Los riesgos
Los dispositivos personales pueden no tener actualizaciones, cifrado de disco ni bloqueo de pantalla, pueden compartirse con familiares y pueden llevar aplicaciones que la empresa nunca aprobaría. Cuando el empleado se va, los datos de la empresa pueden quedarse en el dispositivo. Un móvil perdido o robado con acceso al correo es una fuente habitual de incidentes.
Cómo gestionarlo
Una política BYOD clara define qué dispositivos y usos se permiten, los requisitos mínimos de seguridad y qué ocurre cuando alguien se va. Un MDM con un perfil de trabajo separado permite gestionar y borrar los datos de trabajo sin ver el contenido personal. Nuestro artículo sobre lo que un MDM puede y no puede ver explica los límites. El acceso condicional puede bloquear los dispositivos que no cumplen los requisitos, y el DLP limita qué datos pueden copiarse a aplicaciones personales.
Privacidad y derecho laboral
Supervisar un dispositivo personal tiene límites según el RGPD y, en España, los derechos digitales de los trabajadores recogidos en la LOPDGDD. Hay que informar a los empleados de qué se gestiona y qué no, y los controles deben ser proporcionados.
Dónde aparece en cumplimiento
ISO 27001 cubre los dispositivos de usuario y el teletrabajo (Anexo A 8.1 y 6.7). Los auditores preguntan cómo se controlan los dispositivos personales con acceso a datos de la empresa, así que el BYOD debe estar dentro del alcance, no ignorarse.
