“Trabajar en cualquier lugar, desde cualquier dispositivo”. Para muchos suena realmente atractivo y es una máxima que se ha extendido en los últimos años. Sin embargo, además de ser una forma de trabajar que hace que se mezclen la vida laboral y la personal, puede poner en jaque el derecho a la protección de los datos personales de los trabajadores. En este artículo te contamos en qué consiste la política BYOD (Bring your own device), que persigue minimizar los riesgos en este contexto.
La práctica BYOD hace alusión al trabajador que accede con sus medios electrónicos a las aplicaciones corporativas de la empresa, almacenando y tratando así datos de clientes y proveedores. La ley de trabajo a distancia prohíbe a las empresas exigir a sus trabajadores que se instalen en sus dispositivos aplicaciones o programas o que empleen sus propios dispositivos para el teletrabajo. Igualmente, se prohíbe al empleador imponer al trabajador de forma unilateral tener que facilitar datos personales como su número de teléfono o correo electrónico personal. En el caso de que el trabajador otorgue su consentimiento, este podrá oponerse posteriormente a su tratamiento ejerciendo los derechos de oposición o supresión. Así lo han confirmado los tribunales en varias sentencias.
La administración de la movilidad empresarial, un gran reto
La Administración de Movilidad Empresarial (EMM) es un campo de la gestión de TI (Tecnologías de la Información) creado debido al aumento exponencial en la utilización de ordenadores y teléfonos móviles de alta capacidad en el entorno laboral. Como resultado, los departamentos de TI tienen ahora la tarea de gestionar un gran número de dispositivos hardware, con sus correspondientes sistemas operativos y las particularidades de cada proveedor. Como imaginarás, su uso conlleva riesgos para la seguridad y la protección de los datos, ya que esta información quedará almacenada en un terminal externo, el cual dispone de medidas de seguridad más débiles que las de un entorno IT corporativo.
No obstante, que estos dispositivos sean propiedad del trabajador no impide que siga siendo de aplicación la responsabilidad legal de la empresa (como responsable del tratamiento) de garantizar la seguridad y protección de los datos personales en su haber. Por ello, es imprescindible lograr un equilibrio entre un necesario control por parte de la empresa de los dispositivos personales del trabajador y un respeto a su privacidad e intimidad.
Es aquí donde entra en juego contar con una buena política BYOD en las empresas, que sirve de protocolo de actuación para:
- Exponer los riesgos del uso de estos dispositivos personales.
- Limitar su uso.
- Establecer un plan de respuesta ante incidentes.
- Garantizar la separación de los datos privados y empresariales.
- Posibilitar la eliminación remota de dichos datos.
- Aclarar cuestiones como si es o no posible el acceso a los terminales por parte de terceros (ej. familiares del trabajador), o cómo se traspasarán y eliminarán los datos empresariales una vez que el empleado extinga su relación contractual.
Como es lógico, esta política debe ir necesariamente acompañada de una adecuada formación a los empleados que hagan uso del entorno BYOD.
Beneficios y riesgos del BYOD
Entres sus ventajas podemos destacar las siguientes:
- Reducción significativa de los costes informáticos de la empresa: no solo en lo referente a la necesidad de proporcionar hardware y licencias de software a la plantilla de trabajadores, si no también respecto a los costes de mantenimiento y conectividad.
- Aumento de la productividad de los empleados: los empleados trabajan de forma más eficiente cuando manejan sus propios dispositivos, a los cuales ya están adaptados y con los que saben desempeñarse con más agilidad.
- Mejora de la flexibilidad y movilidad del empleado: permitiéndole trabajar desde cualquier lugar y en cualquier momento y facilitando la conciliación.
No obstante, el BYOD también lleva asociado una serie de desventajas:
- Riesgos de ciberseguridad: si los trabajadores emplean sus dispositivos, tanto para fines profesionales como personales, las brechas de seguridad aumentan su probabilidad, lo que puede conllevar para las organizaciones pérdidas económicas y daños reputacionales.
- Baja calidad y robustez de los dispositivos: los dispositivos personales pueden carecer de capacidades de cifrado de datos, contener aplicaciones maliciosas o malware, ser más vulnerables a los ataques en línea o carecer de actualizaciones de seguridad, por ejemplo.
- Menos privacidad del trabajador: el uso del BYOD puede afectar a la protección de los datos personales y la privacidad del trabajador, si no se lleva a cabo una correcta política BYOD.
- Problemas de compatibilidad: como los trabajadores pueden cambiar de dispositivos cada poco tiempo, y cada uno tiene sistemas operativos y versiones de software diferentes, los responsables de TI pueden tenerlo más difícil a la hora de desarrollar aplicaciones aptas para todos los dispositivos.
- Falta de control: con estas políticas se tiene un control limitado de los dispositivos que utilizan los trabajadores, lo que en muchas ocasiones impide garantizar que se cumplen los estándares y las políticas establecidas por la empresa.
Recomendaciones útiles para entornos BYOD
Para minimizar los riesgos anteriormente expuestos, se recomienda a los trabajadores lo siguiente:
- Evitar, en la medida de lo posible, conectarse a redes Wi-fi públicas o de terceros.
- No acceder a webs no seguras (sin https).
- Extremar la precaución ante el phishing.
- Hacer uso de la VPN habilitada para el acceso a los recursos corporativos mediante los clientes de VPN proporcionados (si está habilitada).
- No utilizar sistemas de escritorio remoto que no requieran estar conectados a la VPN corporativa (si está habilitada).
- Mantener todos los sistemas y aplicaciones actualizados.
- Que los dispositivos que accedan a servicios corporativos tengan antivirus.
- Hacer periódicamente copias de seguridad para garantizar que no se pierda la información si ocurre un incidente.
- Utilizar contraseñas robustas, no reutilizarlas en más de un sitio o utilizar un gestor de contraseñas.
- Crear cuentas separadas y limitar los privilegios para cada usuario que utilice el dispositivo (si procede).
- Configurar el bloqueo de sesión que impida el acceso al equipo después de estar inactivo durante un período de tiempo.
- Proteger físicamente los dispositivos con cerraduras de cable o cualquier otro elemento disuasorio.
Artículo elaborado con la colaboración de Jesús Moreno Alonso.
