Consejos básicos para un BYOD seguro: correo electrónico y navegación web

Es habitual que se permita a los empleados que utilicen sus dispositivos personales (ordenadores portátiles, tablets, móviles, etc.) en el entorno laboral. De esta forma, se favorece la conciliación personal/laboral, se reducen costes, y se mejora la productividad. Esta forma de «actuar» es lo que se conoce con las siglas BYOD, Bring Your Own Device.

Pero debemos de tener en cuenta, que el hecho de permitir que nuestros empleados utilicen su equipo personal en el trabajo, tiene importantes implicaciones de seguridad. Especialmente en lo que se refiere a la configuración de los dispositivos, la protección de la información que se almacena, y la protección de las comunicaciones, siendo este último punto el que vamos a tratar.

Si hay dos aplicaciones o servicios que más se utilizan en el dispositivo móvil, para el uso profesional (y también personal), sin duda alguna son la navegación web y el correo electrónico. Por este motivo, la protección general de las comunicaciones y en especial de este tipo de servicios es una de las principales tareas que deberemos abordar. Al igual que ocurre con otros dispositivos más «clásicos» como los ordenadores de nuestra empresa, en el entorno móvil siguen siendo potenciales entradas de virus (malware) en las organizaciones. Pero en este caso, no sólo permitiría al ciberdelincuente acceder a las fotos y datos personales del trabajador, sino también al principal activo de nuestra empresa: la información.

Si en nuestra empresa vamos a permitir utilizar equipos personales para tareas laborales debemos establecer una política de uso de estos medios. De esta forma, delimitamos en qué ocasiones se pueden utilizar o qué medidas de seguridad se deben aplicar.

Para desarrollar esta política debemos plantearnos si permitiremos navegar o enviar correos personales desde la red de la empresa. Además de analizar la posibilidad de uso del correo corporativo con fines personales. Ambas situaciones son poco recomendables. Como alternativa, podemos ofrecerles una segunda cuenta de correo en la infraestructura de la empresa para uso personal, o una red independiente para cuando, estando en la oficina, vayan a utilizar el dispositivo para temas personales.

Para proteger el correo electrónico en un entorno BYOD podemos requerir que se diferencie claramente el correo personal del profesional de forma que evitemos que se mezclen. Para ello es recomendable utilizar programas o plataformas diferentes para ambos correos. Por ejemplo, podemos utilizar un correo web para el ámbito personal (como Gmail, Hotmail, o Yahoo Mail) y un cliente de correo estilo Outlook o Thunderbird para el correo laboral. De esta forma evitaremos que se confundan los correos, o que las copias de seguridad de los correos personales de nuestros empleados acaben en nuestros sistemas de copias.

Si vamos a permitir que nuestros empleados accedan al correo electrónico corporativo desde fuera del entorno laboral, es necesario que las conexiones estén cifradas. Para ello, puede plantearse el uso de VPN o Redes Privadas Virtuales, o el cifrado del correo mediante un protocolo criptográfico que proporcione comunicaciones seguras como el TLS (Transport Layer Security), u otras tecnologías que garanticen la confidencialidad de nuestra información.

Además debemos promover entre nuestros empleados, como una buena práctica, que cifren los correos electrónicos de la empresa que almacenen en sus equipos. Ya sea a través de aplicaciones específicas o mediante las opciones que nos ofrece el propio gestor de correo. También tenemos que instar a que hagan copias de seguridad de los mismos para evitar que, ante una pérdida o robo del equipo, nuestra información se pierda o se vea comprometida.

En lo que respecta a la navegación web, es recomendable utilizar navegadores diferentes. De esta forma, podemos diferenciar fácilmente los favoritos del entorno personal y los del laboral. También podemos eliminar o gestionar las cookies y ficheros temporales de forma independiente. Incluso nos permitirá tener configuraciones diferentes en cuanto al uso de cookies, almacenamiento de contraseñas, auto-completado de formularios, servidores proxy o uso de certificados digitales.

Si esto no fuese posible, debemos formar a nuestros empleados en el uso de los modos de navegación de incógnito que incluyen la mayoría de navegadores. Además de enseñarles a que eliminen cualquier rastro de cookies y ficheros temporales previo al cambio de contexto entre lo laboral y lo personal.

Tenemos que prestar especial atención a las nuevas opciones de sincronización de cuentas que incluyen navegadores como Chrome o Firefox. Estas permiten compartir cookies, historial, o favoritos entre distintos dispositivos, siendo esta característica no recomendable para un entorno laboral.

Por último, recordemos que a pesar de haber tomado todas las medidas posibles para proteger nuestro correo y navegación, siempre quedará una pequeña probabilidad de que nuestro dispositivo quede infectado. Por ello es importante que mantengamos nuestros dispositivos siempre actualizados con las últimas actualizaciones del sistema operativo y de todos los programas que utilicemos.

Además de contar con un firewall y un antivirus actualizado que nos protejan frente a atacantes y amenazas desconocidas, no debemos olvidar:

• no abrir adjuntos sospechosos,
• evitar navegar por sitios de poca reputación,
• no bajar programas de dudosa legalidad,
• no ejecutar cualquier fichero del que tengamos sospecha,

…independientemente del entorno en que lo hagamos, personal o laboral.

Como puedes ver, muchas de estas recomendaciones son la adaptación de lo que siempre se ha hablado en cuanto a la protección de dispositivos más «clásicos» como los ordenadores de nuestra empresa. Si queremos autorizar el uso del BYOD en nuestra empresa, ten en cuenta estos consejos. Si ya está implantado, ahora es el momento de revisar si realizamos correctamente alguno de estos puntos.

Si no es así… ¡Es la hora de aplicarlos!