítica podrían escoger entre ciertos dispositivos con Android, por ejemplo.

La clave del éxito consiste en crear una cultura en la que los empleados se sientan, a la vez, autorizados y facultados para llevar sus propios datos personales en los dispositivos propiedad de la empresa. Esto reduce la tentación, o la necesidad, de que dispositivos no gestionados ni aprobados puedan “colarse” en el corazón de la red y ofrece todos los beneficios, personales y de negocio, de poner la tecnología más avanzada al alcance de la mano de los empleados.

Como ocurre con la mayoría de los retos relacionados con la Seguridad de la Información, la clave para esto es humana, la seguridad por consenso supera a la seguridad por imposición. Sólo una cosa es cierta, BYOD, en cualquiera de sus definiciones, es ya una realidad y es necesario considerar “Bring Your Own Defense “ o “Trae tu propia defensa”, porque si se opta políticas de “Bring Your Own Denial”, o de negación y rechazo a los cambios, no se va a conseguir detener la evolución.