Cómo implementar BYOD de manera segura...

Debido a que el movimiento "Traiga Su Propio Dispositivo" (BYOD por sus siglas en inglés) se ha convertido rápidamente en una norma aceptada, las áreas de Tecnologías de la Información en las empresas y las entidades educativas y de gobierno necesitan entender mejor cómo esta estrategia afecta todos los aspectos, más aún en lo que se refiere a la red corporativa.

BYOD es otra tendencia tecnológica en la que la empresa se mueve desde una posición de cobertura de riesgos para otra de gestión de riesgos. En lo que están cometiendo crasos errores las áreas de TI de las organizaciones es en enfocarse en solo una pieza de todo el rompecabezas como por ejemplo el dispositivo. Si las organizaciones quieren minimizar los riesgos de BYOD, será entonces realizar un concienzudo análisia para evaluar el impacto en el y al ecosistema de seguridad de la red y comprender las debilidades por más grandes o pequeñas que estas sean.

Para poder cubrir el aspecto seguridad, aquí presentamos 10 consejos para implementar BYOD de manera segura y eficaz dentro de la empresa, favoreciendo el acceso remoto y seguro a la información crítica de su negocio:

• Ir más allá de las contraseñas de la autenticación. Contraseñas estáticas, junto con los riesgos inherentes de toda implementación de BYOD, no son suficientes para garantizar un acceso remoto seguro a los datos confidenciales de la empresa y los sistemas. Las empresas deben entonces considerar métodos de autenticación de factor múltiple para reforzar la seguridad sin dejar de priorizar la usabilidad. Contraseñas "One-Time" o de una sola vez, así como métodos alternativos de notificación (por ejemplo, mensajes de texto) son dos maneras de hacer que el proceso de autenticación sea fuerte e integral.
• Acceso remoto seguro con VPN  basada en SSL. Una vez que se haya autenticado un usuario, las empresas deben asegurar la conexión de red. SSL VPN proporciona a los empleados una enorme flexibilidad para acceder a la red de forma segura desde cualquier lugar y desde cualquier dispositivo móvil. Además, a diferencia de IPSec, SSL VPN proporciona conectividad remota segura sin la necesidad de software para ser instalado en cada dispositivo.

• SSO para evitar la fatiga de contraseñas. Conexiones separadas para aplicaciones individuales son una molestia y un riesgo de seguridad, ya que los usuarios pueden implementar métodos inseguros para mantenerse al día con contraseñas diferentes. Herramientas para Single Sign On (SSO) permiten a los empleados utilizar una única contraseña para acceder a un portal de empresa y aplicaciones en la nube. Esto puede ser parte de una configuración de SSL VPN.

• Control de los nodos finales. La teoría básica y el procedimiento actual dictan que una vez que un empleado deja la empresa, el acceso a la red de éste debe interrumpirse inmediatamente. Sin embargo, eso no es siempre el caso y más aún si no hay una manera eficaz de bloquear instantáneamente a usuarios específicos. Es recomendable entonces encontrar una solución que gestione los dispositivos desde el lado corporativo no sólo a los empleados, que sea capaz de  eliminar rápidamente los privilegios de un usuario en específico con sólo pulsar unas teclas. Esta solución debe poder llevarlo a cabo sin necesidad de redefinir el directorio de usuarios pues esto lleva mucho tiempo y es una operación propensa a errores.

• Aplicación de IDs Federados. El Federar el ID significa que la identidad de una persona se almacena en varios sistemas. Esto se puede observar en aplicaciones en donde el Nombre de Usuario y la Contraseña de Facebook o Twitter se puede utilizar para iniciar sesión en otra aplicación en línea. De esta misma manera su organización este mecanismo que se autentifique un usuario en su página principal del portal (por ejemplo), para luego permitirle el acceso a sistemas internos y externos propiedad de la empresa ¿Cuáles son los beneficios? El empleado que se conecta a cualquier sistema de la empresa, ésta puede posteriormente controlar el acceso incluso a las aplicaciones basadas en la nube, mientras que el proveedor de servicios no tiene por qué mantener perfiles de usuario.
• Soft Tokens con BYOD. Los dispositivos físicos de seguridad se han convertido en algo arriesgado y engorroso. BYOD representa una gran oportunidad para que las empresas ahorren dinero en los costos que representa comprar, administrar y distribuir Hard Tokens u otros dispositivos físicos. Los Soft Tokens de seguridad que interactúan con el dispositivo empleado como un smartphone, proporcionar una solución económica que funciona para ambas partes, pues es fácilmente actualizado y administrado a medida que cambian o se añaden nuevas amenazas al escenario.

• Gestionar todo el proceso. Los riesgos inherentes que son propios de BYOD hacen que sea aún más crítico tener una visión centralizada de la actividad de la red, sea por las amenazas entrantes y/o anormalidades dentro de la red, así como la capacidad de responder rápida y fácilmente. Es importante encontrar una consola de administración centralizada que proporcione informes completos, gestión de incidencias, alertas progresivas multicanal, estadísticas georeferenciadas y la capacidad de aplicar la gobernabilidad a través de toda la plataforma.
• 
  
• Nombre un líder y ejecute una estrategia. Administrar una estrategia BYOD no debe ser una responsabilidad que se sume con los cientos de otras tareas que el administrador realiza. Es necesario entonces nombrar a un líder multi-funcional que se encargargue de supervisar las políticas, lineamientos, funciones y deberes de los distintos departamentos que están involucrados con la ejecución de una estrategia BYOD. Esta persona será responsable de determinar todos los aspectos de BYOD dentro de la empresa, incluyendo lo que se les permitirá a los dispositivos, qué departamentos los admitirán y quién fondeará el apoyo, servicio, planes de datos, etc.

• Disponer de políticas y Procedimientos. No importa quién posee el dispositivo, todos los empleados (sin excepción alguna) deben cumplir con los protocolos de seguridad de la información corporativa si dicho dispositivo se está utilizando para el negocio. Una política BYOD debe cubrir lo básico, como el requerir una capacidad de auto-cierre y un número de identificación personal (PIN), así como el el apoyo para el cifrado y borrado remoto en caso de robo. La política también debe incluir qué tipo de datos se puede y no se puede almacenar en el dispositivo, el procedimiento a seguir en caso de robo del dispositivo y los procesos de copia de seguridad aceptables e inaceptables. Lo más importante es tener una política de usuario y/o acuerdos por escrito, comunicándosele al Usuario regularmente la importancia de seguir los procedimientos de seguridad al utilizar sus dispositivos es crítico.

• Fomentar el uso del sentido común. El sentido común es en la mayoría de las veces el menos común de todos los sentidos. Por ello entonces no asuma que los empleados usarán el sentido común. ¡¡¡ Refuércelo!!! Revise periódicamente incluso las medidas de seguridad más obvias de los dispositivos móviles, como el qué hacer si un dispositivo se pierde o es robado, las actualizaciones periódicas de dispositivos, bloqueo de dispositivos cuando no esté en uso y el uso adecuado y permitido de las descargas.

Estos son los puntos más importantes que ayudarán al área de Tecnologías de la Información a llevar a cabo de manera más segura su estrategia BYOD. No pretendemos que estos sean un decálogo o un sustituto a un procedimiento ya probado y/o comprobado por la empresa.

También es menester recomendar a quienes estén por implementar BYOD, que existen muchas y muy variadas alternativas que ya incluyen prácticamente todos los puntos arriba mencionados. Tal es el caso del Virtual Desktop Infrastructure, que cubre todos los aspectos en los que el Usuario final no es el directamente responsable.

A modo de conclusión podemos decir que BYOD es una alternativa que llegó para quedarse, pues representa enormes ahorros para las empresas que lo implementan, así como también un equilibrio entre las exigencias del Usuario Final y el personal de Tecnologías de la Información de la empresa.

¿Desea Implementar BYOD de manera segura?