Dispositivos personales y externos: los puntos ciegos del perímetro corporativo

La flexibilidad del trabajo remoto trajo consigo un nuevo desafío para las empresas: la combinación de dispositivos personales y aplicaciones no autorizadas. La política de BYOD que viene de ‘Bring your Own Device’, o ‘trae tu propio dispositivo’ en español, potenciado por el Shadow IT, está ampliando la superficie de ataque y creando puntos ciegos que desafían los controles tradicionales de seguridad. Según Lumu Technologies, empresa de ciberseguridad que impulsa el modelo de Continuous Compromise Assessment®, esta expansión de la superficie de ataque crea puntos ciegos de seguridad que las empresas con estrategias tradicionales de defensa aún no logran dimensionar.

“Este modelo de trabajo, si bien brinda muchos beneficios, presenta un riesgo de seguridad significativo: una expansión fuera de control de la superficie de ataque”, comenta Germán Patiño, vicepresidente de ventas para Latinoamérica de Lumu Technologies. “Cuando los empleados o proveedores usan dispositivos personales o no administrados por las empresas los datos confidenciales se mueven en entornos fuera del perímetro corporativo, lo que hace que la seguridad de la información sea un desafío crítico”, agrega.

Los perímetros corporativos dejaron de existir. Hoy, la red empresarial se extiende hasta los hogares, cafeterías, aeropuertos o donde sea que las personas relacionadas con las organizaciones afectadas se conecten. Este nuevo entorno redefine los límites de la seguridad y exige a las compañías proteger una infraestructura distribuida que ya no se encuentra dentro de sus instalaciones. En este contexto, las amenazas logran evadir las defensas tradicionales y generan riesgos que pueden escalar rápidamente:

• Puertas abiertas para atacantes: los dispositivos no corporativos a menudo carecen de seguridad de nivel empresarial, lo que permite a los atacantes evadir fácilmente las defensas. Esto crea un camino directo para la exfiltración de información privilegiada utilizando tácticas como la anonimización de conexiones, DNS Tunneling, entre otros.
• Un equipo de defensa con los ojos vendados: la falta de visibilidad sobre estos dispositivos limita considerablemente la capacidad del equipo de seguridad. Puede resultar casi imposible identificar los indicios de ataques avanzados. Si ocurre una brecha, la posibilidad de realizar un análisis forense o una respuesta efectiva al incidente se ve fundamentalmente afectada. El equipo termina enfrentándose a una amenaza que no puede ver completamente.
• TI en las sombras: el problema se agrava con el aumento del Shadow IT. A menudo, los empleados instalan herramientas o aplicaciones sin la aprobación del área de TI. Aunque lo hacen con buenas intenciones, estas acciones generan silos de datos no supervisados e introducen aplicaciones con niveles de seguridad desconocidos, creando nuevas vulnerabilidades dentro de la organización.

Un solo dispositivo comprometido puede causar interrupciones operativas, infectar a otros equipos conectados a la red, pérdidas financieras y daños reputacionales. En otras palabras, sin capacidades de visibilidad de amenazas y respuesta automática, la misma flexibilidad que impulsa la agilidad empresarial puede convertirse en el origen de compromisos con impacto crítico. Es posible aprovechar las ventajas competitivas y de productividad que habilita el teletrabajo, sin embargo, es de vital importancia proteger la fuerza laboral y asegurar la continuidad operativa, no requiere una transformación radical que deseche las inversiones hechas en controles de seguridad, sino un enfoque de defensa moderno estructurado en tres pilares:

1. Establecer una política clara: definir una política formal de BYOD que establezca los requisitos mínimos de seguridad, el uso aceptable de los dispositivos y los procedimientos de respuesta ante incidentes. Ninguna política elimina por completo el riesgo, pero sí puede determinar el nivel aceptable de exposición y las medidas necesarias para mitigarlo, tomando como referencia estándares como ISO 27001 y NIST.
2. Empoderar a los empleados: complementar la tecnología con programas continuos de concientización y capacitación en ciberseguridad que ayuden a los colaboradores a reconocer intentos de phishing, detectar señales de compromiso y reportar incidentes oportunamente. Más que entrenar, se trata de construir una cultura de seguridad en la que cada empleado actúe como un guardián activo de la información.
3. Lograr visibilidad total mediante tecnología: implementar soluciones que permitan monitorear de forma continua la red y el compromiso que se pueda generar desde todos los dispositivos conectados, administrados o no, y detectar credenciales comprometidas, vulnerabilidades o servicios expuestos antes de que sean explotados por los atacantes. La seguridad BYOD no debe verse como un proyecto puntual, sino como un proceso permanente de observación y gestión de la superficie de ataque.

La mayoría de las herramientas y estrategias tradicionales fueron diseñadas para entornos cerrados y controlados, por lo que resultan insuficientes frente a la realidad del trabajo remoto. Las organizaciones necesitan mantener una visibilidad constante de su superficie de ataque, detectar credenciales comprometidas, identificar aplicaciones no autorizadas, mapear vulnerabilidades en los servicios conectados a Internet y automatizar las tareas de respuesta a incidentes que se puedan generar en entornos que aceptan dispositivos no gobernados por la organización. Este nivel de observabilidad permite pasar de una postura reactiva a una gestión de seguridad proactiva y estratégica.