Políticas de BYOD seguras para redes WiFi de personal

GUION DE PODCAST: Políticas BYOD seguras para redes WiFi de empleados Duración estimada: ~10 minutos | Voz: inglés británico, tono de consultor senior Plataforma de inteligencia Purple WiFi - Serie sobre WiFi de empleados --- [INTRODUCCIÓN Y CONTEXTO - ~1 minuto] Bienvenido a la Serie sobre WiFi de empleados de Purple. Soy su anfitrión, y hoy nos adentraremos en una de las áreas que se manejan con mayor inconsistencia en la gestión de redes empresariales: el BYOD (Trae tu propio dispositivo), específicamente para la red WiFi de los empleados. Si es usted un director de TI, un arquitecto de redes o un CTO en un grupo hotelero, una cadena de retail, un estadio o una organización del sector público, este episodio es para usted. No vamos a cubrir los aspectos básicos de qué es el WiFi. Vamos a hablar de las decisiones de arquitectura, los estándares que debe consultar y los errores de despliegue que cuestan a las organizaciones dinero real y una exposición real en materia de cumplimiento. El problema central es sencillo: sus empleados quieren usar sus teléfonos y tabletas personales para el trabajo. Eso es razonable. Pero conectar dispositivos personales no gestionados al mismo segmento de red que sus sistemas POS, sus bases de datos de recursos humanos o su infraestructura de pagos es un riesgo inaceptable. La pregunta no es si se debe permitir el BYOD, sino cómo permitirlo sin comprometer su red principal. Vamos a ello. --- [ANÁLISIS TÉCNICO PROFUNDO - ~5 minutos] Comencemos con el principio fundamental: la segmentación de red. Todo despliegue seguro de BYOD comienza con la misma decisión de diseño arquitectónico: no se deben colocar los dispositivos personales en la misma VLAN que su infraestructura corporativa. Punto final. El enfoque estándar es una VLAN dedicada para BYOD, situada entre su núcleo corporativo y su red WiFi de invitados. Piense en ello como un nivel intermedio. Los dispositivos de los empleados obtienen acceso a internet y acceso a un conjunto definido de recursos internos aprobados (tal vez su intranet, su suite de productividad en la nube, su plataforma de comunicación interna), pero están protegidos por firewall de sus sistemas de pago, sus servidores de back-office y su infraestructura de conmutación principal. Ahora bien, ¿cómo se autentican los dispositivos en esa VLAN de BYOD? La respuesta es IEEE 802.1X. Este es el estándar de control de acceso a redes basado en puertos, y ha sido la columna vertebral de la autenticación inalámbrica empresarial durante más de dos décadas. Cuando un dispositivo intenta conectarse, 802.1X activa un intercambio EAP (Protocolo de autenticación extensible) entre el dispositivo, el punto de acceso inalámbrico que actúa como autenticador y su servidor RADIUS como backend de autenticación. Para BYOD específicamente, EAP-TLS es el estándar de oro. Se trata de una autenticación mutua basada en certificados. El dispositivo presenta un certificado, el servidor RADIUS lo valida y sólo entonces se concede el acceso a la red. El certificado se aprovisiona en el dispositivo a través de su plataforma MDM (Microsoft Intune, Jamf, VMware Workspace ONE, sea cual sea la que utilice) mediante SCEP, el Protocolo simple de inscripción de certificados.¿Por qué usar certificados en lugar de contraseñas? Porque las contraseñas se comparten, se pescan con phishing y se olvidan. Un certificado vinculado a un dispositivo específico y a una identidad de usuario específica es significativamente más difícil de comprometer. Y lo más importante, cuando un empleado se va, usted revoca el certificado en su PKI y ese dispositivo pierde el acceso de inmediato - sin necesidad de restablecer la contraseña y sin credenciales remanentes. Ahora, en el aspecto del cifrado: si está implementando una nueva infraestructura en 2024 y en adelante, WPA3-Enterprise es su objetivo. WPA3 elimina la vulnerabilidad KRACK que afectaba a WPA2, exige un modo de seguridad de 192 bits para implementaciones empresariales y proporciona secreto hacia adelante (forward secrecy) a través de SAE - Autenticación Simultánea de Iguales. Eso significa que incluso si una clave de sesión se ve comprometida, el tráfico histórico no se puede descifrar. Para entornos que manejan datos de tarjetas de pago o expedientes de pacientes, esto no es opcional - es un requisito de cumplimiento bajo PCI-DSS 4.0 y se menciona cada vez más en los marcos de seguridad de NHS Digital. Hablemos de la integración con MDM, porque aquí es donde fallan muchas implementaciones. Su MDM no es solo un mecanismo de entrega de certificados - es su motor de aplicación de cumplimiento. Antes de que a un dispositivo se le conceda acceso a la VLAN de BYOD, su solución NAC debería estar consultando al MDM sobre el estado del dispositivo: ¿Está el sistema operativo actualizado a una versión mínima? ¿Está habilitado el cifrado del dispositivo? ¿El dispositivo tiene jailbreak o root? ¿Está configurado un bloqueo de pantalla que cumpla con las normas? A esto se le llama evaluación de postura, y es la diferencia entre una política de BYOD y un programa de seguridad de BYOD. Un dispositivo que no pasa la evaluación de postura debe ponerse en cuarentena - colocándose en una VLAN de remediación con acceso únicamente a los recursos necesarios para que cumpla con las normas, y nada más. En cuanto al registro y la auditoría: cada dispositivo que se conecte a su VLAN de BYOD debe generar un registro de sesión - identidad del dispositivo, identidad del usuario, marca de tiempo, duración, bytes transferidos y la VLAN asignada. Esto no es solo una buena práctica; según el Artículo 32 del GDPR, usted tiene la obligación de implementar medidas técnicas apropiadas para garantizar la seguridad de la red. Un registro de auditoría de las conexiones de los dispositivos del personal es un componente fundamental para demostrar ese cumplimiento. Si desea profundizar en los requisitos de los registros de auditoría, Purple tiene una guía dedicada a lo que significa un registro de auditoría para la seguridad de TI en 2026 - dejaré el enlace en las notas del programa. Un punto de arquitectura más que vale la pena destacar: la aleatorización de direcciones MAC. Los dispositivos modernos con iOS y Android aleatorizan sus direcciones MAC de forma predeterminada al buscar redes. Esto rompe la autenticación basada en MAC y puede causar problemas con su contabilidad de RADIUS. La solución es alejarse por completo de la autenticación basada en MAC - algo que de todos modos debería estar haciendo - y confiar en la identidad basada en certificados o credenciales. Su servidor RADIUS debería asociar los registros de sesión a la identidad del usuario, no a la dirección de hardware del dispositivo. --- [RECOMENDACIONES DE IMPLEMENTACIÓN Y ERRORES COMUNES — ~2 minutos] Bien, hablemos de la implementación. Aquí está la secuencia que recomiendo para cualquier organización que implemente un programa de BYOD desde cero. Paso uno: defina su política antes de tocar la infraestructura. ¿Quién tiene permitido registrar un dispositivo personal? ¿Qué tipos de dispositivos son compatibles? ¿A qué datos se puede acceder desde un dispositivo personal? Obtenga la aprobación de recursos humanos, legal y del CISO antes de configurar una sola VLAN. Paso dos: implemente su MDM si aún no lo ha hecho y configure las plantillas de certificados SCEP para dispositivos BYOD. Pruebe la inscripción de certificados en iOS, Android y Windows - todos se comportan de manera ligeramente diferente. Paso tres: configure su servidor RADIUS con políticas separadas para BYOD frente a dispositivos administrados por la empresa. Los dispositivos BYOD deben recibir un atributo de asignación de VLAN - Tunnel-Private-Group-ID en términos de RADIUS - que los ubique en la VLAN de BYOD. Paso cuatro: configure su infraestructura inalámbrica. Cree un SSID dedicado para BYOD o use la asignación dinámica de VLAN en su SSID corporativo existente - esta última opción es más limpia desde la perspectiva de la experiencia del usuario. El personal ve un solo SSID, pero el servidor RADIUS determina en qué VLAN aterrizan según su certificado. Paso cinco: implemente ACL de firewall entre la VLAN de BYOD y su núcleo corporativo. Denegación por defecto, con permisos explícitos solo para servicios aprobados. Documente cada regla de permiso y revísela trimestralmente. Paso seis: habilite el registro de sesiones e intégrelo con su SIEM. Cada evento de conexión BYOD debe ser un registro elegible para alertas. Ahora, las trampas comunes. El fallo más habitual que veo es la expansión descontrolada de las reglas del firewall de la VLAN de BYOD. Alguien necesita acceso temporal a un recurso, se agrega una regla y, seis meses después, la VLAN de BYOD tiene prácticamente el mismo acceso que la red corporativa. Implemente un proceso de gestión de cambios para las reglas del firewall de BYOD y trátelas con el mismo rigor que los cambios en la infraestructura de producción. El segundo error es la gestión del ciclo de vida de los certificados. Los certificados caducan. Si no tiene configurada la renovación automática en su MDM, tendrá una ola de personal que no podrá conectarse el día que caduquen sus certificados. Configure la renovación para que se active como mínimo 30 días antes de la fecha de vencimiento. El tercer error es olvidarse de la red de invitados. Su VLAN de BYOD y su red de WiFi para invitados deben estar completamente aisladas entre sí. Un visitante en su red de invitados no debe tener forma de acceder a su segmento de BYOD. Si utiliza la plataforma de WiFi para invitados de Purple, ese aislamiento se gestiona a nivel de infraestructura, pero verifíquelo en su política de firewall de todos modos. - - - [PREGUNTAS Y RESPUESTAS RÁPIDAS - ~1 minuto] Permítame repasar rápidamente algunas preguntas que escucho con frecuencia. "¿Podemos usar WPA2-Personal con una frase de contraseña compartida para BYOD?" No. Una frase de contraseña compartida ofrece cero responsabilidad por dispositivo, no se puede revocar por usuario y se ve comprometida de forma trivial. Utilice 802.1X. "¿Necesitamos un SSID independiente para BYOD?" No necesariamente. La asignación dinámica de VLAN a través de RADIUS es más limpia. Un solo SSID, ubicación de VLAN basada en políticas y en la identidad del certificado. "¿Qué pasa con los contratistas y el personal temporal?" Trátelos como una clase de identidad independiente en su política de RADIUS. Emita certificados de corta duración (30 o 90 días) vinculados a la duración de su contrato. Cuando el contrato termina, el certificado expira. "¿Es WPA3 compatible con versiones anteriores?" Sí, en modo de transición. Sus puntos de acceso pueden admitir clientes WPA2 y WPA3 simultáneamente. Exija únicamente WPA3 para el registro de nuevos dispositivos y elimine gradualmente WPA2 en un plazo definido. - [RESUMEN Y PRÓXIMOS PASOS - ~1 minuto] Para resumir: un programa BYOD seguro para el WiFi del personal no es una tarea de configuración única; es una decisión de arquitectura, un marco de políticas y una disciplina operativa continua. Los elementos no negociables son: VLAN dedicada para BYOD, IEEE 802.1X con autenticación de certificado EAP-TLS, postura del dispositivo impuesta por MDM, cifrado WPA3-Enterprise y registro de auditoría exhaustivo. Las disciplinas operativas son: la gestión del ciclo de vida de los certificados, las revisiones trimestrales de las reglas del firewall y un proceso de salida definido que revoque los certificados del dispositivo el mismo día en que el empleado se marcha. Si está empezando desde cero, la plataforma Purple le ofrece la capa de analítica y gestión de accesos sobre su infraestructura inalámbrica existente, ya sea que gestione un solo hotel o una red minorista de 200 sitios. Los enlaces a la guía de arquitectura, la referencia de la pista de auditoría y la lista de verificación para la incorporación de BYOD se encuentran en las notas del programa. Gracias por escuchar, nos vemos en el próximo episodio. - FIN DEL GUION