Puntos clave
- El riesgo móvil se concentra cada vez más en la exposición de datos: hoy las mayores amenazas tienen que ver con cómo se accede a la información, cómo se comparte y cómo se pierde, no con el uso que se hace de los dispositivos.
- El control total del dispositivo no siempre es la opción adecuada: en dispositivos personales o de uso mixto, los bloqueos generalizados resultan poco prácticos e impopulares.
- Los controles centrados en la información protegen los datos en cualquier lugar: el foco pasa a proteger la información sin importar quién sea el propietario del dispositivo.
- Este cambio transforma la gobernanza y la confianza: evolucionan las responsabilidades, las expectativas de privacidad y los modelos de aplicación de políticas.
- El éxito depende de la implicación del usuario: las estrategias funcionan mejor cuando los objetivos de protección de datos encajan con la forma real de trabajar de las personas.
Hoy todo el mundo tiene un móvil, incluidos nuestros abuelos. Y aunque ahora nos parezca «normal», no lo era hace tan solo unos años. De hecho, el uso del móvil, sobre todo en el entorno profesional, no se popularizó de verdad hasta que la sociedad adoptó el trabajo híbrido. En aquel momento, los modelos tradicionales de seguridad móvil se construían en torno al control del dispositivo, partiendo de la base de que la organización era propietaria tanto del hardware como del riesgo. (Hablamos de esto con más detalle en este artículo: Expectativas del trabajo híbrido frente a la realidad de TI: un nuevo informe revela datos contundentes).
Sin embargo, con unas políticas BYOD en constante evolución, esa premisa ya no es precisa ni realista en los MSP actuales. Los expertos en TI señalan que, a medida que cambian los patrones de propiedad y de uso, bloquear un dispositivo (por ejemplo) no siempre es la respuesta correcta. Esto ha provocado un giro sutil hacia estrategias de gobernanza de la información móvil, que priorizan proteger los datos que de verdad importan, allí donde estén.
El control centrado en el dispositivo se queda corto
El control total del dispositivo funciona mejor cuando la organización es propietaria del hardware y decide cómo se usa. Tiene sentido: solo puedes controlar lo que tienes.
Y, aun así, basta mirar a las empresas actuales para ver dónde empezaron las grietas. Los dispositivos de propiedad personal trajeron preocupaciones de privacidad, porque los usuarios no querían que su empresa gestionara sus fotos, sus mensajes o sus apps personales. Los dispositivos de uso mixto difuminaron aún más esas fronteras y hicieron extremadamente difícil, si no imposible, aplicar controles estrictos sin afectar al uso diario. Además, las leyes y normativas de cada región pueden limitar qué pueden supervisar o gestionar las organizaciones en los endpoints personales. (Echa un vistazo a esta guía completa sobre la protección de datos del cliente para profundizar en el tema).
En estos escenarios, aplicar controles a nivel de dispositivo suele generar roces. Los usuarios se resisten, la adopción cae y los equipos de TI dedican más tiempo a gestionar quejas que a reducir riesgos reales.
La información es la verdadera superficie de riesgo
Cuando se produce un incidente en movilidad, el daño rara vez lo causa el dispositivo en sí (aunque sí ocurre). Casi siempre está ligado a lo que pasa con los datos que se han explotado; basta ver nuestras historias de terror de TI para comprobar cuántas empresas lo han vivido.
La información sensible o la información de identificación personal puede acabar en manos de la app equivocada, compartirse por canales no seguros y venderse en la dark web, o perderse cuando un dispositivo cambia de dueño. Estos riesgos existen tanto si el dispositivo está completamente bloqueado como si apenas se gestiona. Centrarse en la información en lugar del hardware aborda la raíz del problema y no los síntomas.
Al proteger cómo se accede a los datos, cómo se almacenan y cómo se comparten, las organizaciones pueden reducir la exposición incluso cuando no controlan por completo el endpoint.
En qué pone el foco la gobernanza centrada en la información
La gestión moderna de la información móvil exige una gobernanza del dato más sólida. En lugar de controlar el dispositivo, los responsables de TI gestionan cómo tratan los datos relevantes (y profesionales). El objetivo es reducir el riesgo sin apropiarse de todo el dispositivo.
- Proteger los datos de trabajo en lugar del dispositivo completo: las políticas se aplican a la propia información corporativa, como archivos, correos o aplicaciones de empresa. Así se protege lo importante sin tocar los datos personales.
- Controlar cómo se accede a los datos: las reglas definen quién puede abrir los datos de trabajo, en qué condiciones y desde qué aplicaciones. Esto ayuda a evitar accesos no autorizados aunque el dispositivo no esté muy restringido.
- Limitar cómo se comparten o copian los datos: los controles centrados en la información pueden restringir acciones como copiar datos en apps personales o compartirlos por canales no seguros. Se reducen las fugas accidentales sin bloquear el uso normal del dispositivo.
- Separar el contenido profesional del personal: los datos de empresa se quedan dentro de unos límites definidos, mientras el contenido personal sigue siendo privado. Esta separación es clave para mantener la confianza del usuario, especialmente en dispositivos de propiedad personal.
- Aplicar políticas de forma coherente en todos los dispositivos: como los controles acompañan a los datos, las mismas reglas valen tanto si el usuario está en un móvil, en una tablet o en otro endpoint. La gobernanza se vuelve más predecible y fácil de gestionar.
- Trasladar la responsabilidad a la gobernanza, no a los bloqueos: la seguridad pasa a basarse en reglas claras, propiedad del dato y gestión del ciclo de vida de los datos, más que en restricciones técnicas duras. Los equipos se centran más en definir qué debe ocurrir que en imponer qué no pueden hacer los usuarios.
Este enfoque no elimina la necesidad de gestionar dispositivos, pero cambia el equilibrio. El dispositivo pasa a ser el contenedor y el dato se convierte en la prioridad.
Confianza, privacidad y experiencia de usuario
Las estrategias centradas en la información solo funcionan si los usuarios las entienden. Un modelo de seguridad centrado en el dato eficaz es aquel en el que todas las partes saben qué se está protegiendo y qué datos concretos se supervisan.
Para lograrlo, es fundamental que tu organización de TI comunique con claridad los aspectos relativos a la confianza, la privacidad y la experiencia de usuario. Las personas necesitan saber qué datos se gobiernan, por qué importan y qué puede y qué no puede ver la empresa. Cuando el contenido personal se respeta de verdad y las políticas se comportan de forma coherente, los usuarios colaboran mucho más.
Una mala comunicación, en cambio, puede echar por tierra incluso los mejores controles técnicos y derivar en shadow IT o en la evasión de políticas.
Cuándo tiene sentido un enfoque centrado en la información
Que quede claro: los enfoques centrados en la información no siempre son adecuados, especialmente en empresas con reglas estrictas sobre el tipo de hardware que usan sus empleados; por ejemplo, en sectores muy regulados donde se desaconseja por completo usar dispositivos personales con datos críticos para el negocio. Tampoco resultan eficaces cuando los dispositivos tienen un único propósito fijo, como un TPV o un kiosco. En esos casos es necesario tener control total del dispositivo.
Dicho esto, estas estrategias son muy populares en entornos donde la propiedad y el uso de los dispositivos están mezclados. Resultan especialmente eficaces cuando:
- Los empleados usan dispositivos personales para trabajar (BYOD): cuando los móviles o las tablets son del usuario, el control total del dispositivo no suele ser aceptable. Proteger los datos de trabajo permite reducir el riesgo sin invadir la privacidad personal.
- Colaboradores externos o personal temporal necesitan acceso: los usuarios externos suelen necesitar acceso limitado a cierta información. Los controles centrados en el dato facilitan conceder ese acceso sin otorgar permisos amplios sobre el dispositivo.
- El uso profesional y el personal se mezclan estrechamente: muchos usuarios alternan entre apps personales y de trabajo a lo largo del día. Los controles centrados en la información permiten esa flexibilidad y siguen protegiendo los datos sensibles del negocio.
- La sensibilidad de los datos varía según el rol: no todos los usuarios necesitan acceder al mismo nivel de información. Las reglas de gobernanza pueden adaptarse al rol, al contexto o al riesgo, en lugar de tratar todos los dispositivos igual.
La conclusión es que ninguna estrategia sirve para todas las situaciones. Los programas de seguridad de dispositivos móviles más eficaces ajustan el enfoque al modelo de propiedad, a las expectativas de los usuarios y al riesgo real, en vez de imponer el mismo modelo de control en todas partes.
Errores habituales en la gobernanza
Como estas estrategias dependen mucho de tu caso de uso, puede que no sepas con claridad cuáles implementar según tus necesidades. Al fin y al cabo, cambiar de estrategia puede traer nuevos retos si no se hace con cuidado.
Estos son algunos de los problemas más habituales:
- Dar por hecho que los controles de información eliminan todo el riesgo del dispositivo: proteger los datos es fundamental, pero los dispositivos siguen importando. Si los equipos ignoran su estado, las vías de acceso o la higiene básica de seguridad, pueden aparecer puntos ciegos incluso con buenos controles de datos.
- Responsabilidades poco claras sobre la propiedad y el ciclo de vida del dato: cuando no está claro quién es el propietario de los datos del negocio, quién aprueba los accesos o quién se encarga de la limpieza y la revocación, la aplicación de las políticas se vuelve inconsistente. Eso abre huecos entre la política y la realidad.
- Prometer más privacidad de la que se puede garantizar: decirle a los usuarios que no se tocan sus datos personales solo funciona si las políticas se comportan exactamente así. Si los controles resultan invasivos o impredecibles, corres el riesgo de perder muy rápido la confianza de tu equipo.
- Tratar el cambio como algo puramente técnico: cambiar de estrategia exige actualizar políticas, comunicar con claridad y acordar entre TI, seguridad y negocio cómo deben tratarse los datos.
En la práctica, la gobernanza de la información triunfa o fracasa tanto por las personas y los procesos como por la tecnología. Las expectativas claras, la responsabilidad compartida y una comunicación honesta cuentan tanto como los propios controles.
Cómo mantener una buena gestión de la información móvil
A medida que los entornos móviles siguen evolucionando, muchas organizaciones se alejan del control total del dispositivo y se acercan a proteger la información en sí. Este cambio refleja la evolución de la propiedad de los equipos, de las expectativas de privacidad y del riesgo real. Entender por qué se está produciendo esta transición ayuda a los equipos a elegir estrategias de seguridad prácticas, fiables y alineadas con la forma real de trabajar de las personas.
Temas relacionados:
