Fases para implementar BYOD con seguridad

Si las organizaciones planean o contemplan la adopción de fenómenos como BYOD sin comprometer sus datos o incumplir con regulaciones, primero deberán separar las necesidades de IT de las obligaciones del área de seguridad, explicó Juan Carlos Carrillo, especialista en protección de datos.

Durante su conferencia en la 10º edición del b:Secure Conference, Carrillo afirmó que no sólo se trata de que BYOD genere ahorros o aumente productividad a la organización, sino también de medir el impacto que su implementación tendrá frente a temas de privacidad o regulaciones como la Ley Federal de Protección de Datos Personales en Posesión de Particulares deberán (LFPDPPP).

"Si el equipo no es mío: ¿tengo derecho como IT de pedirle al dueño el dispositivo para hacerle un auditoria o un proceso forense? ¿La ley me lo permite? ¿Lo puedo borrar, sin importar que sus datos personales estén ahí? ¿Qué pasa si lo despedimos o deja de trabajar en la empresa?", preguntó Carrillo a los asistentes.

El reto está en encontrar un balance entre disponibilidad y la confidencialidad. Es decir, permitir la implementación de BYOD para manipular aplicativos e información del negocio con el menor nivel de riesgo.

Carrillo recomendó analizar ocho fases centrales en el proceso de incorporar BYOD a una organización. De igual forma advirtió que para lograr un implementación de BYOD y cualquier otra tendencia IT del mercado, los departamentos de Sistemas tiene que entender que la seguridad informática no puede vivir ni depender de IT.

"El área de Tecnología tiene que estar separada de Seguridad, porque a un CIO le paga la organización para que los datos y los aplicativos estén disponibles en todo momento, pero a un un CISO le pagan porque estén protegidos", afirmó.

• Adquisición: Determinar el contexto en el que se encuentra la organización. ¿Vale o no la pena implementar BYOD? ¿Los empleados lo quieren? ¿En realidad tendremos ahorros y beneficios?
• Ciclo de vida de la información: Definir qué información, aplicaciones de negocio circularán por los dispositivos.
• Clasificación de la información: Conocer los tipos de datos sensibles a los que los usuarios tendrán acceso desde sus equipos móviles. ¿Cuántos y cuáles?
• Análisis de riesgos: Determinar posibles escenarios de riesgos, efectos, impactos y posibles soluciones.
• Análisis legal: Detectar posibles implicaciones legales con la implementación de BYOD. En esta fase es esencial el trabajo de IT con el departamento legal de la organización, de lo contrario el alcance será limitado o poco efectivo.
• Análisis de procesos: Monitoreo de los procesos y definición de los responsables de los procesos de un plan de BYOD.
• Políticas, controles y auditorias: Definidas las seis fases anteriores, la organización puede determinar y hacer saber a sus empleados los controles y políticas que asumirán de operar información corporativa en sus equipos personales. Al mismo tiempo se podrán definir procesos de auditorias y los controles tecnológicos necesarios para su ejecución.
• Plan estratégico: Marcar la evolución y expansión de BYOD para beneficio de la organización. ¿Qué beneficios hay detrás de su implementación?

Fuente: bSecure

Suscríbete a nuestro Boletín