Una guía de seguridad para dispositivos móviles debe ayudar a la empresa a decidir qué celulares y tablets pueden acceder a información de trabajo, qué controles mínimos exigir y cómo responder si un equipo se pierde, se reemplaza o cambia de usuario. El punto de partida no es instalar una aplicación aislada: es relacionar cada dispositivo con una persona, una cuenta y un nivel de acceso.

Los teléfonos ya intervienen en ventas, dirección, cobranza, logística, correo y colaboración. Un equipo puede contener sesiones abiertas, archivos descargados, contactos, códigos de autenticación y conversaciones operativas. Por eso conviene proteger tanto el aparato como las cuentas y los datos que pueden consultarse desde él.

Esta guía se concentra en la operación móvil. Para ordenar el registro general de responsables, equipos y cambios, consulta cómo organizar un inventario de equipos. Ambos controles deben conectarse: un teléfono sin responsable identificado es difícil de bloquear, reemplazar o retirar de forma ordenada.

Qué debe decidir la empresa antes de permitir acceso móvil

Antes de configurar correo o aplicaciones, conviene definir qué información puede consultarse desde un dispositivo móvil y qué condiciones debe cumplir el equipo. No todos los puestos necesitan los mismos permisos ni enfrentan el mismo impacto ante una pérdida.

  • Qué personas pueden usar correo, archivos, sistemas administrativos o aplicaciones empresariales desde un móvil.
  • Si se aceptarán equipos personales, corporativos o ambos, y quién autoriza cada excepción.
  • Qué datos pueden almacenarse localmente y cuáles deben permanecer en servicios controlados por la empresa.
  • Qué versiones de sistema operativo y aplicaciones siguen siendo compatibles y reciben actualizaciones.
  • Quién administra las cuentas, cómo se reporta un incidente y qué acciones pueden ejecutarse a distancia.
  • Qué ocurre con sesiones, archivos y permisos cuando una persona cambia de puesto o deja la empresa.

Estas decisiones deben quedar en una política breve y comprensible. Una regla útil explica qué está permitido, qué debe reportarse y quién puede actuar; no necesita convertirse en un documento extenso que nadie consulta.

Clasifica dispositivos y accesos según el riesgo

La misma configuración no sirve para todos. Un teléfono que sólo consulta calendario no debe evaluarse igual que una tablet usada para pedidos o un equipo desde el cual se autorizan pagos y se descargan documentos de clientes.

  • Acceso básico: correo, calendario y comunicación interna, sin archivos sensibles almacenados localmente.
  • Acceso operativo: aplicaciones de ventas, almacén, soporte o atención a clientes con información necesaria para el puesto.
  • Acceso sensible: administración, finanzas, información fiscal, expedientes, datos personales o capacidad para autorizar cambios.
  • Acceso privilegiado: consolas, cuentas administrativas, configuraciones de seguridad o servicios capaces de afectar a otros usuarios.

A mayor impacto posible, conviene exigir controles más estrictos, reducir el almacenamiento local y revisar con más frecuencia cuentas, sesiones y aplicaciones conectadas. La clasificación permite aplicar medidas proporcionales sin complicar innecesariamente a todos los usuarios.

Controles mínimos para celulares y tablets de trabajo

Los controles básicos funcionan mejor cuando son verificables y consistentes. La empresa debe poder saber qué medida se espera, quién la revisa y qué sucede si un equipo deja de cumplirla.

  • Bloqueo de pantalla mediante PIN robusto, contraseña o biometría, acompañado de bloqueo automático por inactividad.
  • Sistema operativo y aplicaciones dentro de versiones con soporte y actualizaciones de seguridad disponibles.
  • Cifrado del dispositivo habilitado cuando la plataforma lo permita y la información lo justifique.
  • Autenticación multifactor en correo, nube y sistemas relevantes, con métodos de recuperación bajo control de la empresa.
  • Instalación de aplicaciones desde fuentes autorizadas y revisión de permisos como contactos, cámara, micrófono, ubicación y archivos.
  • Respaldo definido para la información de trabajo que sí deba conservarse, sin depender únicamente de una cuenta personal.
  • Capacidad documentada para cerrar sesiones, retirar accesos o bloquear el dispositivo cuando la herramienta y la autorización lo permitan.

La publicación oficial NIST SP 800-124 Rev. 2 sobre seguridad de dispositivos móviles empresariales aborda equipos proporcionados por la organización y equipos personales, además de su despliegue, uso y retiro. Esa perspectiva de ciclo de vida ayuda a evitar que la política se limite al momento de la compra o configuración inicial.

Equipo corporativo o personal: qué cambia

Permitir dispositivos personales, práctica conocida como BYOD por las siglas de bring your own device, puede facilitar la movilidad, pero obliga a separar responsabilidades. La empresa necesita proteger sus cuentas y datos; el usuario necesita saber qué puede administrar la organización y qué información personal queda fuera del alcance.

  • Definir aplicaciones autorizadas para correo, archivos y comunicación de trabajo.
  • Usar una cuenta corporativa separada y evitar reenviar documentos a cuentas personales.
  • Aclarar si se exige bloqueo, actualización, cifrado o administración de un espacio de trabajo.
  • Documentar qué acción remota puede realizarse: cerrar sesión, retirar datos empresariales o borrar todo el equipo no son lo mismo.
  • Establecer qué sucede si el usuario no acepta las condiciones o si el equipo deja de recibir actualizaciones.
  • Ofrecer un equipo corporativo cuando el puesto maneja información o permisos que no conviene mezclar con uso personal.

No todas las pymes necesitan una plataforma de administración de dispositivos móviles, conocida como MDM. Para algunas operaciones basta con cuentas empresariales bien configuradas, inventario y procedimientos de baja; otras requieren administración central por cantidad de equipos, trabajo en campo, información sensible o necesidad de aplicar políticas de manera uniforme.

Protege las cuentas, no sólo el aparato

Un equipo puede estar físicamente protegido y aun así mantener una cuenta expuesta por una contraseña reutilizada, una sesión que nunca se cerró o una aprobación de acceso realizada por engaño. La seguridad móvil debe incluir identidad, sesiones y métodos de recuperación.

  • Activar autenticación multifactor en servicios que lo permitan y evitar depender sólo de mensajes SMS cuando existan alternativas administrables.
  • Revisar sesiones activas y aplicaciones conectadas a correo, nube y herramientas empresariales.
  • Separar cuentas administrativas de las cuentas utilizadas para tareas cotidianas.
  • Conservar métodos de recuperación actualizados y asociados a responsables vigentes.
  • Retirar permisos que ya no corresponden al puesto, aunque el dispositivo siga asignado a la misma persona.
  • Prohibir el intercambio de contraseñas, códigos de verificación o capturas que contengan información de acceso.

La revisión de celulares debe conectarse con el proceso de auditoría de accesos empresariales. Inventariar un aparato no sirve de mucho si sus cuentas conservan permisos heredados o sesiones que nadie revisa.

Correo, mensajería y archivos requieren reglas diferentes

El correo suele permitir restablecer contraseñas y acceder a conversaciones, documentos y contactos. La mensajería acelera la coordinación, pero puede dispersar archivos fuera de los repositorios empresariales. Los documentos descargados permanecen en el equipo aunque la conversación original se elimine.

  • Limitar reenvíos automáticos hacia cuentas externas y revisar reglas inusuales en los buzones.
  • Evitar compartir contraseñas, datos financieros, identificaciones o documentos fiscales por chats personales.
  • Usar vínculos con permisos y vencimiento cuando resulte más adecuado que enviar copias del archivo.
  • Retirar sesiones y accesos cuando se reemplaza el teléfono, no sólo desinstalar una aplicación.
  • Definir dónde se conservarán evidencias y documentos que forman parte de un proceso empresarial.

Para profundizar en protección de cuentas, intentos de fraude y configuración de buzones, revisa la guía de seguridad del correo empresarial. La protección móvil debe respetar las mismas políticas de identidad y comunicación que se aplican en computadora.

Qué revisar al usar WiFi público, hotspot o VPN

Una red disponible no debe considerarse confiable sólo porque solicite contraseña. Para tareas sensibles, conviene preferir una conexión controlada, datos móviles o una VPN empresarial configurada y administrada por TI. La VPN protege el trayecto según su configuración, pero no corrige un equipo desactualizado, una aplicación maliciosa ni una cuenta comprometida.

  • Desactivar la conexión automática a redes desconocidas y olvidar redes que ya no se utilizan.
  • Verificar el nombre de la red antes de conectarse y evitar operaciones sensibles desde puntos de acceso dudosos.
  • Mantener apagados Bluetooth, compartir archivos o puntos de acceso cuando no se necesitan.
  • Usar la conexión y la VPN definidas por la empresa para acceder a recursos internos.
  • No ignorar alertas de certificados, cambios de dominio o solicitudes inesperadas de inicio de sesión.

Si la empresa administra redes propias o recibe visitantes, también conviene revisar la guía de seguridad WiFi empresarial para separar dispositivos, invitados y recursos internos.

Revisa aplicaciones y permisos antes de autorizar su uso

Una aplicación puede solicitar más información de la necesaria o conservar acceso después de que dejó de utilizarse. El riesgo aumenta cuando los usuarios instalan herramientas para escanear documentos, compartir archivos o gestionar contraseñas sin una revisión mínima.

  • Confirmar quién publica la aplicación, qué soporte mantiene y desde qué tienda se instala.
  • Revisar permisos solicitados y desactivar los que no son necesarios para la función.
  • Evitar aplicaciones que obligan a copiar información empresarial a cuentas personales.
  • Retirar herramientas que ya no se usan y verificar si conservaron sesiones o integraciones.
  • Definir una alternativa autorizada para tareas frecuentes, en lugar de depender sólo de prohibiciones.

La lista de aplicaciones autorizadas debe revisarse cuando cambian procesos o proveedores. Autorizar una herramienta una vez no significa que deba conservar acceso indefinidamente.

Qué hacer ante pérdida o robo de un dispositivo

La persona debe reportar la pérdida tan pronto como la detecte, sin esperar a confirmar si recuperará el equipo. El objetivo inicial es reducir accesos expuestos y conservar evidencia de las acciones, no buscar culpables ni improvisar cambios sin orden.

  • Identificar usuario, número de teléfono, tipo de equipo, hora aproximada y último lugar conocido.
  • Determinar qué cuentas, aplicaciones, archivos y métodos de autenticación estaban disponibles.
  • Cerrar sesiones, revocar tokens y retirar el dispositivo de las cuentas empresariales cuando corresponda.
  • Cambiar credenciales si existe evidencia o una posibilidad razonable de exposición, empezando por las cuentas de mayor impacto.
  • Bloquear la línea, SIM o eSIM mediante el operador cuando aplique.
  • Ejecutar bloqueo o borrado remoto únicamente si estaba configurado, existe autorización y se entiende qué información se eliminará.
  • Documentar el incidente, las decisiones y los servicios revisados antes de habilitar un reemplazo.

Cerrar una sesión puede resolverse a distancia; recuperar el equipo, sustituir una SIM, revisar daño físico o validar ciertos componentes puede requerir intervención del operador, del fabricante o una visita. La empresa debe saber de antemano quién atiende cada parte.

Bajas de personal y reemplazo de equipo

Un teléfono nuevo no elimina por sí mismo el acceso del anterior. De la misma manera, dar de baja una cuenta principal no garantiza que hayan desaparecido sesiones, aplicaciones conectadas, archivos descargados o métodos de recuperación asociados al usuario.

  • Registrar la devolución o reasignación del equipo y verificar su estado.
  • Retirar cuentas, sesiones, certificados, perfiles y accesos de trabajo.
  • Transferir información empresarial que deba conservarse a un repositorio autorizado.
  • Aplicar borrado o restablecimiento con autorización antes de reasignar o disponer del equipo.
  • Actualizar inventario, responsable, línea telefónica, garantía y método de soporte.
  • Comprobar que el usuario sustituto recibe sólo los permisos necesarios para su función.

El procedimiento también debe aplicar cuando una persona cambia de puesto. Muchos accesos excesivos se originan en permisos que se acumulan con cada movimiento interno.

Caso práctico común: un celular se pierde después de una visita

Supongamos que una persona de ventas pierde su teléfono personal después de visitar a un cliente. En el equipo tenía correo corporativo, calendario, una aplicación de archivos y mensajería con conversaciones de trabajo. La empresa no necesita asumir que toda la información fue robada, pero sí actuar con base en los accesos posibles.

  • El usuario reporta el incidente y confirma el último uso conocido.
  • TI identifica las cuentas empresariales vinculadas y cierra sus sesiones.
  • Se revisan reglas de correo, actividad reciente y métodos de recuperación.
  • La empresa decide si retira sólo los datos de trabajo o si puede aplicar otra acción según la configuración acordada.
  • Se prepara el equipo sustituto con autenticación multifactor y aplicaciones autorizadas.
  • El incidente queda documentado para corregir vacíos en inventario, política o configuración.

Este ejemplo no representa a un cliente ni garantiza que todos los casos sigan la misma ruta. La respuesta depende de las cuentas, información, herramienta de administración y condiciones del servicio.

Señales de alerta en la seguridad móvil de una empresa

  • No existe una lista de teléfonos o tablets con acceso al correo y a los archivos empresariales.
  • Los equipos usan sistemas sin soporte o acumulan actualizaciones pendientes.
  • Las bajas de personal se atienden días después y no incluyen revisión de sesiones móviles.
  • Los códigos de verificación llegan a números personales sin método alterno de recuperación.
  • Los usuarios comparten documentos sensibles por cuentas o chats personales.
  • Nadie sabe si el borrado remoto está configurado ni qué datos eliminaría.
  • Las aplicaciones solicitan permisos amplios y no existe una revisión de herramientas autorizadas.
  • Una pérdida se reporta sólo al operador telefónico, pero no a quien administra correo, nube y sistemas.

Qué puede atenderse a distancia y cuándo se necesita apoyo presencial

La revisión de sesiones, permisos, correo, autenticación multifactor, cuentas conectadas y muchas configuraciones puede realizarse a distancia con autorización. También es posible documentar el equipo, orientar al usuario y retirar accesos sin tener físicamente el teléfono.

  • Puede requerir atención presencial: daño físico, fallas de carga, problemas de SIM, recuperación de datos locales, entrega o resguardo del equipo y validaciones que no pueden observarse remotamente.
  • Puede requerir al operador o fabricante: bloqueo de línea, reposición de SIM o eSIM, garantía, localización ligada a la cuenta y ciertos procesos de recuperación.
  • Puede requerir una decisión administrativa o legal: tratamiento de información personal, notificaciones, conservación de evidencia y medidas sobre un dispositivo propiedad del colaborador.

Cómo ayuda SOATI a ordenar dispositivos, usuarios y accesos

SOATI puede apoyar mediante la administración de usuarios y equipos para relacionar responsables, dispositivos, cuentas, correo, altas, bajas y cambios. La revisión puede comenzar con inventario y diagnóstico, y continuar con configuración, soporte y seguimiento según las herramientas y el alcance acordado.

La administración central, el borrado remoto, el monitoreo, los horarios de atención y la cobertura en sitio no deben darse por incluidos automáticamente. Primero se revisan plataforma, propiedad del equipo, permisos, privacidad, licencias y necesidades operativas; después se define qué puede implementar o administrar SOATI.

Siguiente paso: empieza por el inventario y las cuentas críticas

Identifica los dispositivos que acceden a correo, archivos y sistemas; asigna un responsable; clasifica los accesos; confirma actualizaciones, bloqueo y autenticación; y documenta el procedimiento de pérdida y baja. Con esa base puedes decidir si basta con controles de cuenta o si necesitas una solución de administración más amplia.