Un celular perdido, una computadora desactualizada o el equipo de un empleado que dejó la compañía pueden convertirse en puntos de exposición para la información corporativa. En México, donde la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) establece obligaciones para proteger los datos personales, la seguridad también debe extenderse a los dispositivos desde los que se accede a esa información.
Para los equipos de TI y ciberseguridad, esto implica conocer qué dispositivos están conectados a los sistemas corporativos, verificar su estado, aplicar políticas de manera uniforme y contar con mecanismos para reaccionar ante incidentes. En este escenario, las plataformas de Mobile Device Management (MDM) permiten trasladar las políticas de seguridad a la flota tecnológica y centralizar su administración.
La LFPDPPP contempla la implementación de medidas administrativas, técnicas y físicas para proteger los datos personales frente a riesgos como daño, pérdida, alteración, destrucción o acceso y tratamiento no autorizado. Por eso, la estrategia de protección no puede limitarse a servidores y bases de datos: también debe considerar celulares, tablets y computadoras.
Un aviso de privacidad puede establecer cómo serán tratados los datos, pero no evita que un equipo perdido conserve información sensible ni permite, por sí mismo, retirar los accesos de un dispositivo cuando un empleado deja la organización. Allí es donde un MDM como Applivery puede convertirse en una herramienta para llevar las políticas de seguridad a los dispositivos de manera centralizada.
Siete controles para reducir el riesgo
El primer paso consiste en saber qué dispositivos están bajo gestión. Una organización necesita contar con un inventario actualizado que identifique equipos, usuarios, sistemas operativos, versiones, políticas asignadas y última conexión. Esta visibilidad permite detectar dispositivos olvidados, desactualizados o que continúan activos cuando deberían haber sido retirados.
El segundo control es aplicar políticas de seguridad de forma centralizada. Requisitos de contraseñas, bloqueo de pantalla, cifrado, restricciones, redes Wi-Fi, VPN, certificados y actualizaciones pueden definirse desde TI y distribuirse según el sistema operativo, usuario, grupo o tipo de dispositivo.
El tercer punto es detectar cuándo un equipo deja de cumplir las políticas establecidas. Un dispositivo puede haber sido entregado correctamente configurado y volverse vulnerable semanas después por falta de actualizaciones o por utilizar una versión de software que ya no está permitida. La supervisión automatizada permite identificar esas desviaciones y actuar antes de que se transformen en un incidente.
El cuarto control apunta a mantener bajo supervisión las aplicaciones y certificados. Los datos personales pueden gestionarse desde el correo electrónico, CRM, sistemas de recursos humanos y plataformas de atención al cliente. La administración centralizada ayuda a controlar versiones, permisos, distribución de aplicaciones, archivos, scripts y certificados.
El quinto es contar con una respuesta ante la pérdida o robo de un dispositivo. Frente a un incidente, TI puede consultar el estado del equipo y ejecutar acciones remotas, como bloquearlo, reiniciarlo, deshabilitarlo o borrar información, dependiendo del sistema operativo y de las políticas aplicadas.
El sexto control es retirar los accesos cuando cambia el usuario del dispositivo. Durante el proceso de offboarding, la organización debe poder retirar perfiles, certificados, aplicaciones y datos corporativos para evitar que un antiguo colaborador conserve acceso a información empresarial.
Por último, las compañías necesitan separar la información corporativa de la personal en escenarios BYOD. Cuando los empleados utilizan sus propios dispositivos, un MDM permite establecer perfiles y políticas diferenciadas para proteger los datos empresariales sin administrar de la misma manera el contenido personal.
La efectividad de estos controles depende de que puedan mantenerse durante todo el ciclo de vida del dispositivo. Una plataforma centralizada permite administrar la inscripción, configuración, supervisión, reasignación y retirada de equipos desde un mismo entorno.
Casos de uso en México
La gestión centralizada de dispositivos ya tiene aplicaciones concretas en organizaciones mexicanas. Volaris, una de las principales aerolíneas de bajo costo de México y Latinoamérica, utiliza más de 1.300 iPads como Electronic Flight Bags (EFB) para sus pilotos.
Con Applivery, la compañía migró el 90% de estos dispositivos en pocas semanas y obtuvo una administración centralizada para supervisar su estado, seguridad y cumplimiento, independientemente del país donde se encuentren.
Otro caso es The Excellence Collection, grupo hotelero especializado en resorts de lujo con operaciones en México, República Dominicana y Jamaica. La organización administra más de 2.000 dispositivos mediante Applivery, incluyendo la distribución y gestión de aplicaciones, restricciones de descargas, configuración de redes Wi-Fi y acciones remotas ante la pérdida de equipos.
Durante la apertura de uno de sus resorts, la administración centralizada permitió configurar más de 200 dispositivos en dos días, frente a más de una semana que demandaba el proceso anterior.
Del cumplimiento a la operación
Para las organizaciones, el desafío no consiste únicamente en conocer las exigencias de la LFPDPPP, sino en convertirlas en controles que funcionen sobre los dispositivos utilizados diariamente por empleados y equipos operativos.
En este contexto, Applivery permite administrar dispositivos Apple, Android y Windows desde su incorporación hasta su retirada o reasignación. Inventario, políticas de seguridad, aplicaciones, certificados, cumplimiento y comandos remotos pueden gestionarse desde una única plataforma.
Así, la protección de los datos personales deja de depender exclusivamente de configuraciones manuales o de las acciones de cada usuario y pasa a formar parte de una estrategia de gestión continua sobre toda la flota tecnológica.
