Inicio
Laboratorios
Riesgo BYOD

Riesgo · Laboratorio

Tu equipo, sus datos

BYOD (Bring Your Own Device) es cuando el personal usa su notebook o celular personal para trabajar. Aquí vas a identificar un escenario de riesgo, calcular su riesgo inherente, elegir un tratamiento con salvaguardas de ISO 27001 y emitir un reporte de especialista, cuidando los límites legales que impone la normativa chilena.

Simulador académico de gestión de riesgos

Laboratorio de riesgo BYOD

Vas a evaluar la seguridad de dispositivos personales alineando tu análisis con el plan estratégico de seguridad de la organización: el documento que fija las prioridades, la clasificación de la información y las políticas que tu análisis debe respetar. Sigue el flujo de trabajo de un especialista:

Documento de práctica · Uso interno

Reporte de riesgo de especialista

1. Alineación con el plan estratégico de seguridad

Este análisis se realizó siguiendo las directrices del plan estratégico de seguridad de la organización. Se identificó el escenario como relevante para la continuidad operativa.

2. Análisis de riesgo inherente

Se determinó un nivel de riesgo () basado en el impacto potencial sobre los activos de información.

Nota técnica: ante la falta de antecedentes históricos extensos, el análisis aplicó un criterio conservador, priorizando la protección de datos personales y secretos comerciales.

3. Estrategia de tratamiento

La estrategia seleccionada es , aplicando los siguientes controles:

Referencias normativas del escenario

Justificación del especialista

4. Seguimiento de la implementación

Según los planes de tratamiento definidos, se deben establecer instancias formales para evaluar su implementación. Este proceso da como resultado el riesgo residual.

Guía: criterios de aceptación

Para que el control sea válido, define criterios de éxito objetivos y verificables. No basta con que “el control exista”; debe cumplir con:

Trazabilidad: vinculado a un control del plan estratégico de seguridad o de ISO 27001.
Mensurabilidad: % de dispositivos con el control activo.
Evidencia técnica: reporte de la consola MDM o registros de MFA.
Evidencia administrativa: política BYOD aceptada por el usuario.

Evaluación residual: evalúa el control ya implementado levantando las evidencias que demuestren su eficacia operativa.

Transición a operación: solo una vez validada la eficacia del control contra los criterios definidos, el activo pasa a operación normal.

Reporte generado con fines formativos en DL Tech Academy. El contenido legal es educativo y está pendiente de validación por un especialista; no constituye asesoría jurídica.

Contenido legal educativo, pendiente de validación por un especialista. Resume normas chilenas con fines formativos; antes de aplicarlo, revisa el texto vigente en la Biblioteca del Congreso Nacional (bcn.cl) y consulta con asesoría legal.

Análisis normativo

Regulación BYOD en Chile

Implementar dispositivos personales no es solo un reto técnico. En Chile intervienen dos cuerpos normativos distintos que conviene no confundir: el Código del Trabajo, que regula el teletrabajo y el trabajo a distancia, y la Ley 21.719, que regula el tratamiento de datos personales, incluidos los del trabajador.

Código del Trabajo · Ley 21.220 (teletrabajo y trabajo a distancia)

Condiciones laborales del trabajo remoto

Derecho a desconexión · Art. 152 quater J

El empleador debe respetar un período en que el trabajador no está obligado a responder comunicaciones, órdenes ni requerimientos. BYOD no puede ser una excusa para la hiperconectividad.

Provisión de equipos y herramientas · Art. 152 quater L

Los equipos, herramientas y materiales para el trabajo a distancia deben ser proporcionados por el empleador. Si se acuerda usar un equipo personal, conviene pactarlo por escrito.

Costos operativos · Art. 152 quater L

Los costos de operación, funcionamiento, mantención y reparación de los equipos son de cargo del empleador, lo que debe considerarse en modelos BYOD.

Límite general · Art. 5

Las facultades del empleador tienen como límite el respeto a las garantías constitucionales de los trabajadores, en especial su intimidad, vida privada u honra.

Ley 21.719 · Protección de datos personales

Tratamiento de los datos del trabajador

Monitoreo MDM proporcional

Registrar el dispositivo en un MDM implica tratar datos personales del trabajador. El tratamiento debe ser lícito, con una finalidad determinada e informada, y limitado a lo necesario (proporcionalidad).

Protección de la intimidad

El monitoreo no puede invadir la esfera privada del trabajador: fotos, mensajes personales o geolocalización fuera del horario de trabajo.

Transparencia

La política BYOD debe explicar qué datos ve y qué datos no ve el empleador, con qué fin y por cuánto tiempo se conservan.

Seguridad

La organización debe adoptar medidas de seguridad apropiadas para los datos corporativos y personales presentes en el dispositivo.

Ver Ley 21.719 en Academy →

NIST CSF 2.0

Mapeo NIST CSF 2.0 para BYOD

Identificar (ID)

ID.AM-01 Inventario del hardware, incluidos los dispositivos personales autorizados.
ID.RA-03 Identificar amenazas internas y externas a la movilidad.

Proteger (PR.DS)

PR.DS-01 Datos protegidos en reposo (cifrado).
PR.DS-02 Datos protegidos en tránsito (VPN, TLS).

Detectar (DE.CM)

DE.CM-09 Monitorear hardware, software y sus datos para detectar eventos adversos: software no autorizado, jailbreak o root.

El v1 usaba códigos de CSF 1.1 (DE.CM-07, DE.CM-08) y asociaba el inventario a ID.RA-01; en CSF 2.0 corresponden a DE.CM-09 e ID.AM-01. Ver NIST CSF 2.0.

Pilares

Cuatro pilares de una política BYOD

Checklist

Checklist de cumplimiento BYOD

Acuerdo de uso BYOD firmado por el trabajador, anexado al contrato de trabajo.
Política de privacidad que detalla qué datos no ve el empleador.
MDM/MAM configurado con separación clara entre contenedor personal y corporativo.
Procedimiento de borrado remoto selectivo (solo datos corporativos).
Horario de silencio en apps corporativas para respetar la desconexión.

Qué aprendiste

Seguridad y derechos del trabajador, en equilibrio

El riesgo inherente combina impacto y probabilidad, y te permite priorizar qué tratar primero.
Tratar un riesgo es una decisión (mitigar, aceptar, transferir o evitar), respaldada por controles trazables a ISO 27001.
En Chile, las condiciones del teletrabajo (desconexión, equipos y costos) están en el Código del Trabajo; el tratamiento de los datos del trabajador, como el monitoreo MDM, en la Ley 21.719.

Unidad Riesgo Unidad Chile ISO 27001 Ley 21.719 NIST CSF 2.0 Zero Trust