Recopilación de datos WiFi: Qué datos captura su red y cómo utilizarlos

WiFi Data Collection: What Data Your Network Captures and How to Use It Una sesión informativa de Purple Enterprise — Aproximadamente 10 minutos --- INTRODUCCIÓN Y CONTEXTO [~1 minuto] Bienvenido a la sesión informativa de Purple Enterprise. Soy su anfitrión, y hoy vamos a ir directos al grano sobre un tema que todo responsable de TI, arquitecto de red y director de operaciones de recintos debe dominar en 2026: la recopilación de datos WiFi. No la teoría. No la descripción académica. La realidad práctica de lo que su red gestionada está capturando en este momento, lo que legalmente está obligado a hacer con ello y, lo que es más importante, cómo convertir esos datos en valor empresarial medible. Tanto si gestiona una cadena hotelera, un patrimonio minorista, un estadio o un recinto del sector público, su infraestructura WiFi para invitados genera un flujo continuo de información. La pregunta no es si recopilarla. La pregunta es si dispone de la arquitectura, la postura de cumplimiento y la plataforma de análisis para utilizarla correctamente. Comencemos. --- ANÁLISIS TÉCNICO DETALLADO [~5 minutos] Entonces, ¿qué captura realmente una red WiFi gestionada? Vamos a desglosarlo en cuatro categorías de datos distintas, porque confundirlas es donde la mayoría de las organizaciones tienen problemas, tanto técnica como legalmente. La primera categoría son los identificadores de dispositivos. Cada dispositivo que entra dentro del alcance de sus puntos de acceso emite una solicitud de sondeo. Esa solicitud de sondeo contiene, como mínimo, una dirección MAC: el identificador de hardware grabado en la tarjeta de interfaz de red. Solo a partir de la dirección MAC, puede deducir el fabricante del dispositivo utilizando el OUI (el identificador único de organización), que son los tres primeros octetos. Así que antes de que un usuario se haya conectado, ya sabe si lleva un Apple iPhone, un Samsung Android o un portátil Windows. Una vez que se asocian con su SSID, también captura el tipo de dispositivo, la versión del sistema operativo y las capacidades de protocolo compatibles, ya sea que el dispositivo admita Wi-Fi 6, Wi-Fi 6E o que todavía funcione con el estándar anterior 802.11ac. Ahora bien, una advertencia fundamental: desde iOS 14 y Android 10, tanto Apple como Google han implementado la aleatorización de direcciones MAC de forma predeterminada. Esto significa que la captura pasiva de sondeos es menos fiable para el seguimiento persistente de dispositivos de lo que era hace cinco años. La solución alternativa (y esto es importante) son los datos de sesión autenticados, lo que nos lleva a la categoría dos. Los datos de sesión se capturan en el momento en que un dispositivo se autentica y se asocia con su red. Esto incluye la marca de tiempo de la conexión, la duración de la sesión, los bytes transferidos, el SSID, el BSSID (que es la MAC del punto de acceso específico), el RSSI o indicador de fuerza de la señal recibida, y la dirección IP asignada por DHCP. Estos datos se generan a nivel del servidor RADIUS si utiliza la autenticación empresarial IEEE 802.1X, o en el controlador del Captive Portal si utiliza una red de invitados de nivel de consumo. Los datos de sesión son su base de referencia para comprender la utilización de la red, la planificación de la capacidad de rendimiento y el consumo de ancho de banda por usuario. La categoría tres son los datos de inicio de sesión e identidad, y aquí es donde el valor comercial realmente comienza a acumularse. Cuando un invitado se autentica a través de un Captive Portal (ya sea mediante registro por correo electrónico, inicio de sesión social a través de OAuth de Google o Facebook, o un formulario personalizado), usted captura datos de identidad de primera mano. Eso significa nombre, dirección de correo electrónico, fecha de nacimiento si la solicita, indicadores de consentimiento de marketing y el método de autenticación utilizado. Estos son los datos que impulsan sus integraciones de CRM, sus flujos de trabajo de marketing por correo electrónico y los activadores de sus programas de fidelización. Fundamentalmente, estos también son los datos que entran de lleno en el ámbito de aplicación del GDPR y el GDPR del Reino Unido, por lo que su base jurídica, sus registros de consentimiento y sus políticas de retención de datos deben ser impecables antes de empezar a construir sobre ellos. La plataforma WiFi para invitados de Purple gestiona esto en el punto de captura: presenta una página de bienvenida personalizada, registra el consentimiento granular y envía el registro de identidad directamente a su CRM o plataforma de automatización de marketing a través de un webhook o una integración nativa. Esa es la diferencia entre los datos brutos y la información procesable. La cuarta categoría son los datos de movimiento y presencia. Se trata de análisis derivados más que de capturas brutas, pero se basan en los datos de sesión y de dispositivo que ya hemos analizado. Al correlacionar las lecturas de RSSI de un solo dispositivo en varios puntos de acceso, puede triangular la posición del dispositivo con un margen de dos a cinco metros, dependiendo de la densidad de sus puntos de acceso. Esto le proporciona el tiempo de permanencia por zona, las rutas de flujo de visitantes, la frecuencia de visitas repetidas y las ventanas de ocupación máxima. Para un entorno minorista, esto se traduce directamente en decisiones de comercialización. Para un hotel, informa sobre la dotación de personal de restauración. Para un estadio, es la base para la gestión de colas y la optimización de la ubicación de las concesiones. Esto es lo que hace la plataforma WiFi Analytics de Purple: toma los datos brutos de sesión y presencia de su infraestructura existente y los presenta como información procesable sobre el recinto. No necesita desinstalar y sustituir sus puntos de acceso. Necesita la capa de datos adecuada por encima. Ahora, hablemos de la arquitectura de cumplimiento, porque esto no es negociable. El GDPR y el GDPR del Reino Unido exigen que cualquier dato personal (y las direcciones de correo electrónico, los nombres y los identificadores persistentes de dispositivos cumplen los requisitos) debe recopilarse bajo una base jurídica documentada, normalmente el consentimiento o el interés legítimo. Necesita un aviso de privacidad en el punto de captura, opciones de consentimiento granular y un mecanismo para que los usuarios ejerzan sus derechos: acceso, rectificación, supresión y portabilidad. PCI DSS es relevante si su red de invitados comparte alguna infraestructura física o lógica con su entorno de procesamiento de pagos. La respuesta aquí es la segmentación de la red: su SSID de invitados debe estar en una VLAN independiente, con reglas de firewall que impidan cualquier movimiento lateral hacia el entorno de datos de tarjetas de pago. Este es un problema del Requisito 1 y del Requisito 6, y surge en cada auditoría de QSA. IEEE 802.1X con WPA3 Enterprise es el estándar de autenticación para cualquier despliegue en el que necesite credenciales por usuario, acceso basado en certificados o integración con un proveedor de identidad como Active Directory o Azure AD. Para redes de invitados puras, WPA3 Personal con SAE (autenticación simultánea de iguales) proporciona confidencialidad directa y protege contra ataques de diccionario fuera de línea, algo que WPA2-PSK no hace. --- RECOMENDACIONES DE IMPLEMENTACIÓN Y ERRORES COMUNES [~2 minutos] Bien, ya entiende qué se está capturando y el marco de cumplimiento. Hablemos de lo que realmente sale mal en los despliegues de producción. El fallo más común que veo es lo que llamo el problema del lago de datos. Las organizaciones despliegan una plataforma WiFi para invitados, comienzan a capturar datos de sesión e identidad y luego no hacen nada con ellos porque no han definido los casos de uso de antemano. Termina con una base de datos creciente de direcciones de correo electrónico y registros de sesión que nadie consulta, y cuando la ICO llama a la puerta, no puede justificar el período de retención porque no hay un propósito documentado. Defina sus casos de uso antes de realizar el despliegue. Si captura correos electrónicos para marketing, necesita un flujo de trabajo de marketing. Si captura datos de movimiento para análisis de afluencia, necesita un panel de control y un responsable. El segundo error es un consentimiento mal configurado. He visto despliegues donde la página de bienvenida presenta una única casilla de verificación que agrupa las condiciones del servicio, la política de privacidad y el consentimiento de marketing. Según el GDPR, estos deben ser independientes, estar desagregados y ser accionables individualmente. Una sola casilla de verificación no supera la prueba de granularidad y le expone a riesgos de sanción. La plataforma de Purple impone esto por diseño: indicadores de consentimiento independientes, registros de auditoría independientes. Tercer error: no tener política de retención de datos. Según el principio de limitación del plazo de conservación del GDPR, no se pueden conservar datos personales indefinidamente. Defina sus ventanas de retención (normalmente de 12 a 24 meses para los datos de marketing, 90 días para los registros de sesión brutos) y automatice el proceso de eliminación. La purga manual no es una estrategia de cumplimiento. En el lado positivo, las organizaciones que obtienen el mayor valor de la recopilación de datos WiFi son aquellas que han conectado el flujo de datos de extremo a extremo: desde el Captive Portal, pasando por el CRM, hasta la plataforma de automatización de marketing y de vuelta al panel de análisis. Ese bucle cerrado es lo que convierte una red WiFi de un centro de costes en un activo generador de ingresos. --- PREGUNTAS Y RESPUESTAS RÁPIDAS [~1 minuto] Permítame repasar las preguntas que me hacen con más frecuencia. "¿Puedo capturar tráfico WiFi sin un Captive Portal?" — Técnicamente sí, a nivel de metadatos de sesión. Pero sin una identidad autenticada, se limita a datos de dispositivos anónimos. Para casos de uso comercial, necesita el portal. "¿La aleatorización de MAC rompe mis análisis?" — Afecta al seguimiento pasivo basado en sondeos, pero no a los datos de sesión autenticados. Una vez que un usuario inicia sesión, dispone de un registro de identidad persistente independientemente de la aleatorización de MAC. "¿Necesito un DPA con mi proveedor de plataforma WiFi?" — Sí. Según el artículo 28 del GDPR, cualquier tercero que trate datos personales en su nombre requiere un Acuerdo de Tratamiento de Datos (DPA). Esto no es negociable. "¿Puedo compartir datos WiFi con anunciantes externos?" — Solo con el consentimiento explícito para ese fin específico. Agruparlo en sus condiciones generales de servicio no es suficiente. --- RESUMEN Y PRÓXIMOS PASOS [~1 minuto] Para resumir: su red WiFi gestionada captura cuatro categorías de datos: identificadores de dispositivos, datos de sesión, datos de inicio de sesión e identidad, y datos de movimiento y presencia. Cada categoría tiene un valor comercial diferente y obligaciones de cumplimiento distintas. Las organizaciones que triunfan con los datos WiFi son aquellas que han construido la pila completa: captura conforme en el extremo, resolución de identidad en el medio y análisis procesables en la parte superior. Si está evaluando o actualizando su infraestructura WiFi para invitados, las preguntas que debe hacerse son: ¿La plataforma impone por diseño un consentimiento conforme con el GDPR? ¿Se integra de forma nativa con mi CRM y mi pila de marketing? ¿Presenta análisis de afluencia y presencia sin requerir hardware adicional? ¿Y es compatible con IEEE 802.1X y WPA3 para la autenticación empresarial? La plataforma de Purple está diseñada para responder sí a las cuatro. Puede explorar las capacidades de WiFi para invitados y análisis en purple.ai. Gracias por escuchar. Si le ha resultado útil, compártalo con su arquitecto de red o equipo de operaciones del recinto. Hasta la próxima. --- FIN DEL GUION Duración total estimada: aproximadamente 10 minutos a un ritmo profesional medido.