Seis consejos para enfrentar los riesgos de las aplicaciones de celulares en las compañías

Antonio Gesteira

Senior Managing Director

FTI Technology - Brasil

 

Muchas compañías están analizando cuáles serán las implicaciones que tendrá el aumento del uso de aplicaciones de teléfonos móviles para las comunicaciones y la colaboración empresarial. La adopción de herramientas como WhatsApp está creciendo rápidamente por parte de las empresas y proporcionándoles ventajas significativas para la productividad y la colaboración de los empleados.

 

Sin embargo, los líderes de informática, jurídicos y del cumplimiento regulatorio siguen preocupados por el impacto que estas herramientas pueden tener sobre las normas, la seguridad de la información, la protección de datos y las investigaciones.

 

Algunas organizaciones simplemente prohibirán el uso de este tipo de herramientas. A primera vista, esta puede parecer la opción más segura, pero, teniendo en cuenta el uso generalizado de las mismas y la creciente migración a los datos móviles, es cada vez más difícil exigir su cumplimiento.

 

Para algunas empresas, especialmente las que dependen más de unos equipos de ventas ágiles y dinámicos que operan en el terreno, la postura más realista es aceptar que es probable que algunos empleados utilicen aplicaciones móviles, plataformas de colaboración y otras herramientas basadas en la nube, independientemente de si estas se encuentran o no autorizadas por la empresa.

 

Por lo tanto, deben determinar un camino por seguir y políticas que apoyen el uso consciente y conforme de las aplicaciones. Ahora bien, es posible mitigar los riesgos que implican estas nuevas herramientas, si se entienden los peligros que representan y se establecen controles equilibrados, pero sólidos.

 

En ese sentido, ofrecemos los siguientes seis consejos prácticos:

 

(i) Entender las limitaciones y los riesgos de las aplicaciones más populares

 

Lo primero, y más importante, es el hecho de que muchas aplicaciones de mensajería encripten los mensajes en tránsito, lo que hace que sea muy difícil detectar comportamientos sospechosos o recuperar la información que se ha enviado entre dos usuarios. Incluso, cuando esto pasa entre empleados, la organización pierde el control sobre la información, y las líneas entre el uso personal y el corporativo se hacen más borrosas.

 

Además, como las actividades no se registran en muchas aplicaciones de mensajería, no se pueden recuperar. Esto se convierte en una preocupación especialmente importante, si un empleado comete un acto o transacción ilegal utilizando una aplicación de mensajería y la organización necesita acceder a los mensajes como prueba en una investigación. A menos que la organización tenga acceso directo al dispositivo y los mensajes no hayan sido borrados, el equipo de investigación no tendrá ninguna forma de obtener dicha información.

 

(ii) Políticas de la empresa

 

Un paso importante para obtener el control sobre el uso de las aplicaciones es establecer políticas empresariales sólidas y aplicables que regulen las condiciones en las que se pueden utilizar dichas aplicaciones y cuál información de la empresa se puede compartir a través de ellas.

 

Las políticas deben delinear las especificidades de cómo es el uso corporativo apropiado de los teléfonos móviles y de las aplicaciones que se encuentran en ejecución en ellos, así como establecer las sanciones y los protocolos que se utilizarán, si se produce una investigación o una auditoría forense.

 

Estas políticas de uso también deben incluir la exigencia de que los empleados deban facilitar el acceso a sus dispositivos, incluidas las contraseñas, en caso de que la organización requiera acceder a ellos por motivos legales o normativos.

 

(iii) Gestión de los dispositivos móviles

 

Se trata de una categoría de capacidades habilitadas por la tecnología que permite que las organizaciones establezcan el control y la aplicación de políticas sobre los dispositivos descentralizados. Lo ideal es que los empleados solo puedan utilizar los dispositivos que la misma empresa les entrega y que estén equipados con un software de gestión de dispositivos móviles (MDM, por la sigla en el inglés de mobile device management).

 

Si se permiten los dispositivos personales, a los empleados se les debe exigir que instalen una herramienta MDM y que se sometan a la política del uso aceptable de la empresa que reconoce que la organización puede tener control sobre el dispositivo cuando se utiliza para los negocios de la empresa o para almacenar información de esta clase.

 

(iv) Capacitación de los empleados

 

En última instancia, el cumplimiento consiste en moldear el comportamiento y gestionar un cambio de cultura. Aunque haya políticas sólidas, cortafuegos, herramientas de supervisión y MDM, siempre existirá el riesgo de que los empleados instalen aplicaciones y tomen atajos que hagan su trabajo más eficiente. Por eso, es fundamental abordar el aspecto humano de este asunto y crear conciencia sobre los riesgos.

 

La gran mayoría de los empleados quiere hacer lo correcto y, simplemente, necesitan educación y capacitación para entender cómo la organización puede quedar expuesta por el uso inadecuado de las aplicaciones, el intercambio de información y la mezcla de los datos personales y corporativos.

 

Las organizaciones pueden establecer capacitaciones en cuanto a sus políticas y el cumplimiento. Esto puede incluir instrucciones sobre cómo, cuándo y por qué los empleados deben transferir la información y los documentos compartidos a través de las aplicaciones de mensajería a un repositorio de registros para su correcto almacenamiento.

 

(v) Habilitar un enfoque multicanal

 

Se trata de un concepto mediante el cual un empleado puede comenzar una conversación o una relación profesional en un canal, como una aplicación de mensajería, pero cambiarla a otro canal, como el correo electrónico de la empresa, cuando entre en juego información confidencial o sensible.

 

Utilizando este enfoque, los empleados tendrán la flexibilidad de comunicarse utilizando herramientas como WhatsApp, pero asegurando el cumplimiento mediante la formalización de las comunicaciones en correos electrónicos de seguimiento, o capturando la documentación mediante la creación y el almacenamiento de una captura de pantalla o un informe de las conversaciones para que la organización tenga acceso a ellas.

 

Si bien esto puede crear pasos adicionales para algunos empleados, es una tarea que vale la pena para ayudar a mantener una postura corporativa sólida en términos del gobierno de la información, protección de datos y cumplimiento.

 

(vi) Definir los parámetros y las normas antes de las directrices normativas

 

Además de abordar la interrupción interna, las empresas también deben prepararse para la forma en que los factores externos y las regulaciones pueden llegar a afectar su capacidad de innovar y adoptar o gobernar los avances tecnológicos. Se debe trabajar en toda la industria para establecer normas que puedan ayudar a mitigar la exposición a las regulaciones sorpresivas, las acciones de aplicación repentinas o la penalización, debido a la falta de regulación.

 

Más concretamente, cuando la innovación avanza con rapidez, la llegada tardía de las normas puede dar lugar a reglamentos que ya no son relevantes para el tratamiento del avance tecnológico. Cuando los principales actores del sector adoptan medidas conjuntas para autorregularse, pueden proporcionar una orientación oportuna y útil para definir el entorno y dirigir los debates en el desarrollo de nuevas leyes.

 

Las empresas están experimentando una transformación digital rápida y sin precedentes. Este cambio está creando un panorama en el que el uso de aplicaciones en el lugar de trabajo se está convirtiendo en algo inevitable. Los equipos jurídicos y de cumplimiento deben reconocer estos nuevos riesgos y, a la vez, aceptarlos y establecer formas de mitigarlos. Con una mentalidad que priorice el equilibrio saludable, los equipos pueden apoyar la agilidad dentro de su negocio, así como establecer un control significativo y necesario sobre la información sensible.