Control de Dispositivos BYOD

📋 Información General

Documento: Control de Dispositivos BYOD
Versión: 1.0.0
Fecha: Enero 2025
Clasificación: Confidencial
Audiencia: Empleados, IT Support, Equipo de seguridad, RRHH, Supervisores

🎯 Propósito

Establecer lineamientos de seguridad integrales para el uso de dispositivos personales (BYOD - Bring Your Own Device) en el entorno corporativo de DivisionCero, balanceando la productividad y flexibilidad laboral con la protección de información corporativa, minimizando riesgos de seguridad, garantizando cumplimiento regulatorio y manteniendo la separación adecuada entre datos personales y corporativos en dispositivos de propiedad del empleado.

🏢 Alcance

Esta política aplica a:

• Smartphones y tablets personales utilizados para trabajo
• Laptops y computadoras personales con acceso a recursos corporativos
• Dispositivos wearables con capacidades de red (smartwatches, fitness trackers)
• Dispositivos IoT personales en espacios de trabajo (asistentes virtuales, cámaras)
• Vehículos personales con sistemas conectados utilizados para trabajo
• Todos los empleados, contratistas y consultores de DivisionCero
• Trabajadores remotos y personal distribuido geográficamente

📚 Definiciones

• BYOD (Bring Your Own Device): Uso de dispositivos personales para actividades laborales
• Containerización: Separación lógica entre datos corporativos y personales en el dispositivo
• MDM (Mobile Device Management): Gestión centralizada de políticas en dispositivos móviles
• MAM (Mobile Application Management): Control de aplicaciones corporativas en dispositivos
• Remote Wipe: Eliminación remota de datos corporativos del dispositivo
• Dual Persona: Separación de perfiles profesional y personal en el mismo dispositivo
• Shadow IT: Uso no autorizado de tecnología no aprobada por TI corporativo

🛡️ Política

Elegibilidad y Autorización BYOD

Criterios de Participación

1. Elegibilidad de Empleados

• Empleados de tiempo completo con al menos 6 meses de antigüedad
• Contratistas con contratos >12 meses y autorización específica del supervisor
• Roles que requieren movilidad o trabajo remoto frecuente
• Completion de capacitación de seguridad y aceptación de políticas BYOD
• Evaluación de riesgo aprobada basada en nivel de acceso a datos
• Firma de acuerdo de responsabilidad BYOD actualizado anualmente

2. Categorización de Dispositivos BYOD

• Categoría A (Bajo Riesgo): Acceso básico a email y calendario corporativo
• Categoría B (Riesgo Medio): Acceso a aplicaciones SaaS y documentos corporativos
• Categoría C (Alto Riesgo): Acceso a sistemas críticos y datos confidenciales
• Categoría D (Crítico): Acceso a información altamente sensible o regulada

3. Proceso de Aprobación

• Solicitud formal através de portal de autoservicio de TI
• Aprobación del supervisor directo con justificación de negocio
• Evaluación de riesgo por equipo de seguridad para categorías C y D
• Configuración y enrollment del dispositivo por personal autorizado
• Documentación completa en sistema de gestión de activos
• Revisión anual de autorización y necesidad de acceso

Requisitos Técnicos del Dispositivo

Especificaciones Mínimas

4. Sistemas Operativos Soportados

• iOS: Versión 15.0 o superior con actualizaciones automáticas habilitadas
• Android: Versión 11 o superior, preferentemente Android Enterprise
• Windows: Windows 10/11 Pro con TPM 2.0 y cifrado BitLocker
• macOS: Version 12.0 (Monterey) o superior con FileVault habilitado
• Prohibition de dispositivos con jailbreak/root o modificaciones de firmware
• Dispositivos en lista de fabricantes aprobados (Samsung, Apple, Google, Microsoft)

5. Configuración de Seguridad Obligatoria

• PIN/password de desbloqueo mínimo 6 dígitos o biometría configurada
• Timeout automático de pantalla máximo 10 minutos
• Cifrado de almacenamiento habilitado a nivel de dispositivo
• Actualizaciones de seguridad automáticas del sistema operativo
• Firewall personal habilitado con configuración restrictiva
• Prohibición de instalación de aplicaciones de fuentes desconocidas

6. Gestión mediante MDM/MAM

• Enrollment obligatorio en plataforma MDM corporativa (Microsoft Intune)
• Separación de contenedores personal y corporativo
• Instalación de aplicaciones corporativas através de managed app store
• Políticas de compliance continua con verificación automática
• Capacidad de remote wipe selectivo de datos corporativos únicamente
• Monitoreo de compliance sin acceso a datos personales del usuario

Aplicaciones y Servicios Corporativos

Aplicaciones Autorizadas

7. Suite de Productividad

• Microsoft 365 (Outlook, Teams, Word, Excel, PowerPoint, SharePoint)
• Aplicaciones de comunicación empresarial aprobadas
• Cliente VPN corporativo con certificados de dispositivo
• Aplicaciones de gestión de contraseñas empresariales
• Cliente de backup corporativo para datos de trabajo
• Herramientas de colaboración y video conferencia autorizadas

8. Aplicaciones Prohibidas

• Aplicaciones de cloud storage personal (Dropbox, Google Drive personal)
• Clientes de email no corporativos para uso de trabajo
• Aplicaciones de messaging no aprobadas para comunicaciones de negocio
• Software P2P, torrenting o file sharing
• Aplicaciones con reputación de seguridad cuestionable
• Herramientas de remote access no autorizadas

Gestión de Datos Corporativos

9. Separación de Datos

• Containerización estricta entre datos personales y corporativos
• Prohibición de copia/pegado entre aplicaciones corporativas y personales
• Políticas DLP aplicadas a aplicaciones corporativas en el dispositivo
• Watermarking automático de documentos corporativos sensibles
• Prevención de screenshots en aplicaciones corporativas críticas
• Sincronización de datos corporativos únicamente con servicios autorizados

10. Clasificación y Manejo de Información

• Identificación automática de datos según clasificación corporativa
• Controles diferenciados basados en sensibilidad de información
• Prohibición de almacenamiento local para información Confidencial o superior
• Cifrado adicional para documentos categorizados como Críticos
• Políticas de retención automática para datos temporales
• Auditoría de acceso a documentos sensibles con logging detallado

Controles de Red y Conectividad

Acceso a Redes Corporativas

11. Conectividad VPN

• VPN corporativa obligatoria para acceso a recursos internos
• Autenticación multifactor requerida para conexiones VPN
• Split tunneling controlado por políticas de datos
• Certificados digitales de dispositivo para autenticación
• Monitoreo continuo de conexiones VPN activas
• Revocación automática de certificados para dispositivos no compliance

12. Restricciones de Red

• Prohibición de hotspots WiFi públicos no seguros para trabajo
• Whitelist de redes WiFi corporativas y autorizadas
• Bloqueo de redes conocidas como maliciosas o inseguras
• Políticas de geolocalización para restricciones de acceso por ubicación
• Limitaciones de ancho de banda para dispositivos BYOD en red corporativa
• Segregación de tráfico BYOD de dispositivos corporativos

Monitoreo y Compliance

Verificación Continua

13. Health Checks Automatizados

• Verificación diaria de compliance con políticas de seguridad
• Escaneo de malware y aplicaciones potencialmente peligrosas
• Validación de actualizaciones de seguridad pendientes
• Monitoreo de intentos de jailbreak/root en tiempo real
• Verificación de integridad del agente MDM
• Alertas automáticas para dispositivos fuera de compliance

14. Reporting y Auditoría

• Dashboard ejecutivo con métricas de programa BYOD
• Reportes mensuales de compliance y excepciones identificadas
• Auditoría de accesos desde dispositivos BYOD
• Métricas de uso de aplicaciones corporativas en dispositivos personales
• Reportes de incidentes de seguridad relacionados con BYOD
• Tracking de costos y beneficios del programa BYOD

Detección de Amenazas

15. Security Monitoring

• Integración con SIEM corporativo para eventos de dispositivos BYOD
• Detección de comportamiento anómalo en aplicaciones corporativas
• Monitoreo de intentos de acceso desde ubicaciones inusuales
• Correlación de eventos entre dispositivos BYOD y infraestructura corporativa
• Threat intelligence aplicada a aplicaciones instaladas en dispositivos
• Respuesta automatizada para dispositivos con indicadores de compromiso

16. Incident Response

• Procedimientos específicos para incidentes en dispositivos BYOD
• Capacidad de aislamiento selectivo de aplicaciones corporativas
• Remote wipe de contenido corporativo sin afectar datos personales
• Investigación forense limitada respetando privacidad del empleado
• Coordinación con propietario del dispositivo para remediación
• Documentación de incidentes con consideraciones legales y de privacidad

Responsabilidades del Empleado

Obligaciones del Usuario BYOD

17. Cuidado y Protección del Dispositivo

• Protección física del dispositivo contra robo, pérdida o daño
• Reporte inmediato (< 2 horas) de pérdida, robo o compromiso del dispositivo
• Mantenimiento de actualizaciones de seguridad del sistema operativo
• Uso responsable del dispositivo evitando actividades de alto riesgo
• Protección de credenciales de acceso y no compartir con terceros
• Notificación proactiva de problemas técnicos que afecten seguridad

18. Compliance con Políticas Corporativas

• Cumplimiento estricto con todas las políticas de seguridad aplicables
• Participación en capacitaciones de seguridad BYOD anuales
• Cooperation con auditorías y verificaciones de compliance
• Reporte de actividades sospechosas o intentos de comprometer el dispositivo
• Mantenimiento de separación entre uso personal y corporativo
• Aceptación de limitaciones de privacidad en el ámbito corporativo del dispositivo

Soporte y Responsabilidades Corporativas

Soporte Técnico

19. Niveles de Soporte

• Nivel 1: Configuración inicial, enrollment MDM, problemas básicos de aplicaciones
• Nivel 2: Troubleshooting avanzado, problemas de connectivity, policy issues
• Nivel 3: Problemas de seguridad, incidents response, integration issues
• Límites: No soporte para hardware, problemas de dispositivo no relacionados con trabajo
• SLAs: 4 horas para problemas críticos, 24 horas para problemas normales
• Canales: Portal autoservicio, chat, email, teléfono para emergencias

20. Consideraciones Legales y de Privacidad

• Respeto por privacidad de datos personales en dispositivos BYOD
• Transparencia en datos corporativos que serán monitoreados
• Consentimiento explícito para acciones de remote wipe selectivo
• Compliance con regulaciones locales de protección de datos
• Procedimientos claros para separación laboral y retención de datos personales
• Legal disclaimers y limitaciones de responsabilidad corporativa

Terminación y Offboarding

Proceso de Salida

21. Desvinculación de Empleados

• Notificación inmediata a TI sobre terminación de empleado
• Remote wipe automático de aplicaciones y datos corporativos
• Revocación de certificados de dispositivo y accesos VPN
• Eliminación de dispositivo de políticas MDM con preservación de datos personales
• Verificación de eliminación completa de información corporativa
• Documentación del proceso de limpieza para auditoría

22. Cambios de Rol o Reclasificación

• Revisión de nivel de acceso BYOD según nuevo rol
• Modificación de políticas MDM basadas en nueva clasificación de riesgo
• Re-enrollment si es necesario cambio de categoría de dispositivo
• Auditoría de datos accesibles con nuevo nivel de autorización
• Actualización de acuerdos BYOD si aplica cambio significativo
• Training adicional para nuevos niveles de acceso si es requerido

👥 Roles y Responsabilidades

• Empleados BYOD: Cumplir políticas, proteger dispositivos, reportar incidentes, mantener compliance
• Supervisores: Aprobar solicitudes BYOD, validar necesidad de negocio, supervisar cumplimiento
• IT Support: Configurar dispositivos, brindar soporte técnico, mantener MDM platform
• Security Team: Monitorear compliance, investigar incidentes, mantener políticas de seguridad
• RRHH: Gestionar acuerdos legales, coordinar onboarding/offboarding, capacitaciones
• Legal/Compliance: Asegurar cumplimiento regulatorio, revisar acuerdos, gestionar aspectos legales

📊 Cumplimiento y Medición

KPIs del Programa BYOD:

• Porcentaje de dispositivos BYOD en compliance (objetivo: >95%)
• Tiempo promedio de enrollment de nuevos dispositivos (menos de 2 horas)
• Adoption rate de aplicaciones corporativas en dispositivos BYOD
• User satisfaction score con programa BYOD (objetivo: >4.0/5.0)

Métricas de Seguridad:

• Número de incidentes de seguridad en dispositivos BYOD (tendencia decreciente)
• Tiempo promedio de detección de dispositivos no compliance (menos de 4 horas)
• Porcentaje de dispositivos con actualizaciones de seguridad al día (>90%)
• Efectividad de remote wipe selectivo (100% éxito)

Indicadores de Riesgo:

• Dispositivos BYOD con jailbreak/root detectados
• Aplicaciones no autorizadas con acceso a datos corporativos
• Dispositivos conectados desde ubicaciones geográficas no autorizadas
• Violations de políticas DLP en aplicaciones corporativas

Métricas Operacionales:

• Costo promedio por dispositivo BYOD vs. dispositivo corporativo
• Reducción en tickets de soporte IT por dispositivos gestionados
• Tiempo de respuesta a solicitudes de soporte BYOD
• Retention rate de empleados en programa BYOD

🚨 Incumplimiento

Violaciones Críticas:

• Jailbreak/root del dispositivo con acceso a datos corporativos
• Instalación de aplicaciones maliciosas o no autorizadas con permisos elevados
• Sharing de credenciales corporativas con terceros no autorizados
• Uso de dispositivo para actividades ilegales que comprometan a la organización

Violaciones Graves:

• No reporte de pérdida o robo de dispositivo dentro de 2 horas
• Deshabilitación intencional de agentes de seguridad o políticas MDM
• Uso de redes no seguras para acceso a información corporativa sensible
• Non-compliance persistente con políticas de actualizaciones de seguridad

Consecuencias Graduales:

1. Primera violación menor: Warning y capacitación adicional obligatoria
2. Violación repetida: Suspensión temporal de privilegios BYOD (30 días)
3. Violación grave: Revocación permanente de privilegios BYOD
4. Violación crítica: Acción disciplinaria hasta terminación, posible acción legal

Proceso de Remediación:

• Investigación inmediata con preservación de evidencia digital
• Containment automático de dispositivo y revocación de accesos temporales
• Plan de corrección específico con timeline definido
• Verificación de remediación antes de restauración de accesos
• Monitoring aumentado por período probatorio post-incidente
• Documentation completa para auditorías y lecciones aprendidas

📖 Referencias

• ISO 27001:2022 - A.6.2 Mobile device policy, A.11.2 Equipment
• NIST SP 800-124 - Guidelines for Managing the Security of Mobile Devices
• NIST SP 800-46 - Guide to Enterprise Telework, Remote Access, and BYOD
• ENISA Guidelines for SMEs on the security of personal data processing
• GDPR Article 32 - Security of processing (for EU operations)
• Mobile Security Reference Architecture - NIST SP 1800-4

📝 Control de Versiones

Última modificación: 25 de agosto de 2025