Política de BYOD (Bring Your Own Device)
Política operativa interna. Rige las condiciones bajo las cuales los empleados y contratistas de Lawra, S.R.L. pueden usar dispositivos personales para actividades laborales. Aprobada por la Asamblea en [__]. Versión: 1.0.
1. Propósito y Alcance
1.1. Lawra, S.R.L. reconoce que en el entorno de trabajo remoto e híbrido, los miembros del equipo pueden necesitar o preferir utilizar sus propios dispositivos (laptops, teléfonos, tablets) para actividades laborales. Esta política establece los controles mínimos necesarios para que ese uso sea compatible con las obligaciones de seguridad, privacidad y cumplimiento normativo de Lawra.
1.2. — Aplica a: todo dispositivo de propiedad personal (laptop, desktop, smartphone, tablet) utilizado para acceder a sistemas, datos o comunicaciones de Lawra, ya sea de forma primaria o esporádica.
1.3. — No aplica a: dispositivos corporativos emitidos por Lawra, que están sujetos a controles más rigurosos (configuración gestionada por el CTO, sin necesidad de BYOD enrollment).
1.4. — Implementa: criterios SOC 2 CC6.6 (prevención de acceso no autorizado desde dispositivos no autorizados) y CC6.7 (restricción de transmisión de información a través de medios autorizados).
2. Principio General: BYOD es un Privilegio, No un Derecho
2.1. El uso de dispositivos personales para trabajo es un privilegio concedido por Lawra bajo las condiciones de esta política. No es un derecho contractual, salvo que se establezca expresamente en el contrato individual.
2.2. Lawra puede revocar el privilegio BYOD a un empleado o contratista en cualquier momento si determina que el dispositivo no cumple los estándares de seguridad requeridos o si existe un riesgo de seguridad no mitigado.
2.3. Los empleados en roles con acceso a datos Restringidos de forma habitual (ej. administración de sistemas de producción, acceso a bases de datos de clientes a gran escala, gestión de llaves criptográficas) deben usar dispositivos corporativos emitidos por Lawra para dichas funciones. Ver Sección 6 para escenarios inelegibles para BYOD.
3. Requisitos Técnicos Mínimos
Para que un dispositivo personal sea elegible para uso laboral, debe cumplir todos los siguientes requisitos:
3.1. Todos los dispositivos (laptop / desktop personal)
| Requisito | Detalle |
|---|---|
| Sistema operativo actualizado | macOS, Windows o Linux con soporte activo del fabricante; parches de seguridad aplicados (máximo 30 días de atraso) |
| Cifrado de disco completo | FileVault (macOS) o BitLocker (Windows) habilitado y activo |
| Contraseña de pantalla de bloqueo | Bloqueo automático a los 5 minutos; contraseña o biométrico para desbloquear |
| Antivirus / Endpoint Protection | Software activo y actualizado (Malwarebytes, Windows Defender, Sentinel, etc.) |
| Sin software pirateado | Software instalado con licencia legítima; no instalar software de fuentes no confiables |
| VPN activa | Uso de VPN corporativa (o aprobada) cuando se acceda a sistemas de Lawra desde redes públicas o no confiables |
3.2. Dispositivos móviles (smartphone / tablet personal)
| Requisito | Detalle |
|---|---|
| Contraseña / PIN / biométrico | Obligatorio; mínimo 6 dígitos PIN o equivalente biométrico |
| Sistema operativo actualizado | iOS o Android en versión con soporte activo; parches de seguridad al día |
| Cifrado nativo del dispositivo | Habilitado (nativo en iOS; configurar en Android si no es automático) |
| Borrado remoto habilitado | ”Find My” (iOS) o “Find My Device” (Android) activo |
| No root / no jailbreak | Dispositivos con root o jailbreak NO son elegibles para BYOD |
| Sin aplicaciones de fuentes no oficiales | Solo apps de App Store / Google Play |
4. Gestión de Dispositivos Móviles (MDM)
4.1. Para dispositivos móviles que acceden a datos Confidenciales de Lawra (ej. correo corporativo, Slack, acceso a dashboards con datos de clientes), Lawra puede requerir la instalación de un perfil MDM como condición del acceso.
4.2. Lawra utiliza una solución MDM de perfil corporativo separado (containerización), que crea un perfil de trabajo aislado en el dispositivo del empleado. Este enfoque:
- Separa las aplicaciones y datos laborales de las aplicaciones y datos personales.
- Permite a Lawra gestionar y borrar remotamente solo el perfil corporativo, sin acceder a los datos personales del empleado.
- Aplica controles de seguridad (PIN del perfil, cifrado del contenedor, restricción de copiar/pegar entre perfiles) únicamente al contenedor corporativo.
4.3. La instalación del perfil MDM es voluntaria para el empleado. Sin embargo, si el empleado no acepta el MDM, no podrá acceder a datos Confidenciales o Restringidos desde su dispositivo personal. En ese caso, deberá usar un dispositivo corporativo emitido por Lawra o acceder solo desde equipos aprobados.
4.4. El CTO es responsable de seleccionar y gestionar la solución MDM, asegurando que:
- El alcance del MDM esté limitado al perfil corporativo.
- Los empleados reciban documentación clara de qué datos puede y qué datos no puede ver Lawra en sus dispositivos.
- El MDM no acceda a fotos personales, mensajes, historial de navegación ni ubicación, salvo que sea estrictamente necesario y se informe al empleado.
5. Derechos de Borrado Remoto
5.1. Al enrolarse en BYOD, el empleado acepta expresamente los siguientes derechos de borrado remoto que Lawra se reserva:
5.1.1. — Borrado selectivo (wipe del perfil corporativo): Lawra puede borrar remotamente el perfil corporativo (y todos los datos corporativos) del dispositivo en los siguientes casos:
- El empleado notifica pérdida o robo del dispositivo.
- Terminación de la relación laboral o contractual.
- Evidencia de compromiso o infección por malware del dispositivo.
- Retiro del acceso BYOD por incumplimiento de esta política.
5.1.2. — Borrado completo del dispositivo (solo en circunstancias excepcionales): El borrado completo del dispositivo personal (incluyendo datos personales) puede ocurrir solo si:
- El dispositivo no tiene perfil MDM separado y contiene datos corporativos de nivel Confidencial o Restringido;
- Y el empleado o contratista no puede ser alcanzado para ejecutar el borrado selectivo en un plazo razonable (máx. 48 horas) ante pérdida o robo inminente de datos críticos.
En tal caso, se documentará el evento y se notificará al empleado lo antes posible.
5.2. Lawra se compromete a no ejercer el borrado completo de un dispositivo personal salvo en las circunstancias excepcionales de la Sección 5.1.2. El borrado estándar es siempre el selectivo del perfil corporativo.
5.3. Al enrollar el dispositivo en BYOD, el empleado firma un formulario de consentimiento que documenta su aceptación de estos derechos de borrado.
6. Escenarios Inelegibles para BYOD
6.1. Los siguientes roles y actividades no son elegibles para dispositivos BYOD. Requieren el uso de dispositivos corporativos emitidos por Lawra:
| Escenario | Justificación |
|---|---|
| Administración de sistemas de producción (Firebase Console Admin, GitHub Admin, GCP IAM) con privilegios elevados | Riesgo de compromiso de sistemas críticos desde un dispositivo no controlado al 100% |
| Acceso habitual a datos Restringidos (llaves criptográficas, exportaciones masivas de PII, secretos de producción) | Los datos Restringidos requieren el nivel más alto de control del endpoint |
| Procesamiento de información privilegiada abogado-cliente en alta sensibilidad a través de sistemas de Lawra | Obligaciones de confidencialidad profesional incompatibles con el riesgo de BYOD no gestionado |
| Roles que manejen información de tarjetas de pago (si Lawra procesa tarjetas directamente) | Requisitos PCI-DSS de control de endpoint |
6.2. Para estos roles, Lawra provee (o financia la adquisición de) un dispositivo corporativo con las configuraciones de seguridad necesarias.
6.3. Un empleado puede solicitar excepción justificada al CTO si hay una razón operativa específica. Toda excepción debe ser aprobada por escrito por el CTO y el Gerente, y registrada con fecha de vencimiento.
7. Responsabilidades del Empleado (BYOD)
7.1. Al optar por BYOD, el empleado asume las siguientes responsabilidades:
- Mantener el dispositivo con los requisitos técnicos de la Sección 3 vigentes.
- Notificar inmediatamente al Oficial de Cumplimiento y al CTO en caso de pérdida, robo o sospecha de compromiso del dispositivo.
- No instalar software potencialmente malicioso ni hacer jailbreak/root al dispositivo.
- Usar VPN corporativa aprobada cuando acceda a sistemas de Lawra desde redes no confiables.
- Reportar si el dispositivo deja de cumplir con los requisitos mínimos (ej. el SO quedó sin soporte).
- No transferir datos corporativos a aplicaciones personales en el mismo dispositivo (ej. copiar datos de clientes del perfil corporativo al almacenamiento personal).
7.2. El empleado no está obligado a instalar el MDM si no desea dar a Lawra ningún nivel de gestión sobre su dispositivo personal. En ese caso, no podrá usar el dispositivo personal para acceder a datos Confidenciales o Restringidos.
8. Responsabilidades de Lawra
8.1. A su vez, Lawra se compromete con los empleados que participan en BYOD a:
- Proporcionar documentación clara del alcance del MDM antes de la instalación.
- No monitorear actividad personal (navegación, mensajes, fotos, ubicación) mediante el MDM más allá de lo técnicamente necesario para los controles del perfil corporativo.
- Ejecutar únicamente borrado selectivo (perfil corporativo) salvo en las circunstancias excepcionales documentadas.
- Retirar el perfil MDM corporativo del dispositivo del empleado dentro de las 48 horas de la terminación de la relación laboral, una vez confirmado el borrado de datos corporativos.
- No retener datos del dispositivo personal del empleado más allá de lo necesario.
9. Reembolso / Estipendio (Opcional)
9.1. Lawra puede ofrecer a los empleados que usen BYOD como su dispositivo de trabajo primario un estipendio mensual para contribuir al desgaste del dispositivo personal y a los costos de conectividad, en los términos y montos que la Asamblea determine y que consten en el contrato individual o en política separada de compensación.
9.2. El estipendio, si existe, no crea propiedad corporativa sobre el dispositivo ni derechos adicionales de Lawra sobre el mismo más allá de los establecidos en esta política.
10. Offboarding y Recuperación de Datos
10.1. Al terminar la relación laboral o contractual:
- El CTO ejecuta el borrado del perfil corporativo del dispositivo BYOD dentro de las 48 horas.
- El empleado confirma por escrito que ha borrado cualquier dato corporativo almacenado fuera del perfil MDM (ej. documentos descargados manualmente al almacenamiento local personal).
- El CTO revoca todos los accesos corporativos (correo, Slack, GitHub, Firebase) conforme al procedimiento de offboarding de accesos.
10.2. El empleado no tiene obligación de devolver el dispositivo (es propiedad personal). La obligación es solo el borrado de los datos corporativos.
11. Incumplimiento
11.1. Usar un dispositivo personal para acceder a sistemas de Lawra sin cumplir los requisitos de esta política puede resultar en:
- Revocación inmediata del privilegio BYOD y del acceso correspondiente.
- Acciones disciplinarias conforme a la AUP Interna (
aup-internal), según la gravedad. - Responsabilidad por daños si el incumplimiento resulta en una brecha de datos.
12. Referencias Normativas
- SOC 2 Trust Services Criteria: CC6.6 (Acceso lógico desde dispositivos autorizados), CC6.7 (Restricción de transmisión)
- Ley No. 172-13 (R.D.) — Medidas de seguridad en el tratamiento de datos personales
- GDPR Art. 32 — Seguridad del tratamiento, incluyendo endpoints de empleados
- ISO/IEC 27001:2022 — A.6.7 (Trabajo remoto), A.8.1 (Dispositivos del usuario final)
- NIST SP 800-124 — Guidelines for Managing the Security of Mobile Devices in the Enterprise
- Código de Trabajo (R.D.) — Arts. pertinentes a propiedad de herramientas de trabajo y privacidad del empleado
13. Revisión Periódica
Esta política se revisa anualmente o ante cambios materiales en las tecnologías de MDM, el portafolio de herramientas de Lawra, o el marco normativo aplicable al uso de dispositivos personales en el trabajo.
Próxima revisión: [fecha de adopción + 12 meses].
Adoptada por la Asamblea General de Socios de LAWRA, S.R.L. en fecha [__], conforme consta en el Libro de Actas.
Por LAWRA, S.R.L. — Gerente
Comments
Loading comments...