Políticas de BYOD seguras para redes WiFi de empleados

GUION DE PODCAST: Políticas BYOD seguras para redes WiFi de empleados Duración estimada: ~10 minutos | Voz: Inglés británico, tono de consultor sénior Plataforma de inteligencia Purple WiFi - Serie sobre WiFi para empleados --- [INTRODUCCIÓN Y CONTEXTO - ~1 minuto] Le damos la bienvenida a la serie de Purple sobre WiFi para empleados. Soy su anfitrión y hoy vamos a abordar una de las áreas que se gestionan de forma errónea con más frecuencia en la administración de redes empresariales: el BYOD (trae tu propio dispositivo), concretamente para el WiFi de empleados. Si es usted director de TI, arquitecto de redes o director de tecnología en un grupo hotelero, una cadena de tiendas, un estadio o una organización del sector público, este episodio está diseñado para usted. No vamos a cubrir los aspectos básicos de lo que es el WiFi. Vamos a hablar de las decisiones de arquitectura, los estándares que debe tomar como referencia y los errores de despliegue que cuestan a las organizaciones dinero real y una exposición real en materia de cumplimiento normativo. El problema principal es sencillo: sus empleados quieren utilizar sus teléfonos y tabletas personales para trabajar. Eso es razonable. Pero conectar dispositivos personales no gestionados en el mismo segmento de red que sus sistemas POS, sus bases de datos de recursos humanos o su infraestructura de pagos es un riesgo inaceptable. La pregunta no es si se debe permitir el BYOD, sino cómo permitirlo sin comprometer su red principal. Vamos a analizarlo. --- [ANÁLISIS TÉCNICO DETALLADO - ~5 minutos] Comencemos con el principio fundamental: la segmentación de red. Todo despliegue seguro de BYOD comienza con la misma decisión arquitectónica: no se colocan los dispositivos personales en la misma VLAN que la infraestructura corporativa. Punto final. El enfoque estándar es una VLAN dedicada para BYOD, situada entre su núcleo corporativo y su red WiFi de invitados. Piense en ello como un nivel intermedio. Los dispositivos de los empleados obtienen acceso a internet y a un conjunto definido de recursos internos autorizados - tal vez su intranet, su suite de productividad en la nube o su plataforma de comunicaciones internas -, pero están protegidos por un firewall que los aísla de sus sistemas de pago, sus servidores de back-office y su infraestructura principal de conmutación. Ahora bien, ¿cómo se autentican los dispositivos en esa VLAN de BYOD? La respuesta es IEEE 802.1X. Este es el estándar de control de acceso a la red basado en puertos y ha sido la columna vertebral de la autenticación inalámbrica empresarial durante más de dos décadas. Cuando un dispositivo intenta conectarse, 802.1X activa un intercambio EAP - Protocolo de autenticación extensible - entre el dispositivo, el punto de acceso inalámbrico que actúa como autenticador y su servidor RADIUS como backend de autenticación. Específicamente para BYOD, EAP-TLS es el estándar de oro. Se trata de una autenticación mutua basada en certificados. El dispositivo presenta un certificado, el servidor RADIUS lo valida y solo entonces se concede el acceso a la red. El certificado se aprovisiona en el dispositivo a través de su plataforma MDM - Microsoft Intune, Jamf, VMware Workspace ONE o la que utilice en su organización - mediante SCEP, el Protocolo simple de inscripción de certificados.¿Por qué certificados en lugar de contraseñas? Porque las contraseñas se comparten, se pescan mediante phishing y se olvidan. Un certificado vinculado a un dispositivo específico y a la identidad de un usuario específico es considerablemente más difícil de comprometer. Y lo que es más crítico, cuando un empleado se va, se revoca el certificado en la PKI y ese dispositivo pierde el acceso de inmediato - sin necesidad de restablecer contraseñas ni dejar credenciales activas. Ahora, en cuanto al cifrado: si está desplegando una nueva infraestructura en 2024 y en adelante, su objetivo es WPA3-Enterprise. WPA3 elimina la vulnerabilidad KRACK que afectaba a WPA2, exige el modo de seguridad de 192 bits para despliegues empresariales y proporciona secreto perfecto hacia adelante mediante SAE (Autenticación Simultánea de Iguales). Esto significa que incluso si una clave de sesión se ve comprometida, el tráfico histórico no se puede descifrar. Para entornos que manejan datos de tarjetas de pago o registros de pacientes, esto no es opcional - es un requisito de cumplimiento bajo PCI-DSS 4.0 y se menciona cada vez más en los marcos de seguridad de NHS Digital. Hablemos de la integración con MDM, porque aquí es donde fallan muchos despliegues. Su MDM no es solo un mecanismo de entrega de certificados - es su motor de cumplimiento normativo. Antes de que a un dispositivo se le conceda acceso a la VLAN de BYOD, su solución NAC debería consultar al MDM sobre el estado del dispositivo: ¿Está el sistema operativo actualizado a una versión mínima? ¿Está habilitado el cifrado del dispositivo? ¿Tiene el dispositivo jailbreak o root? ¿Está configurado un bloqueo de pantalla que cumpla las normas? Esto es lo que se denomina evaluación de postura, y es la diferencia entre una política de BYOD y un programa de seguridad de BYOD. Un dispositivo que no supere la evaluación de postura debe ponerse en cuarentena - ubicándolo en una VLAN de remediación con acceso únicamente a los recursos necesarios para que cumpla las normas, y a nada más. En cuanto al registro y la auditoría: cada dispositivo que se conecte a su VLAN de BYOD debería generar un registro de sesión - identidad del dispositivo, identidad del usuario, marca de tiempo, duración, bytes transferidos y la VLAN asignada. Esto no es solo una buena práctica; según el Artículo 32 del GDPR, tiene la obligación de implementar las medidas técnicas adecuadas para garantizar la seguridad de la red. Un registro de auditoría de las conexiones de los dispositivos del personal es un componente fundamental para demostrar el cumplimiento de esa obligación. Si desea profundizar en los requisitos de los registros de auditoría, Purple dispone de una guía dedicada sobre lo que significa un registro de auditoría para la seguridad de TI en 2026 - dejaré el enlace en las notas del programa. Un punto de arquitectura más que vale la pena señalar: la aleatorización de direcciones MAC. Los dispositivos iOS y Android modernos aleatorizan sus direcciones MAC de forma predeterminada cuando buscan redes. Esto rompe la autenticación basada en MAC y puede causar problemas con su registro de RADIUS. La solución es abandonar por completo la autenticación basada en MAC - algo que debería hacer de todos modos - y confiar en la identidad basada en certificados o credenciales. Su servidor RADIUS debería registrar las sesiones asociándolas a la identidad del usuario, no a la dirección de hardware del dispositivo. --- [RECOMENDACIONES DE IMPLEMENTACIÓN Y ERRORES COMUNES — ~2 minutos] Bien, hablemos de la implementación. Esta es la secuencia que recomiendo para cualquier organización que lance un programa BYOD desde cero. Paso uno: defina su política antes de tocar la infraestructura. ¿Quién tiene permiso para registrar un dispositivo personal? ¿Qué tipos de dispositivos son compatibles? ¿A qué datos se puede acceder desde un dispositivo personal? Obtenga la aprobación de Recursos Humanos, el departamento legal y el CISO antes de configurar una sola VLAN. Paso dos: implemente su MDM si aún no lo ha hecho, y configure plantillas de certificados SCEP para dispositivos BYOD. Pruebe el registro de certificados en iOS, Android y Windows - todos se comportan de manera ligeramente diferente. Paso tres: configure su servidor RADIUS con políticas independientes para BYOD frente a dispositivos gestionados por la empresa. Los dispositivos BYOD deben recibir un atributo de asignación de VLAN - Tunnel-Private-Group-ID en términos de RADIUS - que los ubique en la VLAN de BYOD. Paso cuatro: configure su infraestructura inalámbrica. Cree un SSID dedicado para BYOD, o utilice la asignación dinámica de VLAN en su SSID corporativo existente - esta última opción es más limpia desde la perspectiva de la experiencia del usuario. El personal ve un único SSID, pero el servidor RADIUS determina en qué VLAN aterrizan en función de su certificado. Paso cinco: implemente ACL de firewall entre la VLAN de BYOD y su núcleo corporativo. Denegación por defecto, con permisos explícitos solo para servicios aprobados. Documente cada regla de permiso y revísela trimestralmente. Paso seis: habilite el registro de sesiones e intégrelo con su SIEM. Cada evento de conexión BYOD debe ser un registro apto para alertas. Ahora, los errores comunes. El fallo más habitual que veo es la expansión descontrolada del alcance en las reglas del firewall de la VLAN de BYOD. Alguien necesita acceso temporal a un recurso, se añade una regla y, seis meses después, la VLAN de BYOD tiene prácticamente el mismo acceso que la red corporativa. Implemente un proceso de gestión de cambios para las reglas del firewall de BYOD y trátelas con el mismo rigor que los cambios en la infraestructura de producción. El segundo error común es la gestión del ciclo de vida de los certificados. Los certificados caducan. Si no tiene configurada la renovación automática en su MDM, recibirá una oleada de personal incapaz de conectarse el día que caduquen sus certificados. Establezca que la renovación se active como mínimo 30 días antes de la caducidad. El tercer error común es olvidarse de la red de invitados. Su VLAN de BYOD y su red WiFi de invitados deben estar completamente aisladas entre sí. Un visitante en su red de invitados no debe tener ninguna vía de acceso a su segmento de BYOD. Si utiliza la plataforma de WiFi de invitados de Purple, ese aislamiento se gestiona a nivel de infraestructura - pero verifíquelo en su política de firewall de todos modos. --- [PREGUNTAS Y RESPUESTAS RÁPIDAS - ~1 minuto] Permítame repasar algunas preguntas que escucho con frecuencia. "¿Podemos usar WPA2-Personal con una frase de contraseña compartida para BYOD?" No. Una frase de contraseña compartida ofrece cero responsabilidad por dispositivo, no se puede revocar por usuario y se ve comprometida con total facilidad. Utilice 802.1X. "¿Necesitamos un SSID independiente para BYOD?" No necesariamente. La asignación dinámica de VLAN a través de RADIUS es más limpia. Un único SSID, colocación en VLAN basada en políticas según la identidad del certificado. "¿Qué pasa con los contratistas y el personal temporal?" Trátelos como una clase de identidad independiente en su política de RADIUS. Emita certificados de corta duración (30 o 90 días) vinculados a la duración de su contrato. Cuando el contrato finaliza, el certificado expira. "¿Es WPA3 compatible con versiones anteriores?" Sí, en modo de transición. Sus puntos de acceso pueden admitir clientes WPA2 y WPA3 simultáneamente. Exija únicamente WPA3 para los registros de nuevos dispositivos y elimine progresivamente WPA2 en un plazo definido. - [RESUMEN Y SIGUIENTES PASOS - ~1 minuto] Para resumir: un programa BYOD seguro para el WiFi del personal no es una simple tarea de configuración; es una decisión de arquitectura, un marco de políticas y una disciplina operativa continua. Los requisitos no negociables son: VLAN BYOD dedicada, IEEE 802.1X con autenticación de certificados EAP-TLS, estado del dispositivo impuesto por MDM, cifrado WPA3-Enterprise y registro de auditoría exhaustivo. Las disciplinas operativas son: la gestión del ciclo de vida de los certificados, las revisiones trimestrales de las reglas del firewall y un proceso de salida definido que revoque los certificados del dispositivo el mismo día en que el empleado se marcha. Si está empezando desde cero, la plataforma Purple le ofrece la capa de análisis y gestión de accesos sobre su infraestructura inalámbrica existente, tanto si gestiona un único hotel como un complejo comercial de 200 establecimientos. Los enlaces a la guía de arquitectura, la referencia de la pista de auditoría y la lista de comprobación de incorporación de BYOD se encuentran en las notas del programa. Gracias por escucharnos; nos vemos en el próximo episodio. - FIN DEL GUION