El trabajo híbrido cambió algo más que el lugar desde donde las personas trabajan. También modificó el entorno que las organizaciones deben considerar cuando hablan de ciberseguridad.

En la oficina, una empresa puede definir y administrar la red, los dispositivos, los controles de acceso y buena parte de las condiciones en las que circula su información. Pero ¿qué ocurre cuando un colaborador trabaja desde su casa?

El computador corporativo puede contar con protección de endpoint, cifrado, autenticación multifactor y acceso seguro. Sin embargo, normalmente está conectado a una red doméstica que también utilizan televisores inteligentes, cámaras, impresoras, consolas, asistentes de voz, alarmas, enchufes y otros dispositivos conectados.

Esto no significa que cada dispositivo doméstico sea automáticamente una amenaza. Significa que el lugar desde donde una persona trabaja ya no puede considerarse completamente aislado del entorno digital de la empresa.

¿POR QUÉ LA RED DOMÉSTICA IMPORTA PARA LA SEGURIDAD CORPORATIVA?

En un modelo híbrido, la red doméstica se convierte en el medio por el cual un colaborador accede al correo corporativo, aplicaciones en la nube, reuniones, documentos internos y sistemas de negocio.

La red no pertenece a la organización, pero a través de ella puede circular información corporativa.

Esta realidad obliga a ampliar la mirada tradicional de la ciberseguridad. La protección ya no debería depender únicamente de dónde está físicamente un trabajador, sino de la identidad, el dispositivo y la información a la que tiene acceso.

La pregunta no debería ser si una empresa puede controlar cada elemento de la casa de sus colaboradores. No puede, ni debería intentarlo.

La pregunta correcta es: ¿cómo diseñamos nuestros controles para asumir que el entorno desde donde se conecta un colaborador puede no ser completamente seguro?

IoT Y OT: ¿DE QUÉ ESTAMOS HABLANDO?

El concepto de IoT, Internet de las Cosas, describe objetos conectados a una red que pueden intercambiar información o ser administrados mediante una aplicación.

En el hogar, algunos ejemplos son:

• Cámaras de seguridad.
• Televisores inteligentes.
• Impresoras.
• Consolas.
• Asistentes de voz.
• Aspiradoras robot.
• Alarmas.
• Electrodomésticos conectados.

En una empresa, IoT puede incluir sensores, impresoras, pantallas, sistemas de medición e iluminación, entre otros dispositivos.

Por otra parte, OT, o Tecnología Operacional, está relacionada con equipos que controlan procesos físicos.

En una vivienda puede estar presente en un portón, una bomba de agua, un sistema de calefacción o una alarma. En una organización puede abarcar climatización, control de acceso, energía, producción, bodegas o equipamiento clínico.

La diferencia es importante porque un incidente en estos entornos no necesariamente termina en la pérdida de información. También puede afectar la disponibilidad de un servicio o el funcionamiento de un proceso físico.

EL VERDADERO DESAFÍO ESTÁ EN LA CONEXIÓN

Uno de los principales desafíos es que los dispositivos corporativos y personales pueden coexistir dentro de la misma red.

Pensemos en una situación cotidiana: un colaborador conecta su computador corporativo al Wi-Fi de su casa. En esa misma red existen una cámara, una impresora, una consola y un televisor inteligente.

La empresa administra el computador corporativo, pero no necesariamente administra los demás dispositivos.

Por eso, no resulta razonable construir una estrategia de seguridad suponiendo que todos los elementos del entorno doméstico tienen el mismo nivel de protección que un equipo corporativo.

La respuesta tampoco debería consistir en vigilar la vida privada del colaborador o exigirle que reemplace todos sus dispositivos.

El desafío consiste en diseñar una arquitectura de seguridad que reduzca la dependencia de la seguridad de la red de origen.

¿QUÉ PUEDE HACER UNA ORGANIZACIÓN?

Existen medidas concretas que permiten reducir la exposición sin convertir el hogar del colaborador en una extensión administrativa de la empresa.

1. Proteger y administrar los equipos corporativos

El primer nivel de control debe estar en los activos que sí pertenecen a la organización.

Los equipos corporativos deberían mantener las capacidades de seguridad definidas por la empresa incluso cuando se encuentran fuera de la oficina.

Esto incluye controles adecuados sobre el dispositivo, acceso y protección de la información.

2. Utilizar autenticación multifactor

La identidad adquiere todavía más importancia cuando el acceso puede producirse desde redes que la organización no controla.

La autenticación multifactor agrega una capa adicional de protección y ayuda a reducir el impacto de la exposición de credenciales.

Además, los controles de acceso pueden considerar la identidad y el contexto desde el cual se produce una conexión.

3. Aplicar el principio de mínimo privilegio

No todos los usuarios necesitan acceder a todos los recursos.

Limitar los permisos de acuerdo con la función de cada persona permite reducir el impacto potencial de un incidente.

Si una cuenta se ve comprometida, el alcance del acceso disponible será determinante para contener las consecuencias.

4. Separar la información corporativa de los dispositivos familiares

Una de las recomendaciones más importantes es evitar que la información corporativa dependa innecesariamente de dispositivos familiares.

La organización debe establecer mecanismos que permitan mantener los datos y accesos corporativos bajo controles empresariales, independientemente del entorno doméstico desde el cual se produce la conexión.

5. Capacitar sin trasladar toda la responsabilidad

La seguridad también requiere orientación.

Pero capacitar no significa simplemente decirle al colaborador que “proteja su casa” y dejar en sus manos toda la responsabilidad.

Las recomendaciones deben ser sencillas, útiles y aplicables a situaciones reales: reconocer dispositivos conectados, proteger el router, separar dispositivos inteligentes cuando sea posible y evitar prácticas que expongan información corporativa.

La responsabilidad debe distribuirse correctamente entre la organización, sus controles tecnológicos y las personas que utilizan esos recursos.

6. Mantener capacidad de respuesta

Una estrategia de seguridad no termina en prevenir.

La organización también debería contar con mecanismos para revocar sesiones, aislar equipos y responder ante incidentes.

Esto permite actuar cuando una situación de riesgo ya se ha producido, en lugar de depender exclusivamente de que el incidente nunca ocurra.

UNA PREGUNTA SENCILLA PARA COMENZAR

No es necesario partir con un inventario técnico perfecto de todos los dispositivos existentes en cada hogar.

Una conversación inicial puede comenzar con una pregunta mucho más sencilla:

¿Qué dispositivos comparten actualmente la red desde la cual trabajamos?

Identificar cámaras, impresoras, televisores, consolas, alarmas y equipos antiguos permite comprender mejor el entorno.

A partir de esa visibilidad, una organización puede comenzar a evaluar dónde existen mayores dependencias y qué controles tiene sentido fortalecer.

El objetivo no es convertir cada hogar en una infraestructura empresarial.

El objetivo es reconocer que el contexto desde el cual se accede a información corporativa también forma parte de la ecuación de seguridad.

CIBERSEGURIDAD MÁS ALLÁ DEL PERÍMETRO DE LA OFICINA

Durante años, hablar de seguridad empresarial estuvo muy asociado a proteger el perímetro de la organización.

Hoy esa mirada resulta insuficiente.

La ciberseguridad corporativa debe acompañar a la identidad, el dispositivo y la información, independientemente del lugar desde donde se realiza el trabajo.

El modelo híbrido hizo más evidente esta realidad: una persona puede estar físicamente en su hogar y, al mismo tiempo, estar trabajando con información, aplicaciones y servicios críticos para la organización.

Por eso, la seguridad no debería depender exclusivamente de que la red doméstica sea tan segura como una red corporativa.

Debe existir una arquitectura que considere que ambos entornos son diferentes y que, aun así, necesitan convivir de manera segura.

DEL HOGAR A LA EMPRESA: UNA NUEVA FORMA DE ENTENDER LA SUPERFICIE DE EXPOSICIÓN

IoT y OT muestran que la superficie digital es mucho más amplia que los computadores y servidores tradicionales.

Un dispositivo conectado puede parecer irrelevante desde la perspectiva del negocio y, sin embargo, formar parte del entorno tecnológico desde el cual una persona accede a recursos corporativos.

La respuesta no consiste en desconectar todo, reemplazar todos los dispositivos o trasladar la responsabilidad al usuario.

Consiste en conocer el entorno, identificar las dependencias, proteger lo que la organización controla y aplicar medidas proporcionales al riesgo.

En definitiva, hogar y empresa ya no son entornos digitales completamente separados.

El trabajo híbrido creó una continuidad entre ambos. Comprenderla es un primer paso para tomar mejores decisiones de ciberseguridad.

UNA MIRADA PRÁCTICA PARA LAS ORGANIZACIONES

Para las empresas, este escenario invita a revisar si sus políticas y controles siguen considerando únicamente el entorno corporativo tradicional.

Algunas preguntas pueden ayudar a iniciar la conversación:

• ¿Qué controles protegen nuestros equipos corporativos cuando están fuera de la oficina?
• ¿Cómo verificamos la identidad de quienes acceden a recursos corporativos?
• ¿Los permisos de los usuarios corresponden realmente a sus funciones?
• ¿Cómo mantenemos separada la información corporativa de los dispositivos familiares?
• ¿Tenemos capacidad para revocar sesiones o aislar un equipo ante un incidente?
• ¿Nuestros colaboradores cuentan con recomendaciones claras para trabajar desde redes domésticas?

No todas las organizaciones tendrán las mismas respuestas. Tampoco necesitan implementar exactamente las mismas medidas.

Lo importante es comenzar desde una premisa realista: la seguridad corporativa debe acompañar al colaborador allí donde realiza su trabajo.

CIERRE: LA EMPRESA TAMBIÉN ESTÁ DONDE TRABAJA SU GENTE

El trabajo híbrido transformó la relación entre hogar y empresa.

La red doméstica no pertenece a la organización, pero puede convertirse en el canal por el que circula información corporativa. En ese entorno conviven equipos empresariales con dispositivos IoT y, en algunos casos, tecnologías asociadas al control de procesos físicos.

Esto no significa que cada dispositivo conectado sea una amenaza. Significa que la superficie de exposición es más amplia y que los controles deben adaptarse a esa realidad.

Proteger los equipos corporativos, utilizar autenticación multifactor, limitar privilegios, separar la información empresarial de los dispositivos familiares, capacitar adecuadamente y mantener capacidad de respuesta son medidas que ayudan a reducir esa exposición.

La meta no es controlar el hogar del colaborador.

La meta es diseñar una seguridad empresarial capaz de funcionar incluso cuando el trabajo ocurre fuera de la oficina.

Fuentes y referencias

• NISTIR 8259, Foundational Cybersecurity Activities for IoT Device Manufacturers. Marco técnico para comprender capacidades mínimas de ciberseguridad en dispositivos IoT.
• CISA, Secure Our World. Recomendaciones prácticas relacionadas con autenticación, actualizaciones y protección de cuentas.
• NCSC, Smart devices—using them safely in your home. Orientaciones para el uso seguro de dispositivos inteligentes en el hogar.