¿Qué son los dispositivos administrados y no administrados? ¿Cómo protegerlos?

A medida que los modelos de trabajo modernos cambian entre entornos remotos, híbridos y presenciales, la frontera entre dispositivos personales y corporativos ya no es tan clara. Los empleados alternan entre portátiles, smartphones y tabletas; algunos proporcionados por el departamento de TI, otros de su propiedad y, a menudo, dentro del mismo flujo de trabajo.

Esta diversidad de dispositivos ha creado un doble desafío para los equipos de TI: proteger los dispositivos administrados (propiedad de la empresa) y, al mismo tiempo, proteger el creciente número de dispositivos no administrados (BYOD). 

Analicemos los dispositivos administrados y no administrados, qué significan para su postura de seguridad y cómo proteger ambos sin dificultarle la vida a los usuarios ni a su equipo de cumplimiento.

Dispositivos administrados y no administrados (BYOD): ¿cuál es la diferencia?

Al desarrollar una estrategia moderna de gestión de dispositivos, es fundamental comprender cómo se diferencian los dispositivos corporativos y los de los empleados, no solo en términos de propiedad, sino también en cómo se configuran, protegen y monitorean.

¿Qué son los dispositivos administrados?

Los dispositivos administrados son endpoints propiedad de la organización e inscritos en una solución centralizada de gestión de dispositivos, como un software de Gestión Unificada de Endpoints (UEM). Estos dispositivos están completamente bajo control de TI, lo que permite a los administradores aplicar políticas de seguridad, implementar actualizaciones del sistema operativo y de las aplicaciones, configurar políticas, supervisar la actividad de los dispositivos y los usuarios, y solucionar problemas de forma remota cuando sea necesario.

Las características clave de los dispositivos administrados incluyen: 

• Hardware propiedad de la empresa
• Inscrito en la plataforma MDM/UEM
• Visibilidad y control total para los equipos de TI
• Políticas de seguridad reforzadas (cifrado, gestión de aplicaciones, políticas de código de acceso, etc.)
• Ideal para uso corporativo con poco o ningún uso personal.

Caso de uso: Una empresa de logística entrega tabletas Android al personal de reparto, preconfiguradas únicamente con aplicaciones relacionadas con el trabajo y bloqueadas a través del modo quiosco para evitar su uso indebido.

¿Qué son los dispositivos no administrados (BYOD)?

Dispositivos no administrados, comúnmente conocidos como BYOD (Traiga su propio dispositivo)Son teléfonos inteligentes, portátiles o tabletas personales que los empleados utilizan para acceder a los recursos corporativos. Estos dispositivos no están completamente registrados en una UEM, pero pueden contar con controles de seguridad ligeros, como la contenedorización o la gestión basada en aplicaciones, para proteger los datos empresariales.

Caracteristicas claves:

• Hardware propiedad de los empleados
• Control limitado o nulo a nivel de dispositivo por parte de TI
• Separación de datos mediante contenedores o políticas específicas de la aplicación
• Riesgo potencialmente mayor debido a patrones de uso personales
• Se utiliza a menudo en entornos de trabajo híbridos o remotos.

Caso de uso:

Un empleado accede a su correo electrónico de trabajo y a sus aplicaciones comerciales desde su iPhone personal, que tiene un contenedor de trabajo seguro administrado por la solución UEM de la empresa.

¿Es BYOD un riesgo para la seguridad? No, si se gestiona correctamente.

BYOD suele tener mala reputación en el ámbito informático, y con razón. Los dispositivos personales presentan diversas configuraciones, amenazas desconocidas y una visibilidad informática limitada. 

Pero aquí está la verdad: BYOD no es inherentemente inseguro. 

El verdadero riesgo reside en cómo se gestiona o no. 

Con los controles adecuados, BYOD puede ser seguro y flexible. Las herramientas de gestión actuales facilitan la protección de datos sin interferir con los usuarios.

Herramientas modernas que permiten BYOD seguro

• Soluciones UEM con inscripción BYOD: Los principales UEM ahora admiten BYOD con control selectivo, utilizando contenedores y perfiles en lugar de una gestión completa del dispositivo.
• Contenedorización: Crea un espacio de trabajo seguro y aislado en dispositivos personales. Los datos de trabajo permanecen cifrados, controlados por políticas y se pueden borrar sin necesidad de modificar el contenido personal.
• Acceso condicional y de confianza cero: Aplica reglas de acceso según el estado del dispositivo, el sistema operativo, la ubicación y el cumplimiento normativo. Solo los dispositivos verificados acceden a las aplicaciones empresariales.

Con estas herramientas en juego, BYOD deja de ser un vector de riesgo y se convierte en una extensión controlada y segura de su ecosistema empresarial.

Cómo elegir la estrategia de dispositivo adecuada: ¿administrada, no administrada o ambas?

No existe una solución universal para la estrategia de endpoints. La combinación adecuada, ya sean dispositivos administrados, BYOD o ambos, depende de las operaciones de la organización, las necesidades de cumplimiento normativo y el funcionamiento de sus equipos. 

En la práctica, muchas organizaciones combinan ambos: dispositivos administrados para roles que requieren un control estricto y BYOD seguro para mayor flexibilidad, donde el riesgo es menor. Para lograr este equilibrio, los líderes de TI deben evaluar tanto las prioridades de toda la organización como los requisitos a nivel de dispositivo en cuanto a control, costo y experiencia del usuario.

Factores a tener en cuenta a nivel empresarial:

• Cumplimiento normativo: En los sectores de la salud, las finanzas y la aviación, los dispositivos totalmente administrados y encriptados son la opción predeterminada.
• Postura de seguridad: Las organizaciones de alto riesgo (por ejemplo, contratistas gubernamentales, infraestructura crítica) necesitan un control que los modelos BYOD no pueden garantizar completamente. 
• modelo de trabajo: Los lugares de trabajo remotos utilizan dispositivos administrados y BYOD de manera efectiva ya que los dispositivos administrados ofrecen consistencia de TI; BYOD agrega flexibilidad y acelera la incorporación.
• Recursos de TI y gastos generales: La gestión de dispositivos propiedad de la empresa consume muchos recursos, mientras que BYOD reduce los costos de hardware pero complica la aplicación de políticas.
• Experiencia de usuario y flexibilidad: BYOD funciona cuando el acceso es fluido y los datos personales se mantienen privados. Esto aumenta la satisfacción y la productividad del usuario. 

Factores específicos del dispositivo a evaluar: 

Cómo proteger los dispositivos administrados

La protección de los dispositivos administrados es fundamental en cualquier estrategia de TI empresarial. Gracias a ello, los equipos de TI pueden proteger el sistema operativo, las aplicaciones, los datos y el acceso a la red sin depender de usuarios ni herramientas de terceros.

Con un Solución de gestión unificada de terminales (UEM) Una vez implementadas, las organizaciones pueden aplicar estas medidas a escala, en Android, iOS, Windows, macOS, ChromeOS y Linux.

A continuación se explica cómo las organizaciones modernas pueden proteger sus dispositivos administrados de manera efectiva:

1. Gestión de actualizaciones y parches del sistema operativo

Mantener el sistema operativo actualizado es fundamental. Las soluciones UEM permiten a los equipos de TI automatizar las actualizaciones del sistema operativo e implementar parches de seguridad sin intervención manual del usuario.

• Para Android, esto incluye actualizaciones oportunas de la versión del sistema operativo para minimizar el riesgo de vulnerabilidades conocidas.
• Para Windows, ChromeOS y macOS, los UEM pueden aplicar actualizaciones importantes y parches de seguridad críticos en los puntos finales.
• Esto garantiza que todos los dispositivos cumplan constantemente con los últimos estándares de seguridad y conjuntos de funciones.

2. Aplicación de parches a aplicaciones de terceros

Más allá del sistema operativo, la mayoría de las vulnerabilidades residen en aplicaciones de terceros. Los UEM permiten a los equipos de TI:

• Supervisar y aplicar parches a aplicaciones de uso común, como navegadores, herramientas de mensajería y suites de productividad.
• Automatizar actualizaciones para aplicaciones como Zoom, Chrome y Slack
• Reducir los riesgos sin depender de la acción del usuario

3. Cifrado de datos

Los datos deben permanecer seguros en reposo. Los UEM pueden implementar protocolos de cifrado nativos en todas las plataformas de dispositivos. Por ejemplo: 

• Cifrado BitLocker para puntos finales de Windows.
• Cifrado de FileVault para dispositivos macOS.

Esto garantiza que incluso si un dispositivo se pierde o es robado, los datos permanecerán ilegibles y protegidos contra acceso no autorizado.

4. Modo quiosco

Para dispositivos de primera línea propiedad de la empresa, modo kiosco restringe el uso a una sola aplicación o a un conjunto predefinido de aplicaciones y ayuda a: 

• El uso de modo quiosco de aplicación única para bloquear dispositivos en una aplicación específica o un grupo seleccionado de aplicaciones.
• En cajas de venta minorista, herramientas de campo y quioscos de comentarios
• Aumentar la concentración y la productividad limitando las distracciones
• Minimizar los riesgos de seguridad bloqueando el acceso innecesario al sistema

5. Autenticación del dispositivo (controles de acceso sensibles al contexto)

Utilizando parámetros contextuales, TI puede:

• Definir reglas de acceso basadas en el contexto, como hora, ubicación y red.
• Restrinja el acceso fuera del horario laboral o desde zonas geográficas de riesgo
• Aplicar 'estilo tarjeta llave'lógica para permitir solo condiciones de acceso confiables
• Evite el acceso no autorizado sin supervisión manual constante

6. Acceso de administrador Just-in-Time (JIT)

Los derechos de administrador permanentes son un riesgo de seguridad. Acceso justo a tiempo (JIT) Permite la elevación temporal de privilegios para tareas específicas y revoca automáticamente los derechos de administrador tras un periodo determinado. Esto es especialmente útil para ordenadores de escritorio y portátiles administrados, ya que garantiza que los usuarios solo tengan acceso elevado cuando sea absolutamente necesario y ni un segundo más.

7. Túnel VPN

Un túnel seguro y cifrado es esencial cuando los dispositivos se conectan a redes públicas o domésticas. Las soluciones de seguridad de endpoints integradas en UEM pueden implementar el uso de VPN permanente o condicional, garantizando así que todo el tráfico corporativo se enrute por canales seguros. Esto protege los datos en tránsito y oculta la actividad empresarial de actores maliciosos.

8. Filtrado de contenido web

Al restringir el acceso a sitios web no laborales o maliciosos, el filtrado web previene la exposición accidental a phishing, malware o contenido innecesario. Los administradores pueden bloquear directamente categorías de dominio específicas, como redes sociales, contenido para adultos o comercio electrónico, lo que aumenta la productividad y mejora la higiene de los endpoints.

9. Autenticación de Wi-Fi y VPN basada en certificados

En lugar de depender de credenciales compartidas, las UEM pueden distribuir certificados digitales a los endpoints para una autenticación de red segura y sin interrupciones. Esto es especialmente efectivo en dispositivos empresariales Android y Windows, lo que permite una conectividad sin intervención a redes y VPN aprobadas.

10. Políticas de contraseña y autenticación

Es fundamental exigir el uso de contraseñas seguras y rotativas regularmente. Estas medidas reducen el riesgo de acceso no autorizado a los dispositivos. Los UEM pueden implementar:

• Complejidad mínima del código de acceso
• Requisitos de autenticación biométrica
• Bloqueo automático después de períodos de inactividad

11. Integración con Mobile Threat Defense (MTD)

 La integración de UEM y MTD amplía la protección contra amenazas específicas de dispositivos móviles como:

• Dispositivos rooteados o jailbreakeados
• Aplicaciones maliciosas
• Conexiones Wi-Fi no seguras
  Los UEM pueden activar respuestas automatizadas (como aislar o borrar el dispositivo) cuando se detectan amenazas.

12. Restricciones periféricas

Para evitar la transferencia no autorizada de datos, los UEM pueden bloquear el uso de periféricos como puertos USB, ranuras para tarjetas SD y dispositivos de almacenamiento externo como memorias USB y discos duros. Esto es necesario en industrias reguladas y para proteger datos confidenciales.

13. Seguimiento de ubicación y geocercas

Los UEM proporcionan seguimiento de ubicación en tiempo real Para dispositivos perdidos o robados. Además, el geofencing permite a los administradores crear límites virtuales y aplicar políticas basadas en la ubicación. Por ejemplo, desactivar la cámara o bloquear ciertas aplicaciones cuando un dispositivo entra en una instalación segura.

14. Gestión de la configuración de red

Los administradores pueden configurar remotamente las opciones de Wi-Fi, VPN y proxy en sus flotas de dispositivos. Se puede restringir el uso de Wi-Fi público y se pueden implementar automáticamente redes empresariales seguras, lo que reduce el riesgo de ataques de intermediario (MitM).

15. Políticas de usuario, dispositivo y subgrupo

Los UEM permiten la agrupación lógica de usuarios y dispositivos según roles, ubicación o departamento. Esto permite la aplicación de políticas personalizadas, una delegación más sencilla del control de TI y una gestión escalable del ciclo de vida de los dispositivos.

16. Control de configuración de comunicación

El departamento de TI puede regular las funciones de comunicación de los dispositivos, como las llamadas salientes, los SMS/MMS y el uso compartido de Bluetooth. Restringir estas funciones ayuda a prevenir la exfiltración de datos y a aplicar las políticas de la organización.

17. Monitoreo y gestión remota (RMM)

Los administradores pueden ejecutar comandos como bloquear, reiniciar, borrar o restablecer desde una consola central. Los parámetros de estado del dispositivo, como la batería, la memoria y el almacenamiento, se pueden supervisar en tiempo real. La resolución remota de problemas también minimiza el tiempo de inactividad y reduce la necesidad de soporte in situ.

18. Monitoreo y remediación automatizados del cumplimiento

Con la monitorización automatizada continua, los dispositivos se analizan proactivamente para detectar problemas de cumplimiento, como cifrado desactivado, un sistema operativo desactualizado o un dispositivo que incumple las políticas; la corrección automatizada se activa al instante. Acciones como:

• Bloqueo automático de la pantalla
• Visualización de mensajes de advertencia
• Borrado de datos corporativos

Ayuda a mantener la postura de seguridad sin intervención manual.

Cómo lidiar con dispositivos no administrados (BYOD)

Gestionar y proteger dispositivos BYOD (dispositivos personales) no administrados presenta desafíos únicos. Dado que la organización no posee ni controla completamente estos dispositivos, puede resultar más difícil implementar medidas de seguridad estándar. Sin embargo, con las herramientas y estrategias adecuadas, los equipos de TI pueden garantizar que los dispositivos BYOD cumplan con los estándares de seguridad corporativos.

A continuación se explica cómo las organizaciones pueden proteger los dispositivos no administrados:

1. Containerización

La contenedorización es una de las maneras más efectivas de separar los datos laborales de los personales en dispositivos BYOD. Un contenedor de trabajo encapsula las aplicaciones, los datos y los documentos corporativos, manteniéndolos aislados de las aplicaciones y los archivos personales del usuario. 

Esto garantiza la protección de la información corporativa confidencial incluso si la parte personal del dispositivo se ve comprometida. Con las soluciones UEM, la contenedorización también permite un control granular sobre las aplicaciones de trabajo, como la aplicación del cifrado, el control del acceso a los datos e incluso el borrado remoto del contenedor de trabajo sin afectar los datos personales.

2. Gestión de aplicaciones

Aunque los dispositivos BYOD no se gestionen centralmente, los equipos de TI pueden controlar las aplicaciones implementadas en el contenedor de trabajo de estos dispositivos. Los administradores pueden bloquear y permitir aplicaciones, o crear una lista de aplicaciones permitidas que se puede aplicar para garantizar que los usuarios finales solo tengan acceso a aplicaciones de confianza. 

Además, las configuraciones de aplicaciones administradas se pueden aplicar para configurar las aplicaciones según las políticas corporativas. Por ejemplo, las organizaciones pueden implementar configuraciones como restringir la función de copiar y pegar en documentos confidenciales.

3. Aplicación de políticas de seguridad

Para garantizar la seguridad de los datos de trabajo en los dispositivos BYOD, las organizaciones pueden aplicar una variedad de políticas de seguridad en el contenedor de trabajo, como:

• Cifrado de datos para datos relacionados con el trabajo almacenados dentro del contenedor (para garantizar que los datos estén protegidos incluso si el dispositivo se pierde o es robado).
  
• Políticas de contraseña para contenedores de trabajo, que exigen a los usuarios introducir una contraseña segura antes de acceder a los recursos corporativos. Esto puede incluir opciones de autenticación biométrica, como el escaneo de huellas dactilares o el reconocimiento facial, para mayor seguridad.
• Al aplicar estas políticas, las organizaciones pueden mitigar el riesgo de acceso no autorizado a los datos de trabajo y, al mismo tiempo, permitir que los usuarios mantengan separados sus datos personales.

4. Acceso condicional al correo electrónico

El correo electrónico suele ser un vector principal de filtraciones de datos, especialmente en dispositivos BYOD, donde el propietario tiene la flexibilidad de instalar y usar aplicaciones de terceros. Para proteger el acceso al correo electrónico, las organizaciones pueden usar políticas de acceso condicional para garantizar que solo los dispositivos que cumplen con requisitos de seguridad específicos, como el cifrado, la versión del sistema operativo, etc., accedan a las cuentas de correo electrónico corporativas. Esto garantiza que, incluso si el dispositivo no cumple con todos los requisitos, se pueda restringir o controlar el acceso al correo electrónico corporativo.

5. Prevención de pérdida de datos (DLP) a nivel de contenedor

Prevención de pérdida de datos (DLP) Las capacidades se pueden implementar a nivel de contenedor para garantizar que los datos corporativos dentro del contenedor de trabajo no se compartan indebidamente. Esto puede incluir:

• Restringir la funcionalidad de copiar y pegar desde aplicaciones de trabajo a aplicaciones personales u otras áreas no autorizadas.
• Deshabilitar capturas de pantalla para evitar que se capturen y compartan datos confidenciales.
• Restringir el uso compartido de archivos entre aplicaciones laborales y personales para evitar transferencias de datos no autorizadas.
  Las herramientas DLP a nivel de contenedor garantizan que incluso si un dispositivo se ve comprometido o se pierde, la información confidencial permanece protegida.

6. Gestión de contenidos

Gestionar el contenido de los dispositivos BYOD, en particular los documentos y archivos que forman parte del contenedor de trabajo, es crucial para mantener la seguridad de los datos. Los equipos de TI pueden implementar políticas sobre qué contenido es accesible y cómo se puede utilizar. 

Por ejemplo, es posible que los documentos solo se puedan ver en aplicaciones específicas, y que la descarga o impresión de documentos esté restringida para evitar la exfiltración no autorizada de datos. Los sistemas de gestión de contenido garantizan que los empleados puedan seguir accediendo a los documentos de trabajo necesarios sin comprometer la seguridad.

7. Soporte remoto

En caso de un incidente de seguridad o de que un usuario necesite asistencia, las herramientas de soporte remoto permiten a los administradores de TI solucionar problemas o brindar soluciones directamente en los dispositivos BYOD. Por ejemplo, si un dispositivo BYOD se ve comprometido o el empleado detecta un problema que podría provocar una brecha de seguridad, el equipo de TI puede acceder remotamente al dispositivo, supervisar su estado y aplicar las correcciones o políticas de seguridad necesarias. Esto garantiza una rápida resolución de problemas, manteniendo la seguridad del dispositivo.

Con Scalefusion, proteger dispositivos administrados y no administrados se vuelve sencillo

A medida que crece la adopción del trabajo híbrido y BYOD, proteger los dispositivos, tanto administrados como no administrados, se ha convertido en una responsabilidad fundamental de TI. Scalefusion ayuda a los equipos de TI a gestionar y proteger dispositivos en plataformas como Windows, Android, iOS, macOS, Linux y ChromeOS.

El departamento de TI puede implementar políticas de seguridad de forma centralizada mediante perfiles de dispositivos, garantizando así el cumplimiento normativo tanto de los dispositivos corporativos como de los personales. Con controles automatizados y una implementación consistente, Scalefusion reduce el riesgo sin depender de la intervención del usuario.

También protege datos confidenciales a la vez que mantiene la facilidad de uso de los dispositivos, lo que permite flexibilidad sin comprometer la seguridad. Ya sean dispositivos corporativos o propiedad de los empleados, Scalefusion simplifica el cumplimiento normativo y la gestión de riesgos sin la complejidad habitual.

Preguntas Frecuentes

 1. ¿Qué es la gestión de dispositivos de seguridad?

La gestión de dispositivos de seguridad implica el uso de herramientas como UEM o MDM para supervisar, configurar e implementar políticas de seguridad en dispositivos corporativos y personales. Garantiza la protección de datos confidenciales, el cumplimiento de los requisitos de cumplimiento normativo y la seguridad de los dispositivos mediante el control de acceso, la aplicación de parches y el cifrado.

2. ¿Pueden los dispositivos BYOD cumplir con regulaciones industriales como HIPAA o GDPR?

Sí, los dispositivos BYOD pueden cumplir con normativas como HIPAA o RGPD si se aplican las medidas de seguridad adecuadas. Con la UEM, la contenerización y la prevención de pérdida de datos (DLP), las empresas pueden proteger la información confidencial en dispositivos personales mediante cifrado, borrado remoto y acceso condicional, garantizando el cumplimiento normativo y evitando el acceso no autorizado.

5. ¿Por qué son peligrosos los dispositivos no administrados?

Los dispositivos no administrados son riesgosos porque carecen de controles de seguridad centralizados, lo que expone los datos corporativos confidenciales a amenazas como malware, fugas de datos y accesos no autorizados. Sin una supervisión o cifrado adecuados, estos dispositivos pueden convertirse fácilmente en puntos de entrada para ciberataques. La falta de medidas de seguridad consistentes dificulta la aplicación de políticas y la garantía de que los dispositivos personales cumplan con los estándares de seguridad de la organización.

3. ¿Cuáles son los principales riesgos de los dispositivos no gestionados en el lugar de trabajo?

Los dispositivos BYOD no administrados presentan riesgos como fugas de datos, malware y falta de medidas de seguridad consistentes. Sin una gestión centralizada, es más difícil aplicar los protocolos de seguridad, y si un dispositivo se pierde o es robado, los datos corporativos podrían verse comprometidos. Estos riesgos se pueden minimizar con herramientas como la contenedorización y el borrado remoto.

4. ¿Cómo protege la contenerización los datos corporativos en los dispositivos personales?

La contenedorización aísla los datos corporativos en un entorno seguro en dispositivos personales, garantizando su separación de las aplicaciones personales. Esto impide el acceso no autorizado y permite al departamento de TI cifrar datos, implementar controles de acceso y borrar datos remotamente del contenedor corporativo si es necesario, sin afectar los datos personales.